Что такое сигнатура вируса?

В области антивирусной защиты сигнатура вируса — это алгоритм или хэш-функция (число, полученное из текстовой строки), которая однозначно идентифицирует конкретный вирус.

Как появляются сигнатуры вирусов?

В зависимости от типа используемого сканера сигнатура вируса может представлять собой статический хеш (вычисленное числовое значение фрагмента кода, уникального для вируса) или, реже, алгоритм может быть основан на поведении. Например, если этот файл попытается сделать что-то необычное, он будет помечен как подозрительный и пользователю будет предложено принять решение. В зависимости от поставщика антивирусного программного обеспечения сигнатура вируса может называться сигнатурой, файлом определения или файлом DAT.

Одна сигнатура может соответствовать большому количеству вирусов. Это позволяет сканеру обнаружить совершенно новый вирус, которого он никогда раньше не встречал. Эту способность часто называют эвристическим или общим обнаружением (идентификация программы или файла с функциями или поведением, аналогичными известным вредоносным программам, таким как трояны , бэкдоры или эксплойты ).

Сигнатуры вирусов могут представлять собой статические хэш-функции или алгоритмы, основанные на поведении.

Это менее эффективно против совершенно новых вирусов, но более эффективно при обнаружении новых членов известного семейства вирусов (семейство вирусов — это совокупность вирусов, имеющих много общих характеристик), и код тот же).

Эта возможность очень важна, поскольку сегодня большинство сканеров имеют более 250 000 сигнатур, а количество новых обнаруженных вирусов продолжает резко увеличиваться с каждым годом.

Требует периодических обновлений

Каждый раз, когда обнаруживается новый вирус, который текущая сигнатура не может обнаружить или обнаруживается, но не может быть должным образом удален, поскольку его поведение не полностью соответствует ранее известным угрозам, необходимо создать новую сигнатуру.

После того как новая сигнатура сгенерирована и проверена поставщиком антивирусного ПО, она передается заказчику в виде обновления сигнатуры. Эти обновления добавляют в модуль сканирования возможности обнаружения. В некоторых случаях ранее предоставленные подписи могут быть удалены или заменены новыми, чтобы обеспечить лучшее общее обнаружение или удаление.

Необходимо периодически обновлять базу сигнатур.

В зависимости от провайдера обновления могут предоставляться ежечасно или ежедневно, а иногда даже еженедельно. Большая часть необходимости в предоставлении подписи будет варьироваться в зависимости от типа сканера, т. е. от того, на чем сканер ориентирован.

Например, рекламное и шпионское ПО не столь «распространены», как вирусы, поэтому обычно сканеры рекламного и шпионского ПО могут предоставлять обновления сигнатур только еженедельно (или даже реже). Напротив, антивирусный сканер каждый месяц сталкивается с тысячами новых обнаруженных угроз, поэтому обновления сигнатур должны предоставляться как минимум каждый день.

Конечно, было бы непрактично выпускать отдельную сигнатуру для каждого вновь обнаруженного вируса, поэтому поставщики антивирусов обычно выпускают версии по установленному графику, охватывая все новые вредоносные программы, обнаруженные в течение этого периода времени. Если угроза особенно распространена или обнаруживается между регулярными запланированными обновлениями, поставщик обычно анализирует вредоносное ПО, создает сигнатуру, тестирует ее и выпускает вне расписания обновлений.

Чтобы поддерживать высочайший уровень защиты, настройте антивирусное программное обеспечение на регулярную проверку обновлений. Обновление сигнатур не гарантирует, что новый вирус никогда не будет пропущен, но снижает вероятность этого.