Quel est le principe de base du fonctionnement des anti-virus pour reconnaitre un fichier porteur de virus ?

Comparaison du code binaire de chaque fichier analysé avec celui contenu dans la base de données (mise à jour ) ?

Bonsoir

en complément de mon ami ernesto.

Prévention (par Australien)

Le logiciel anti-virus est un élément absolument nécessaire pour obtenir un niveau de sécurité maximal.
Il est le gardien de votre ordinateur et de son contenu (veille à sa santé, le protège des virus, répare les dégâts en cas d'infection en fonction de la nature du virus)
Un anti-virus performant utilisant plusieurs méthodes de détection est vivement conseillé. Celui-ci permettra de détecter les virus connus, mais aussi inconnus par une analyse comportementale.

Voici les méthodes d’analyse les plus efficaces et conseillées pour prévenir l’intrusion de programmes dangereux.

Analyse par signature

Les éditeurs antivirus ayant préalablement identifié et enregistré des informations sur le virus, comme le ferait un dictionnaire, le logiciel peut ainsi détecter et localiser la présence d’un virus.

Lorsque cela se produit, l'antivirus dispose de 2 options, il peut :
- Tenter de réparer les fichiers endommagés en éliminant le virus ;
- Supprimer les fichiers contaminés.

Afin de maximiser le rendement de l'antivirus, il est essentiel d’effectuer de fréquentes mises à jour afin d’obtenir les dernières signatures de la part de l’éditeur.

Généralement, les antivirus examinent chaque fichier lorsqu'il est créé, ouvert, fermé ou lu (en fonction du paramétrage). De cette manière, les virus peuvent être identifiés immédiatement.

Même si les logiciels antivirus sont très performants et régulièrement mis à jour, les créateurs de virus font tout aussi souvent preuve d'inventivité. En particulier, les virus «oligomorphiques», «polymorphiques» et plus récemment, «métamorphiques», sont plus difficiles à détecter.

Les types d’analyse suivants permettent la détection de ce type de programme.

Analyse du comportement (Pro active)

Afin de détecter les nouvelles générations de virus, ce type d’analyse consiste à détecter les comportements suspects des programmes. Par exemple, si un programme tente d’écrire des données sur un programme exécuté, l’antivirus détectera ce comportement suspect et en avisera l’usager qui lui indiquera les mesures à suivre.

Contrairement à l’approche précédente, la méthode du comportement suspect permet d’identifier des virus très récents qui ne seraient pas encore connus dans les signatures de l'antivirus.

Toutefois, le fait que les usagers soient constamment avertis, de fausses alertes peuvent les rendre insensibles aux véritables menaces. Si les usagers répondent « Accepter » à toutes ces alertes, l’antivirus ne leur procurera aucune protection supplémentaire.

Analyse heuristique

L'analyse heuristique est utilisée par la plupart des éditeurs à l’heure actuelle. Par exemple, l’antivirus peut analyser le début de chaque code de toutes les nouvelles applications avant de transférer le contrôle à l’usager. Si le programme semble être un virus, alors l’usager en sera averti.

Toutefois, cette méthode peut également mener à de fausses alertes. La méthode heuristique permet de détecter des variantes de virus et, en communiquant automatiquement les résultats de l'analyse à l'éditeur, celui-ci peut en vérifier la justesse et mettre à jour sa base de définitions virales.

La méthode heuristique consiste à émuler le système d’exploitation et à exécuter le fichier lors de cette simulation. Une fois que le programme prend fin, les logiciels analysent le résultat afin de détecter les changements qui pourraient contenir des virus.
En raison des problèmes de performance, ce type de détection a lieu habituellement pendant l’analyse à la demande.

Les principaux antivirus du marché se concentrent sur des fichiers de signatures et comparent alors la signature virale du virus aux codes à vérifier.

Analyse par Cloud Computing

Le cloud computing, informatique en nuage ou infonuagique est un concept qui consiste à déporter sur des serveurs distants des traitements informatiques traditionnellement localisés sur des serveurs locaux ou sur le poste client de l'utilisateur.

Certains antivirus ne fonctionnent qu'avec cette méthode, ce qui implique d'avoir l'accès continu à internet. Le moteur d'analyse ne se trouvent plus sur le PC mais décentralisés, sur les serveurs de la société éditrice. Ainsi, l'antivirus ne consomme que très peu de ressources système, et aucune mise à jour n'est nécessaire, contrairement aux antivirus classiques.

Cordialement