Nuevos enfoques de los antivirus

Una (entre varias) de las grandes batallas de la seguridad informática son los virus. Empezaron por ser molestos (tipo la pelotita de ping pong o no dejarte usar el teclado) hasta terminar siendo peligrosos por facilitar acceso a tu ordenador y sus datos confidenciales o usarlo como zombie para ataques y cometer actos delictivos.

Frente a ellos, la aproximación que han vendo realizando los antivirus es reconocerlos para eliminarlos del sistema lo antes posible. Esta forma de reconocerlos se basa en unas firmas que permiten detectar los virus conocidos y por ello tenemos que actualizar esta base de datos de firmas (signatures) de forma periódica.

Como en la mayoría de formas de protección y seguridad tratan de intentar resolver a posteriori. La seguridad de nuestro sistema depende de la rapidez con que las empresas del sector de los antivirus detecten nuevas amenazas y virus, los procesen y sean capaces de detectarlos y eliminarlos.

Frente a eso y a la aparición de variantes y mutaciones basadas en virus ya existentes, algunos antivirus empezaron a experimentar con sistemas heurísticos que según la wikipedia podemos definir.

En los productos antivirus se conoce como heurística a las técnicas que emplean para reconocer códigos maliciosos (virus, gusanos, troyanos, etc.) que no se encuentren en su base de datos (ya sea porque son nuevos, o por no ser muy divulgados). El término general implica funcionalidades como detección a través de firmas genéricas, reconocimiento del código compilado, desensamblado, desempaquetamiento, entre otros.

Su importancia radica en el hecho de ser la única defensa automática posible frente a la aparición de nuevos códigos maliciosos de los que no se posea firmas.

Cuanto mas nuevo es un virus mas difícil es detectarlo, pero muchísimo más deshacer todos los cambios y el daño que ha realizado. Por eso actualmente son muchísimos los virus que el antivirus detecta y puedes eliminar, pero no «curar».

Alguna aproximación distinta ha habido al tema basada en aplicar ACL (Lista de Control de Acceso del inglés, Access Control List ) a programas. Las ACL usualmente destinadas a gestionar los permisos en redes y sistemas operativos.

Estas aproximaciones se basan en listas blancas (tienen permiso) negras (no lo tienen) y en ocasiones grises (por revisar) y en una política hiper-restrictiva de listas donde todo programa que no esta en la lista blanca no puede actuar. Estas listas han de ser revisadas por personal técnico por lo que como política de seguridad es muy buena pero como política de usabilidad evidentemente no.

Algunos antivirus buscando nuevos enfoques empiezan a investigar y usar otros sistemas de detección basados en comportamientos, es decir monitorizar y vigilar lo que los programas hacen y si hay algo extraño o sospechoso en sus actividades.

Una de ellos es el AVG con su AVG Identity Protection de AVG que basa sus mejoras en el software que la compañía compro al adquirir la empresa Sana Security.

El Failsafe 3.0 de Damballa es un dispositivo que se conecta al ordenador para detectar botnets de malware y se mantiene a la escucha de nuestras comunicaciones con otros sistemas.

En la actualidad los antivirus han evolucionado hacia completas suites de detección no solo de virus sino de otras amenazas como caballos de troya, botnets, malware, spyware, uso de la red, etc… con tantas opciones que a veces a un usuario estándar le puede costar llegar a todas y simplificándose en niveles de uso o protección bajo/medio/alto mediante asistentes.

Podemos bloquear así involuntariamente cosas como envío de traps de monitorizariones SNMP o envió de correos automatizados ante eventos de programas corporativos o dispositivos de seguridad (una cámara por ejemplo), importaciones o exportaciones de bases de datos, … bloqueadas por módulos o reglas avanzadas del programa antivirus.