|
Dans le contexte des logiciels antivirus et antispyware, une « signature » fait référence à une donnée d'identification unique, généralement une séquence d'octets spécifique ou une valeur de hachage (comme MD5, SHA-1, SHA-256), caractéristique d'un programme malveillant connu (virus, ver, cheval de Troie, logiciel espion, etc.). Ces signatures sont essentiellement des « empreintes digitales » utilisées pour détecter les logiciels malveillants.
Le logiciel antivirus fonctionne en comparant les fichiers et les processus sur un ordinateur avec une base de données constamment mise à jour de ces signatures. Si une correspondance est trouvée, le logiciel peut identifier en toute confiance le fichier ou le processus comme étant malveillant et prendre des mesures (par exemple, mettre en quarantaine, supprimer, bloquer l'exécution).
Il existe différents types de signatures :
* Signatures de fichiers : Ce sont des signatures dérivées du contenu du fichier malveillant lui-même. Ils peuvent cibler des parties spécifiques du code, des chaînes dans le code ou même la structure globale du fichier.
* Signatures comportementales : Ceux-ci sont moins directs et détectent les *activités* malveillantes plutôt que le contenu spécifique d'un fichier. Ils recherchent des actions suspectes, telles que des tentatives de modification de fichiers système, des connexions réseau à des serveurs de commande et de contrôle connus ou des modèles d'accès à la mémoire inhabituels. Ceux-ci sont cruciaux pour détecter les logiciels malveillants polymorphes (qui modifient leur code pour échapper à la détection basée sur les signatures).
* Signatures heuristiques (ou heuristiques) : Il s'agit de règles ou de modèles qui décrivent les caractéristiques des logiciels malveillants plutôt que des séquences d'octets spécifiques. Ils sont utilisés pour détecter les logiciels malveillants nouveaux ou inconnus qui n'ont pas encore de signature spécifique. Ils sont souvent moins fiables mais offrent un certain degré de protection contre les attaques zero-day.
L'efficacité de la détection basée sur les signatures dépend de la qualité et de la quantité des signatures dans la base de données antivirus. Bien qu'elle soit efficace contre les logiciels malveillants connus, la détection basée sur les signatures lutte contre les exploits du jour zéro et les logiciels malveillants polymorphes/métamorphiques qui modifient constamment leur code pour éviter d'être détectés. Les logiciels antivirus modernes combinent souvent une détection basée sur les signatures avec une analyse heuristique, une surveillance comportementale et d'autres techniques pour une protection plus robuste.
|
