Cosè la firma antivirus?

Nel campo degli antivirus, una firma virale è un algoritmo o una funzione hash (un numero derivato da una stringa di testo) che identifica in modo univoco un virus specifico.

Come vengono visualizzate le firme dei virus?

A seconda del tipo di scanner utilizzato, la firma del virus può essere un hash statico (il valore numerico calcolato di un frammento di codice univoco per il virus) o, meno comunemente, l'algoritmo può essere basato sul comportamento. Ad esempio, se questo file tenta di fare qualcosa di insolito, verrà contrassegnato come sospetto e all'utente verrà chiesto di prendere una decisione. A seconda del fornitore del software antivirus , una firma del virus può essere chiamata firma, file di definizione o file DAT.

Una firma può corrispondere a un gran numero di virus. Ciò consente allo scanner di rilevare un virus completamente nuovo che non ha mai visto prima. Questa capacità è spesso chiamata rilevamento euristico o generico (identificazione di un programma o file con caratteristiche o comportamenti simili a programmi dannosi noti, come trojan , backdoor o exploit ).

Le firme dei virus possono essere funzioni hash statiche o algoritmi basati sul comportamento

Questo è meno efficace contro virus completamente nuovi, ma è più efficace nel rilevare nuovi membri di una famiglia di virus conosciuta (una famiglia di virus è una raccolta di virus che condividono molte caratteristiche comuni) e il codice è lo stesso).

Questa capacità è molto importante, poiché la maggior parte degli scanner oggi include più di 250.000 firme e il numero di nuovi virus scoperti continua ad aumentare notevolmente ogni anno che passa.

Necessita di aggiornamenti periodici

Ogni volta che viene scoperto un nuovo virus che la firma attuale non è in grado di rilevare, oppure è rilevabile ma non può essere rimosso adeguatamente, perché il suo comportamento non corrisponde pienamente alle minacce già note in precedenza, è necessario creare una nuova firma.

Dopo che la nuova firma è stata generata e controllata dal fornitore dell'antivirus, viene consegnata al cliente come aggiornamento della firma. Questi aggiornamenti aggiungono funzionalità di rilevamento al motore di scansione. In alcuni casi, le firme fornite in precedenza potrebbero essere rimosse o sostituite con nuove firme per fornire un migliore rilevamento o rimozione generale.

È necessario aggiornare periodicamente il database delle firme

A seconda del provider, gli aggiornamenti possono essere forniti ogni ora o ogni giorno, a volte anche settimanalmente. Gran parte della necessità di provisioning della firma varierà a seconda del tipo di scanner, ovvero di ciò su cui lo scanner è focalizzato sul rilevamento.

Ad esempio, adware e spyware non sono così "proliferativi" come i virus, quindi in genere gli scanner di adware/spyware possono fornire aggiornamenti delle firme solo settimanalmente (o anche meno spesso). Al contrario, uno scanner antivirus deve affrontare migliaia di nuove minacce scoperte ogni mese e pertanto gli aggiornamenti delle firme dovrebbero essere forniti almeno ogni giorno.

Naturalmente, sarebbe poco pratico rilasciare una firma separata per ogni virus appena scoperto, quindi i fornitori di antivirus tendono a rilasciarlo secondo un programma prestabilito, coprendo tutto il nuovo malware scoperto durante quel periodo di tempo. Se una minaccia è particolarmente diffusa o viene rilevata tra gli aggiornamenti regolarmente pianificati, il fornitore in genere analizzerà il malware, creerà una firma, lo testerà e lo rilascerà normalmente al di fuori della pianificazione degli aggiornamenti.

Per mantenere il massimo livello di protezione, configura il tuo software antivirus per verificare regolarmente la presenza di aggiornamenti. Mantenere aggiornate le firme non garantisce che un nuovo virus non venga mai rilevato, ma rende meno probabile che ciò accada.