- Analyse heuristique
-
L’analyse heuristique est une méthode utilisée par les logiciels antivirus pour détecter les nouveaux virus, ainsi que les nouvelles variantes d’un virus déjà connu. L’analyse heuristique est une méthode basée sur des expressions régulières[1] pour déterminer la sensibilité d’un système envers des menaces particulières en utilisant plusieurs techniques. Cette méthode différencie de l’analyse statistique qui se base sur les données et statistiques disponibles.
Sommaire
Fonctionnement
Les logiciels antivirus exécutent le code ou le script de fichier à analyser dans un environnement virtuel, tout en analysant les instructions de programme. Cela permet de connaitre le comportement de programme tout en isolant le code de fichier suspect de la machine réel. Si l’antivirus détecte des instructions suspectes comme la suppression de fichiers, lancement de processus multiple, le fichier sera reconnu comme un virus et l’utilisateur sera alerté. Une autre technique consiste à décompiler le programme en question et analyser son code source. Le code est comparé aux codes d’autres virus connus. Si une grande partie de code est trouvée dans d’autres virus, le programme sera reconnu en tant qu’une menace. L’utilisateur peut lui-même faire une analyse heuristique sans avoir recours à un antivirus en simulant le fonctionnement de celui-ci. Il consiste à lancer le fichier dans une machine virtuelle, et voir le comportement de programme et l’état de la machine. Par exemple, Deep Freeze protège la configuration de l’ordinateur tout en permettant à l’utilisateur de faire tout ce qu’il veut. Les dernières versions de Kaspersky intègrent un bureau virtuel, l'utilisateur peut lancer les applications suspectes en toute sécurité. Le premier anti-virus connu à avoir implementé une méthode d'analyse à base d'heuristiques est 'Kill Them All' sur plate-forme Atari ST. Cet anti-virus a été diffusé en complément du magazine ST MAG N°74 en 1993[2][3] .
Inconvénient
Bien que l’analyse heuristique permet de détecter de nouveaux virus et les nouvelles variantes des virus existant déjà, l’efficacité est vraiment faible en regardant le nombre de faux positifs. C’est parce que les virus informatique tout comme les virus biologiques changent constamment et ils évoluent. Comme l’analyse heuristique se repose sur la comparaison de fichier suspect avec les autres virus déjà connus, il est fréquent qu’elle rate certains virus qui contiennent de nouveaux codes ou de nouvelles méthodes de fonctionnement.
Cas notables
- En juillet 2009, iTunes a été reconnu comme un cheval de Troie par AVG Anti-Virus, il s’agit d’un faux positif[4].
- En décembre 2010, c’est Google Chrome qui a été reconnu cette fois-ci comme un cheval de Troie par AVG Anti-Virus[5].
Références
Wikimedia Foundation. 2010.
