Antivirus thực sự làm gì?

Vai trò gồm bốn việc: phát hiện, phân tích, chặn và cách ly. Nó không sửa lỗ hổng hệ thống, không thay firewall, không mã hóa liên lạc và không bù được việc thiếu cập nhật. Antiphishing, password manager hay URL filtering có thể hữu ích nhưng không phải bản thân engine phát hiện.

Nó được chèn vào hệ thống ở đâu?

Quét khi truy cập: tệp được kiểm tra lúc mở, sao chép hoặc tải xuống; trên Windows, minifilter có thể can thiệp trước thực thi. Quét theo lịch: tìm tệp nằm im từng lọt qua. Giám sát hành vi: quan sát process trong bộ nhớ; AMSI cho phép kiểm tra một số script trước khi chạy. Bảo vệ khởi động: ELAM tải driver antivirus đã chứng nhận sớm trong một phần giới hạn của boot.

Cách phát hiện mối đe dọa

Nhiều phương pháp bổ trợ nhau. Signature và rule: so với mẫu đã biết, kém hơn với mối đe dọa mới và polymorphic malware. Hành vi: tìm sửa hàng loạt tệp, injection hoặc phá protection, đôi khi sau khi process khởi chạy. Heuristic tĩnh: xem cấu trúc trước thực thi, có nguy cơ false positive. Emulation hoặc sandbox: chạy cô lập, nhưng malware có thể phát hiện ảo hóa. Reputation, cloud và machine learning: tham khảo model cùng cơ sở từ xa của từng hãng.

Sau khi phát hiện, antivirus làm gì?

Sản phẩm có thể chặn tệp tải, đưa vào cách ly để hoàn tác nếu false positive, khử nhiễm file host khi có thể hoặc xóa. Nếu ransomware đã mã hóa dữ liệu, antivirus không tự khôi phục tính toàn vẹn; backup vẫn bắt buộc.

Giới hạn cấu trúc

Khoảng trễ từ lúc mối đe dọa xuất hiện đến khi được nhận diện tin cậy không bao giờ bằng không. Rootkit ở kernel có thể che dấu. Fileless malware chạy trong bộ nhớ bằng công cụ hợp pháp. Implant BIOS/UEFI vượt ngoài phạm vi chuẩn và có thể tồn tại sau cài lại. Cuối cùng, engine không ngăn được mọi quyết định của con người như cho phép app hoặc nhập mật khẩu vào trang giả.

Điều cần nhớ

Antivirus là một lớp quan trọng nếu engine, hệ thống và component luôn cập nhật. Khả năng của nó giảm tùy mối đe dọa và quyết định người dùng. Hãy kết hợp với backup, vệ sinh số và VPN cho lớp mạng. Xem thêm malware là gì.