Antivirus/anti-malwares : on-access scanning

Voir :

• Les analyses « On-demand » peuvent utiliser les trois technologies : Réactive, Proactive, Contrôle d'intégrité, mais c'est généralement l'analyse réactive qui est utilisée. Si le code est obfusqué (brouillé ou chiffé), une analyse de ce type ne verra rien. D'autre part, les analyses « On-demand » seules ne permettent pas de détecter les nouvelles menaces (leurs signatures ne sont pas encore connues).

• Les analyses « On-access » peuvent utiliser les trois technologies : Réactive, Proactive, Contrôle d'intégrité, mais c'est généralement l'analyse proactive qui est utilisée. Si le code est obfusqué (brouillé ou chiffé), une analyse de ce type ne verra rien.

• Les analyses « On-execution » utilisent la technologie Proactive de manière plus subtile. C'est du « On-access » intelligent. Au moment ou un objet tente de monter en mémoire pour s'exécuter, il est obligé de se dévoiler, même s'il était obfusqué (brouillé ou chiffé) avant, car, dans une sandbox (machine virtuelle), on verra ce qu'il fait ou tente de faire. En plus, avec l'ordonnanceur des processus (round-robin), il n'existe plus de risque de collision entre plusieurs antivirus simultanés.

Les analyses « On-demand » seules ne permettent pas de détecter si un code (un programme ou un script, etc.) a déjà été exécuté auparavant. Ce type d'analyse fait un état des lieux et signale la présence de menaces anciennes, qui ont probablement déjà été ouvertes (exécutées...) et ont, sans doute, déjà accompli leur oeuvre obscure. Typiquement, l'antivirus « On-demand » gratuit et open-source du monde Linux, porté sous Windows, ClamAV, et un truc gentillet mais n'offrant aucune protection active. Un véritable antivirus, au comportement « On-access », aurait probablement empêché la pénétration de cette menace ou, si elle avait réussi à pénétrer, en aurait empêché son ouverture/exécution.

Le comportement « On-demand » est de peu d'intérêt (par exemple : nous disposons d'une collection de milliers de parasites divers sur nos disques actuellement branchés, sans que cela ne gène en quoi que ce soit le fonctionnement de nos machines : une analyse « On-access » serait provoquée si nous demandions l'ouverture de l'un de ces fichiers sinon ils peuvent rester là sans aucune incidence. Seule une analyse « On-demand », balayant la totalité de nos partitions, les découvrirait. Tant qu'ils ne sont pas « ouverts » (installés - activés - exécutés) ils sont totalement inoffensifs, raison pour laquelle les tests comparatifs « On-demand » n'ont aucune utilité - Voir notre article « Tests et comparatifs antivirus ».