ヒューリスティックス

を検討する状況であなたが課せられるすべての世界に通用する国際的なスパイを識別します。会うかもしれないが、彼らは実際には何を知りませんでしたように見えました。挑戦することができ、このアプローチを開発するには、まず行列上場して既知のスパイの属性およびそれらに基づいて割り当てられたポイントをどのように彼らを強く示すスパイします。お客様のリストのように見えるかもしれ：

おしゃれ着ているスーツやタキシード（ 70ポイント）します。
残存しそうにないことや他の災害状況（ 30ポイント）します。
ドライブにスリック車（ 80ポイント）します。
ついてない日には、決して（ 58ポイント）します。

リストに入る可能性が、あなたのアイデアを取得しています。場合、すべてのポイントを合計して、特定の個人の価値を超えて、あなたかもしれないと判断した彼は、あるいは彼女は、たぶんこの特定のスパイ偵察せずに会えない前にします。次に、を求めることができ、車に乗るのツルツルします。

署名を実現するには限界に基づいた検出手法、アンチウイルスソフトのメーカーが似たような方法で考案することができ、以前に見えないウイルスを検出することを示す特定の行動や構造の特徴がある。シマンテック、例えば、この機能を呼び出し、ノートンアンチウイルス製品ブラッドハウンドます。ヒューリスティックス検出エンジンをベースにファイルをスキャンし、ウイルスの機能を頻繁に見られるなど、これら：

ブートセクタにアクセスしようとしています。
しようとしたすべての文書は、現在のディレクトリを見つけました。
exeファイルの書き込みをしようとしました。
ハードドライブの内容を削除しようとしました。

スキャナヒューリスティックスとして、ファイルを検証し、それは通常体重を割り当てられ、各ウイルスのような機能に遭遇しています。総重量を超えている場合、ファイルの特定のしきい値は、その後、悪意のあるコードスキャナを考慮しています。スキャナの場合、開発者が低すぎるしきい値を設定し、そのユーザーのかもしれない誤報を圧倒します。その半面、場合、しきい値の設定が高すぎる場合、またはウイルスのような機能が正しく認識しない場合、ミスがあまりにも多くのウィルス検出します。いずれにせよ、ユーザーの保護が限られていない限り、ちょうどいい感度が設定されます。

この手法は非常に役に立ちません。アンチウィルスソフトウェアをマルウェアを検出することができました後にのみ、ウイルスに感染するなどの行動展示悪意のあるプログラムやファイルを削除します。もしそうだった場合は、警告を受けるかもしれないから、アンチウイルスソフトウェアでは、 "お使いのシステムが完全に損なわれるウイルスばかりでした！すてきな日です。 " これは確かに興味深い情報は、前に警告を取得する必要があり、その方法では、不正なソフトウェアをお使いのマシンです。トリックは、不審なファイルをパースする方法で、アンチウイルスソフトウェアを予測することができるだろうどのような操作を実行する場合は、実際には、ウイルスを実行するチャンスです。このコードを実行する前に発生し分析する必要があります。アンチウイルスソフトウェアをエミュレートaccomplishesこの目標をしようとするのプロセッサを搭載した、潜在的に悪意のあるプログラムが実行されます。実行ファイルの場合、コンパイルintel x86用のマシンでは、このアプローチを求めるの主要機能をエミュレートしてx86のプロセッサが必要です。 vbscriptのマクロの場合、マイクロソフトオフィス埋め込まれた文書は、このアプローチの基本的な機能をエミュレートする必要がvbscriptの処理エンジンです。

難しさを考慮して確実にエミュレートするプロセッサ、ヒューリスティック検出のアプローチはほど遠いん。それは、特にやりがいの影響を評価するマクロベースのウイルス、実行可能なため、構造やフローは、予測可能なものよりもはるかに少ないの実行ファイルをコンパイルします。その結果、ウィルススキャナに依存していないとしての独占的なアプローチをヒューリスティックス-ウィルスを検出することも古き良き署名技術を使用して、ときどきとの整合性の確認方法を採用することも次のページで説明します。

これは、記事を追加したレヴィd.ジョンソン