Les débuts de l’antivirus

Le premier programme antivirus connu, appelé"The Reaper", a été créé au début des années 1970 pour lutter contre le virus "Creeper", l'un des premiers virus informatiques connus.

Le principe de fonctionnement d’un antivirus

Un antivirus traditionnel détecte les menaces en comparant les fichiers à une base de signatures connues. Il utilise aussi l’analyse heuristique pour repérer des comportements suspects. Des mises à jour régulières sont nécessaires pour contrer les nouvelles menaces.

Le système de détection par signature

Cette méthode compare les fichiers à une base de signatures de virus connus. Si une correspondance est trouvée, l’antivirus bloque la menace. Son efficacité dépend des mises à jour régulières pour détecter les nouveaux virus.

Les attaques Zero Day

Les attaques Zero Day exploitent des vulnérabilités inconnues des développeurs, avant qu’une solution ou mise à jour de sécurité ne soit disponible. Ces attaques sont particulièrement dangereuses car elles échappent aux protections existantes jusqu'à ce qu'elles soient découvertes et corrigées.

L'analyse heuristique

L’analyse heuristique permet à un antivirus de détecter des menaces inconnues en analysant le comportement des fichiers ou programmes. Plutôt que de se baser sur des signatures connues, elle identifie des activités suspectes ou anormales, comme l’accès non autorisé à des fichiers sensibles, afin de repérer des malwares potentiels.

Le sandboxing

Le sandboxing est une technique utilisée par les antivirus pour isoler et analyser des fichiers suspects dans un environnement virtuel sécurisé, appelé "bac à sable". Cela permet de tester le comportement d'un programme sans risquer d'endommager le système ou d'infecter l'ordinateur. Si le programme se révèle malveillant, il peut être supprimé sans affecter l'environnement principal.

L'environnement virtuel

Un environnement virtuel est un espace isolé créé sur un système informatique, où des programmes peuvent être exécutés sans interagir avec le reste du système. Cela permet de tester des fichiers ou des applications en toute sécurité, sans risquer de provoquer des dommages ou des infections.

La détection comportementale

La détection comportementale surveille l'activité des programmes en temps réel pour repérer des comportements suspects ou anormaux, comme des tentatives d'infection ou d'accès non autorisé. Contrairement à la détection par signature, elle ne dépend pas de virus connus, mais analyse les actions d'un programme pour identifier les menaces potentielles.

Mise en situation

Un ordinateur du service RH effectue un ping vers le service direction, ce qui est inhabituel et sans raison apparente. Cette action étant suspecte, une alerte est déclenchée.

L'analyse heuristique, aujourd'hui, c'est quoi ?

Résumé des étapes :

→ Choix de l’algorithme Random Forest.

→ Apprentissage sur 80 % des données (programmes malveillants et bienveillants).

→ Test sur 20 % restants

• 87 % de précision pour les programmes malveillants.
  
• 93 % de précision pour les programmes bienveillants.

→ Déploiement du modèle pour analyser de nouveaux programmes.