AMSI

AMSI — компонент Windows, предоставляющий приложениям и интерпретаторам единый интерфейс для проверки потенциально опасного содержимого средствами зарегистрированного поставщика защиты от вредоносных программ. Он не является самостоятельным антивирусным движком и не хранит собственные сигнатуры. Приложение передаёт в AMSI буфер данных и контекст проверки, например текст сценария. Поставщик защиты возвращает результат анализа; дальнейшая реакция — журналирование, предупреждение или блокирование — зависит от приложения, его политики и возможностей защитного продукта. AMSI применяется для контроля скриптов, документов с макросами и другого содержимого, которое может формироваться или раскрываться уже в памяти. При выборе средств защиты следует проверять поддержку AMSI и передачу событий в используемую систему мониторинга. AMSI отличается от защиты файловой системы: последняя анализирует операции с файлами, а AMSI получает содержимое от интегрированного приложения. Он также не заменяет EDR, который дополнительно собирает телеметрию и связывает действия в цепочку событий.