Эвристический анализ

Эвристический анализ — метод оценки файлов, скриптов или сетевых объектов по косвенным признакам вредоносной активности. Он ищет подозрительные структуры, команды, упаковщики, способы закрепления и комбинации действий, а не только точное совпадение с известной сигнатурой. Правила эвристики формируют оценку риска или срабатывание защиты. Чувствительность обычно настраивается, но её повышение может увеличить число ложноположительных срабатываний; поэтому важны исключения, аудит событий и тестирование политик на типовых нагрузках. Метод применяется в антивирусных средствах, почтовых шлюзах, системах анализа вложений и средствах защиты конечных точек. Он полезен для первичного выявления модифицированных и ещё не классифицированных образцов. Эвристический анализ отличается от сигнатурного тем, что не требует точного образца в базе. Он также не тождествен поведенческому анализу: эвристика может оценивать статические свойства объекта до запуска, а поведенческий анализ наблюдает действия процесса во время выполнения.