La protection en temps réel : Comment ça marche ?

La protection en temps réel, la clé de toute bonne protection.

On appelle « protection en temps rée l » le fait qu’un antivirus (ou anti malware, antispyware,anti adware…) puisse détecter toute activité suspicieuse dans le système, en dehors des phases d’analyse. Un ordinateur « travaille » constamment, mais si l’activité peut sembler nulle, elle est souvent indécelable et silencieuse. C’est le moment idéal pour un malware de se manifester, car l’utilisateur qui n’est pas conscient du danger ne risque pas d’intervenir rapidement pour corriger le tir. Un système est composé de plusieurs éléments, comme sa mémoire (où tournent plusieurs applications), sa base de registre (une sorte de répertoire) ou ses pilotes (qui assurent la liaison avec les périphériques). Chaque type de malware visera l’un de ces éléments pour commettre son méfait. Ainsi, un backdoor ouvrira un port, c'est-à-dire une ouverture sur le réseau, un virus attaquera les fichiers, un trojan infectera la mémoire…avec à chaque fois des effets différents. La protection en temps réel surveille tous ces éléments et permet de détecter instantanément tout dysfonctionnement, autrement invisible.

Les antivirus maitrisent le sujet

Bon nombre de programme de sécurité faisaient appel à une surveillance constante du système, c’est pourquoi certains antivirus ralentissaient l’ordinateur, même en dehors des phases d’analyse impérative. Le moteur, jusque-là en « veille », se réveillait pour identifier un processus et la valider : installation de programme, décompression de fichiers, nouveau périphérique connecté…Cette solution est pour le moins efficace mais réclame des ressources et nécessite une analyse régulière du système. Mais heureusement, la technologie évolue dans le bon sens. Depuis quelques années, les « épidémiologistes » préfèrent la protection dite « heuristique », basée sur le comportement. En clair, l’antivirus analyse le comportement du système et agit immédiatement dès qu’il soupçonne toute intrusion. Le processus soupçonné est alors étudié, au niveau de sa structure et aussi de son comportement. Le résultat : un antivirus plus performant et plus sûr puisque cela permet de classer tout élément douteux en quarantaine avant sa classification dans la base de données virale. De la même manière, les programmes spécialisés visent uniquement certains processus (les anti-adware ne s’occupent que d’une forme de fichiers, idem pour les anti-spyware…). Mais peu importe la nature du programme, la protection en temps réel ne doit pas se substituer à l’analyse du système, qui permet de déceler toute menace en sommeil, donc indétectable autrement.