Virusscanners kunnen op verschillende manieren een systeem tegen virussen, wormen en andere malware beschermen. Het gebruik van signatures, waarmee de virusscanner een bepaalde worm of virus kan herkennen, was jarenlang het meest gebruikt. Er verschijnen echter steeds meer virussen voordat er een update beschikbaar is, waardoor het systeem al die tijd kwetsbaar is. Een andere methode is het gebruik van heuristische scanning, waarbij de scanner naar bepaalde eigenschappen en kenmerken van malware kijkt en ingrijpt als het iets verdacht ziet.

Anti-virusaanbieder NOD32 kwam deze week met een persbericht waarin het liet weten dat een proactieve, heuristische oplossing belangrijk is om ICT-systemen tegen virussen en andere kwaardaardige code te beschermen. De uitspraak werd onderbouwd met testresultaten van AV-comparatives waarin AV-programma's 3 maanden lang niet geupdate zijn. Daarna werd er met een breed scala van reeds bestaande en nieuwe virussen, zoals: Backdoors, Trojans en andere malware getest. De test vergeleek op deze wijze de proactieve capaciteiten van de diverse producten, waar NOD32 als beste uit de bus kwam.

Andere virusscanners scoorden aanmerkelijk minder: Symantec 37%, Kaspersky 35%, McAfee 14%, Trend Micro 12%. Waaruit zou blijken dat deze producten afhankelijk zijn van haar updates.

Dit dekt echter, volgens Luc Eeckelaert, Business Unit Manager van Trend Micro, slechts een deel van de lading en geeft bovendien een 'vals' gevoel van veiligheid. De ervaring leert dat bedrijven die vertrouwen op de heuristische methode, er sterk op rekenen dat virussen geblokkeerd worden via deze functionaliteit. Zij worden vervolgens vaak te laat voorzien van pattern files. Het tijdig leveren van pattern files (= timely updates) is van onschatbare waarde. De recente Zotob aanval was hier duidelijk het bewijs van. Heuristische engines hebben deze bedreiging niet kunnen onderscheppen.

Update 22/8/05: Reactie van NOD32

Preventief scannen > beveiliging voorafgaand aan een update
De reden dat wormen zoals Sober en Zotob kans zien schade aan te richten is omdat de conventionele Antivirus programma's je alleen beschermen door middel van updates, zoals ook Trend Micro. Het risico van de besmetting is tegenwoordig namelijk het grootst in de tijd tussen de uitbraak en de update. In deze tijd zijn de systemen niet beschermd; ze hebben immers nog geen update ontvangen. Daarom in het belangrijk dat de bescherming proactief is. Om er zeker van te zijn dat gebruikers inderdaad een programma hebben dat in staat is preventief te scannen, heeft het onafhankelijke testinstituut AV-comparatives (www.av-comparatives.org) in Oostenrijk onderzocht welk programma deze bescherming biedt. Dit instituut is op geen enkele wijze verbonden met NOD32. Omdat de resultaten uitwijzen dat NOD32 op basis van heuristische detectie de beste preventieve beveiliging biedt, hebben wij deze test gecommuniceerd. Het betreft namelijk de nieuwe manier van virusbestrijding: preventief scannen in plaats van beveiliging uitsluitend via updates, dat te veel risico's met zich meebrengt.

Hoe kan een AV preventief scannen > heuristische detectie
De reden dat NOD32 de hoogste score in deze test heeft, komt omdat het gebruikt maakt van geavanceerde heuristische detectie. Daardoor is NOD32 in staat het gedrag te scannen i.p.v. alleen te scannen op code. Het is te vergelijken met het afweersysteem: lichaamsvreemde stoffen worden direct verwijderd. Terwijl een beveiligingssysteem alleen gebaseerd op updates te vergelijken is met een vaccin dat ontwikkeld wordt als het virus is uitgebroken en zich al heeft kunnen verspreiden. Het risico, veroorzaakt door het moeten wachten op dit vaccin (de update met de specifieke signature) is zo groot, dat AV-comparatives een onderzoek heeft ingesteld om te kijken welk programma dit risico afdekt. Om deze reden heeft AV-Comparatives in haar test dus juist gekeken naar de heuristische detectie: dat was de kern van de test (hoe presteer je zonder upates). De test zegt dus minder over de algemene scanprestaties (en updates etc.) maar juist alles over die preventieve werking.

Updates én heuristische detectie
De beste bescherming wordt verkregen door de twee manieren te combineren: geavanceerde heuristische detectie en updates. Vanwege de combinatie met geavanceerde heuristische detectie, is het risico dat de bescherming achter de feiten aanloopt vele malen kleiner. Ook als gebruikers niet correct omgaan met updates, terwijl er geregeld updates verstrekt worden door de fabrikant, zijn de systemen toch beschermd.