Технологии обнаружения Kaspersky Scan Engine

В этом разделе описаны технологии обнаружения, реализованные в Kaspersky Scan Engine.

Анализ сигнатур

Этот метод обнаружения основывается на поиске определенной строки в сканируемых файлах. Анализ сигнатур также включает обнаружение на основе всего вредоносного файла. Традиционные сигнатуры позволяют обнаруживать определенные объекты с высокой точностью. Другие технологии, основанные на использовании сигнатур, такие как структурные эвристические сигнатуры и SmartHash, могут обнаруживать неизвестное и полиморфное вредоносное ПО.

Анализ сигнатур позволяет обнаруживать определенные атаки с высокой точностью и небольшим количеством ложных срабатываний. Однако эта технология обнаружения неэффективна против полиморфных вредоносных программ и нескольких версий одного и того же вредоносного ПО. Для высокой эффективности анализа сигнатур также требуется их частое обновление.

Часто обновляемая обширная антивирусная база данных Kaspersky Scan Engine обеспечивает высочайший уровень защиты от известного вредоносного ПО, троянских приложений, червей, руткитов, шпионского и рекламного ПО.

Расширенная эвристика

При сканировании скрипта или исполняемого файла Kaspersky Anti-Virus Engine эмулирует его запуск в безопасной искусственной среде. Если во время анализа поведения эмулируемого объекта обнаруживаются подозрительные действия, он считается вредоносным. Этот метод позволяет обнаруживать новое и неизвестное вредоносное ПО.

Компонент Kaspersky Scan Engine, представляющий собой эмулятор, эмулирует функциональную среду запуска для объекта, в том числе функции и различные подсистемы целевой операционной системы. Реальные функции и подсистемы во время эмуляции не используются.

Технологии машинного обучения

SmartHash – это запатентованный алгоритм "Лаборатории Касперского" для построения интеллектуальных локально-чувствительных хешей. Локально-чувствительные хеши – это статические характеристики файлов, которые могут быть извлечены и разбиты на группы. Значения SmartHash можно вычислить для каждого файла, при этом различные файлы могут иметь одинаковое значение SmartHash, когда они функционируют похожим образом. По этой причине один SmartHash позволяет идентифицировать кластеры схожих файлов и эффективно обнаруживать неизвестные вредоносные программы из известных семейств вредоносных программ. Технология SmartHash использует несколько уровней точности, что позволяет обнаруживать даже высокополиморфные вредоносные программы. Вместе с этим она позволяет снизить вероятность ложного срабатывания.

Преимущества технологии SmartHash:

• Эффективность в отношении новых, избегающих обнаружения и полиморфных вредоносных программ.
• Обнаружение в течение нескольких минут.
• Работа без подключения и с подключением к интернету.
• Гибкая модель с несколькими уровнями схожести, что позволяет обнаруживать чистые и вредоносные файлы.
• Устойчивая технология: математическая модель обновляется на основе технологий машинного обучения и постоянно пересматривается экспертами. Использование технологии SmartHash минимизирует ложные срабатывания и обеспечивает высокий уровень обнаружения.

При работе с подключением к интернету (онлайн) SmartHash также позволяет свести к минимуму ложные срабатывания. Значение SmartHash, вычисленное на стороне клиента, сравнивается с миллиардами известных чистых файлов в базе данных "Лаборатории Касперского" через глобальное решение Kaspersky Security Network.

"Лаборатория Касперского" использует машинное обучение для повышения качества обнаружения существующих технологий сканирования. Машинное обучение развертывается для автоматического анализа журналов запуска во внутренних песочницах. Во внутренних поведенческих системах-песочницах запускаются как известные вредоносные файлы, так и неизвестные файлы. Некоторые из этих песочниц имитируют пользовательские системы, на которых запущены стандартные продукты. Наиболее мощные песочницы используют возможности выборочного протоколирования, позволяя очень тонко настраивать обнаружение.

Роботы обрабатывают журналы песочниц по одной строке. Журналы выполнения с записями от новых вредоносных образцов изучаются с помощью машинного обучения для поиска новых индикаторов обнаружения. Эти новые индикаторы обогащают математические модели методов обнаружения, не основанных на сигнатурах, равно как и эвристические поведенческие записи, создаваемые экспертами "Лаборатории Касперского".

Обработка сжатых исполняемых файлов и архивов

Kaspersky Scan Engine включает в себя технологию, позволяющую обнаруживать вирусы и другие объекты внутри сжатых исполняемых файлов и архивов. С помощью этой технологии можно безопасно вылечить или удалить инфицированные архивы и сжатые исполняемые файлы.

Kaspersky Scan Engine поддерживает примерно 4000 различных форматов сжатых исполняемых файлов и архивов.

Лечение архивов

Эта технология предназначена для лечения архивов. С помощью этой технологии инфицированные объекты внутри архивов успешно вылечиваются или удаляются (в зависимости от пользовательских настроек). Вам не нужно использовать другие архиваторы.

В настоящее время Kaspersky Anti-Virus Engine удаляет вирусы из архивов следующих форматов: ARJ, CAB, RAR и ZIP.

Kaspersky Security Network

Kaspersky Security Network (KSN) – это инфраструктура облачных служб, которая предоставляет доступ к оперативной базе знаний "Лаборатории Касперского", содержащей информацию о репутации файлов, веб-ресурсов и программ. Использование данных из Kaspersky Security Network обеспечивает более быстрое реагирование на угрозы, улучшает производительность некоторых компонентов защиты и уменьшает вероятность ложных срабатываний.

"Лаборатория Касперского" располагает серверы KSN в вычислительных центрах по всему миру, тем самым обеспечивая минимальное время отклика для облачных проверок. База данных KSN содержит терабайты информации; она постоянно обновляется аналитиками по безопасности, а также автоматическими методами.

При использовании KSN вы передаете в "Лабораторию Касперского" информацию об установленной копии Kaspersky Scan Engine и обнаруженных объектах. Эта информация не содержит персональной или конфиденциальной информации пользователя. "Лаборатория Касперского" защищает полученную информацию в соответствии с требованиями законодательства. Вы также можете ознакомиться с полным списком информации, которая передается в "Лабораторию Касперского" при проверке репутации файлов и URL-адресов.

Kaspersky Scan Engine соответствует требованиям Общего регламента по защите данных (GDPR).

Уведомление для пользователей в США

Обнаружение вредоносных и фишинговых URL-адресов

Kaspersky Scan Engine содержит автономную базу данных вредоносных и фишинговых URL-адресов. Вы также можете проверять репутацию сканируемых URL-адресов в Kaspersky Security Network.