Qu’est-ce que l’analyse antivirus ?
L’analyse antivirus examine les fichiers téléversés à l’aide de signatures, d’heuristiques ou d’autres règles de détection de contenus malveillants et indésirables. Elle constitue une couche de sécurité des téléversements et ne remplace ni la validation des formats ni l’exécution en environnement isolé.
Fonctionnement de l’analyse antivirus
Un outil d’analyse des téléversements extrait ou lit le contenu des fichiers et applique des règles à jour fondées sur les signatures, la réputation et le comportement avant que la ressource soit considérée comme fiable. Le sort d’un fichier signalé dépend de la configuration : certains services le mettent en quarantaine pour examen, tandis que d’autres l’excluent des traitements ultérieurs ou arrêtent le traitement avec une erreur. Ce contrôle doit intervenir tôt dans l’ingestion, aux côtés de la vérification du type MIME, du renforcement de la sécurité des analyseurs, de l’autorisation et de l’isolation, car chaque contrôle répond à une catégorie de risque différente.
Points clés
- Les archives imbriquées et les entrées fortement compressées nécessitent des limites de récursion, de taille après décompression et de traitement ; sinon, une analyse peut consommer trop de ressources processeur, de mémoire, d’espace disque ou de temps avant de rendre un verdict.
- La détection par signatures est la plus efficace sur les échantillons connus, tandis que les règles heuristiques peuvent signaler des menaces modifiées, mais aussi augmenter le nombre de faux positifs ; les mises à jour du moteur et des définitions influent sur ces deux résultats.
- Un verdict sans détection indique seulement que l’outil d’analyse configuré n’a trouvé aucune correspondance à ce moment-là. Il ne valide pas le format déclaré et ne rend pas sûre l’exécution d’un analyseur de médias vulnérable.
Quand l’analyse antivirus est utile
Les fichiers devraient faire l’objet d’une analyse antivirus avant leur distribution aux utilisateurs, leur transmission aux systèmes internes ou leur stockage permanent. Un résultat sans détection ne prouve pas leur innocuité, car les signatures peuvent être obsolètes et certaines menaces échappent à la détection.