Antivirus

El software antivirus detecta, bloquea y elimina software malicioso en un dispositivo, decidiendo si un fichero es peligroso y deteniéndolo antes de que se ejecute.

El nombre es más antiguo que el trabajo que hace ahora. Se escribió para los virus, y hace mucho que creció para cubrir el resto del malware: gusanos, troyanos, ransomware y cualquier otra cosa que llegue en forma de fichero.

Sigue siendo el control de base en un endpoint, y entender a qué puede responder y a qué no es más útil que discutir si está obsoleto o no.

Cómo decide

Firmas. Una base de datos de patrones que casan con código malicioso conocido. Rápida, precisa, y vale exactamente lo que valga lo fresca que esté esa base de datos. Mira firma antivirus.

Heurísticas y comportamiento. Reglas sobre lo que un fichero hace, y no sobre lo que es, para que una variante que nadie ha catalogado se pueda cazar igualmente. De aquí salen los falsos positivos, y aquí es donde se detienen las muestras realmente nuevas.

Protección en tiempo real. Vigilar las operaciones sobre ficheros según ocurren e intervenir antes de la ejecución, en vez de encontrar el problema durante un análisis posterior.

Análisis programado y bajo demanda. El barrido de lo que ya está en disco, que recoge lo que llegó mientras faltaba una definición.

Actualizaciones. El modelo entero depende de ellas. Un antivirus que no se ha actualizado no es un control más débil: es un control para las amenazas del mes pasado.

Un ejemplo

Alguien recibe un correo de aspecto verosímil con un adjunto.

Antes de abrirlo, analiza el fichero. El análisis identifica un troyano: software que le habría dado a otra persona acceso a la máquina.

El producto lo pone en cuarentena, lo elimina e informa de lo que ha encontrado.

Ese es el caso para el que está hecho el antivirus, y lo resuelve bien. La pregunta interesante es qué pasa en el caso para el que no está hecho.

Antivirus, EDR y XDR

Se venden como generaciones de lo mismo, y no lo son. La ficha del glosario sobre EDR contesta la pregunta directamente: no es un antivirus mejor.

El antivirus decide si un fichero es malo y lo bloquea. Su fuerza es la firma, y su límite es que necesita haber visto la amenaza antes, o algo lo bastante parecido.

El EDR graba primero y bloquea después. Registra lo que hacen los procesos, con sus líneas de comandos y sus cadenas de padres, y guarda ese registro para que alguien pueda preguntar qué estaba haciendo esta máquina cuarenta minutos antes de la alerta. Un antivirus no puede responder a esa pregunta, porque no guardó nada. El EDR añade además la otra mitad, la respuesta: aislar una máquina de la red sin perder el agente, y actuar sobre ella en remoto.

El XDR es correlación. Une lo que ha pasado en el endpoint con lo que ha pasado en la identidad, el correo y la cloud, para que una secuencia de hechos que por separado no significa nada se reconozca como una sola intrusión.

Y esto es lo que ninguno de los tres cambia. Contra quien llega con credenciales válidas y usa las herramientas de administración que ya están instaladas en la máquina, no hay fichero malo que detectar, porque no se ha ejecutado nada anómalo. Lo que separa al administrador del intruso llegado ese punto es saber qué aspecto tiene lo normal en esa máquina, que es detección por línea base y no por regla, y es una disciplina distinta de la de cualquiera de estos tres productos.