لا تستطيع برامج مكافحة الفيروسات التقليدية سوى اكتشاف البرامج الضارة التي تتطابق مع الأنماط المعروفة

أدوات مكافحة الفيروسات التقليدية التهديدات من خلال مقارنة الملفات بقاعدة بيانات تحتوي على توقيعات البرامج الضارة المعروفة. وقد يمر الملف الذي لا يتطابق مع أي نمط موجود دون أن يتم حظره. ويؤدي هذا الاعتماد الهيكلي على المعرفة المسبقة إلى حدوث تأخير ملموس وقابل للاستغلال بين وقت ظهور التهديد والوقت الذي يمكن فيه لبرنامج مكافحة الفيروسات إيقافه.

وفقًا لتحليلنا الخاص بالكشف عن هجمات "اليوم صفر" لعام 2026، والذي شمل أكثر من مليون حالة اكتشاف للملفات، تأخرت محركات برامج مكافحة الفيروسات التقليدية في الكشف عن هجمات "اليوم صفر" بمعدل 3.0 أيام في المتوسط، و2.0 يوم في الوسيط. وبلغت مدة التعرض في أسوأ الحالات 26.7 يومًا. ولم تكتشف محركات مكافحة الفيروسات التقليدية سوى 3.7% من تهديدات "اليوم صفر" في مجموعة البيانات خلال 24 ساعة. واستغرق حوالي 3% منها أكثر من أسبوع لتلقي أي استجابة للكشف.

ملاحظة حول المنهجية: يستبعد المتوسط الذي يبلغ 3.0 أيام الملفات التي تستغرق برامج مكافحة الفيروسات وقتًا طويلاً جدًّا في الاستجابة، وكذلك الملفات التي لا يوجد لها أي سجل لمطابقة الأنماط على الإطلاق. وتعكس مجموعة البيانات الكاملة نطاقًا أوسع من النتائج. كما توجد نسبة من الإيجابيات الكاذبة منخفضة ولكنها غير صفرية في البيانات الأساسية.

تبدأ البيانات بلحظات مثل هذه. عند إجراء الفحص، لم يكتشف أي من محركات مكافحة الفيروسات العشرين التي استخدمناها هذا الملف، ولم تسجله أي خدمة تتبع السمعة. وقد تم بالفعل تأكيد وجود التهديد.

وتتفاقم مشكلة التوقيت عندما لا تنتج محركات برامج مكافحة الفيروسات أي توقيع مطابق لتهديد ما على الإطلاق. في تحليلنا، تم اكتشاف ما يقرب من 20.8% من ملفات «اليوم صفر» في نهاية المطاف بواسطة محركات برامج مكافحة الفيروسات التقليدية. ولم يكن لحوالي 17.9% منها أي سجل لمطابقة الأنماط على الإطلاق، مما يضعها خارج نطاق قوائم أي محرك من محركات برامج مكافحة الفيروسات التي تم تحليلها. يُقدر أن 54% منها كان وقت استجابة برامج مكافحة الفيروسات طويلاً لدرجة أنها لا تمثل أي حماية فعالة في الممارسة العملية. تجدر الإشارة إلى أن هذا الرقم، مثل الأرقام الأخرى، يحمل نسبة إيجابية خاطئة منخفضة ولكنها ليست صفرية، ويجب التعامل معه على أنه توجيهي.

وعندما تمكنت برامج مكافحة الفيروسات في النهاية من اكتشاف الفيروس، ظلت التغطية محدودة. وعند إعادة الفحص لاحقًا، لم يعثر سوى ثلاثة من أصل تلك البرامج العشرين على تطابق مع الملف نفسه. أما الغالبية، فلم تجد شيئًا.

MetaDefender هو حل موحد للكشف عن التهديدات في يومها الأول، مصمم للتعرف على الملفات الخبيثة التي لا يمكن اكتشافها من خلال مطابقة التوقيعات وحدها. فبدلاً من الاكتفاء بالسؤال عما إذا كان الملف يطابق نمطًا معروفًا، يطرح MetaDefender أربعة أسئلة متدرجة في عمقها حول كل ملف يمر عبره، ويجمع الإجابات في حكم واحد مصحوب بتقييم للثقة.

يتم فحص كل ملف يدخل مسار المعالجة ومقارنته بقاعدة بيانات معلومات التهديدات OPSWAT . ويتم حظر الملفات الخبيثة المعروفة على الفور، بينما يتم معالجة الملفات الموثوقة بسرعة. ووفقًا لتحليلاتنا، نجحت هذه الطبقة وحدها في التصدي لـ 48.7% من التهديدات، مما ساهم في الحفاظ على سعة مسار المعالجة وتجنب المعالجة غير الضرورية للملفات التي لا تتطلب فحصًا أعمق.

تدخل الملفات التي تجتاز طبقة السمعة إلى بيئة الاختبار التكيفية MetaDefender . وبدلاً من استخدام الأجهزة الافتراضية، تعمل بيئة الاختبار على محاكاة مستوى تعليمات وحدة المعالجة المركزية ونظام التشغيل لأكثر من 120 نوعًا من الملفات. ويجبر هذا النهج الملفات على تنفيذ مسارها البرمجي بالكامل بغض النظر عما إذا كانت تكتشف وجود بيئة افتراضية أم لا. ولا يمكن للبرامج الضارة التي تدرك وجود الأجهزة الافتراضية — والتي كانت ستظل خاملة لولا ذلك — أن تكبت سلوكها في ظل المحاكاة على مستوى التعليمات. يتم تغذية مؤشرات الاختراق (IOCs) المكتشفة حديثًا من هذه الطبقة إلى الطبقة 1، مما يعزز قاعدة بيانات السمعة مع كل دورة تحليل.

يكتشف محرك التوقيع وجود برنامج نصي مشفر ولا يعثر على أي تطابق. ومع ذلك، فإن تقنية المحاكاة تسمح بتنفيذ الملف. وفي اللحظة التي يتم فيها فك تشفير الحمولة الخفية وتحميلها في الذاكرة، يتضح الهدف من العملية.

تقوم محركات متعددة للتعلم الآلي بتحليل الإشارات السلوكية وأنماط الشذوذ ومؤشرات التهديد (IOCs) المستخرجة من طبقة الحماية. ويُمنح كل ملف درجة مخاطر منظمة وموزونة حسب الثقة. ويتم تحويل البيانات الأولية المرسلة عن بُعد إلى إشارة قرار واضحة، مما يقلل من حالات الإيجابية الكاذبة ويخفف من عبء المراجعة الذي يتحمله المحللون، والذي عادةً ما تنشئه النتائج المجزأة الصادرة عن الأدوات.

افحص ملفاتك مجانًا باستخدام محركات الكشف الخاصة بنا على filescan.io/scan.

تعمل تقنية Deep CDR™ وبرنامج MetaDefender على حل مشكلات مختلفة. ومن المهم فهم الفرق بينهما بالنسبة لمهندسي الأمن الذين يعملون على تصميم سير عمل فحص الملفات، لا سيما في البيئات الخاضعة للتنظيم أو بيئات البنية التحتية الحيوية.

تعمل تقنية Deep CDR™ على إبطال مفعول التهديدات المستندة إلى الملفات بشكل استباقي من خلال إزالة المحتوى الذي يُحتمل أن يكون ضارًا، بما في ذلك الماكروات والبرامج النصية والكائنات المضمنة، من أكثر من 200 نوع من الملفات، ثم إعادة إنشاء نسخة نظيفة وقابلة للاستخدام بالكامل. ولا تعتمد هذه التقنية على الكشف عن التهديدات، بل يتم تطهير الملف سواء تم تأكيد وجود التهديد في النهاية أم لا. بالنسبة لسير العمل القائم على المستندات حيث يمكن إعادة إنشاء الملفات بأمان، تعمل تقنية Deep CDR™ على إزالة التهديد قبل أن تتاح له أي فرصة للتنفيذ.

اقرأ مقالنا السابق الذي يشرح كيفية عملها بمزيد من التفصيل هنا.

يُعد MetaDefender الأداة المثالية عندما يتعذر تعديل الملفات. فملفات البرامج القابلة للتنفيذ وملفات التصحيح والبرامج الثابتة وبرامج التثبيت والنصوص البرمجية يجب أن تظل سليمة تمامًا، بايتًا بايتًا، حتى تعمل بشكل صحيح. ولا يُعد تنقيتها خيارًا متاحًا. كما أن الوثائق الخاضعة للرقابة في مجالات الرعاية الصحية والشؤون القانونية والمالية قد تخضع لمتطلبات قانونية أو متطلبات الامتثال التي تحظر تعديلها. وبالنسبة لهذه الأنواع من الملفات، يُعد التحليل الديناميكي المسار الوحيد القابل للتطبيق لفحصها.

لا يُعد هذان النوعان من التقنيات خيارين متعارضين. ففي الواقع، تتعامل معظم بيئات المؤسسات والبنى التحتية الحيوية مع أنواع الملفات القابلة للتعديل وغير القابلة للتعديل على حد سواء ضمن نفس مسارات العمل. تتعامل تقنية Deep CDR™ مع المستندات وتنسيقات Office التي يمكن إعادة بنائها بأمان. بينما تتعامل MetaDefender مع الملفات التي لا يمكن تعديلها. وتوفر هاتان التقنيتان معًا تغطية شاملة لجميع أنواع الملفات التي تدخل إلى البيئة.

التهديدات التي تستغل الثغرات الأمنية في يومها الأول لا تنتظر ظهور توقيع لها، ولا ينبغي أن تنتظر دفاعاتك ذلك أيضًا.