Un antivirus (AV) es un programa de seguridad que analiza los archivos a medida que pasan por una red —ya sea en descargas de Internet, archivos adjuntos de correo electrónico o transferencias de archivos— comparándolos con firmas de malware conocidas y bloqueando, alertando o rechazando los archivos infectados antes de que lleguen al usuario o al servidor al que iban destinados.
Puntos clave
- El antivirus analiza los archivos del tráfico web y de correo electrónico en busca de firmas de malware conocidas.
- Los perfiles predefinidos analizan archivos de hasta 512 KB; los perfiles personalizados analizan archivos de mayor tamaño.
- Las coincidencias activan acciones de alerta, autorización, denegación o rechazo según el perfil.
- Versa Aplica el antivirus como perfil de amenaza de NGFW dentro de las reglas de política de VOS.
- Las actualizaciones de la base de datos de firmas se distribuyen a través de las versiones periódicas de SPack de Versa .
En esta página: Por qué es importanteCómo funcionaTiposAV y VersaPreguntas frecuentes
¿Por qué es importante el AV?
Los archivos siguen siendo una de las vías más habituales por las que el código malicioso llega a una red: un archivo adjunto de correo electrónico infectado, un instalador con un troyano transmitido a través de HTTP o una carga útil oculta en una descarga normal. El antivirus es importante porque inspecciona ese tráfico en el momento en que atraviesa la red, en lugar de depender únicamente del terminal que, en última instancia, abre el archivo.
Esa comprobación a nivel de red es importante porque la protección de los terminales es irregular: los dispositivos personales, los portátiles de los contratistas y los terminales no gestionados en una red híbrida no siempre cuentan con software antimalware actualizado, lo que deja brechas por las que un atacante puede colarse. El análisis de los archivos en tránsito cierra esa brecha para los tipos de tráfico que se utilizan con mayor frecuencia para la distribución de amenazas: las descargas web y los archivos adjuntos de correo electrónico. El antivirus es una capa más dentro de una estrategia de defensa en profundidad: no sustituye a la protección de los terminales ni a la formación de los usuarios, pero detiene una amenaza conocida antes de que llegue al dispositivo que la espera al otro lado.
¿Qué es AV?
El software antivirus analiza los archivos que se transmiten a través de dos tipos de tráfico: el tráfico web enviado por FTP y HTTP, y el tráfico de correo electrónico enviado por IMAP, MAPI, POP3 y SMTP. Funciona archivo por archivo: cuando se transmite el último byte de un archivo, el motor antivirus extrae una copia, la almacena en la memoria intermedia y la analiza comparándola con una base de datos de firmas de malware conocidas, abarcando docenas de tipos de archivo compatibles, entre los que se incluyen ejecutables, archivos comprimidos, documentos y archivos multimedia.
Si el análisis encuentra una coincidencia, el motor aplica la acción que especifique su perfil: alertar, permitir, denegar o rechazar el archivo. Si no se encuentra ninguna coincidencia, se liberan los datos retenidos y se elimina la copia temporal, por lo que la comprobación prácticamente no supone ningún retraso para un archivo limpio.
Tipos de análisis antivirus
Los productos antivirus se diferencian principalmente en la forma en que determinan si un archivo es malicioso, y la mayoría combina más de un método.
La detección basada en firmas compara un archivo con una base de datos de huellas de malware conocidas: es rápida y presenta pocos falsos positivos, pero no detecta las amenazas que aún no ha visto.
La detección heurística y basada en el comportamiento marca el código que se comporta como un virus, incluso sin una firma coincidente, lo que permite detectar cepas nuevas y modificadas a costa de algunos falsos positivos ocasionales.
La detección asistida por la nube delega el análisis a un servicio que correlaciona los datos de telemetría de todos los clientes y actualiza continuamente su inteligencia sobre amenazas, a veces mediante entornos de pruebas aislados. La mayoría de las implementaciones combinan estas tres técnicas en lugar de basarse únicamente en una de ellas.
AV y Versa
Los dispositivos VOS permiten configurar el antivirus como uno de los dos perfiles de amenazas —el otro es «Vulnerabilidad» (IDS/IPS)— dentro de las reglas de la política de acceso de seguridad del NGFW, como parte de la funcionalidad de gestión unificada de amenazas (UTM) de Versa. El motor analiza el tráfico web y de correo electrónico, extrayendo y almacenando en búfer cada archivo a medida que llega su último byte y comparándolo con la base de datos de firmas de Versa, que se mantiene actualizada mediante actualizaciones periódicas de SPack.
VOS incluye tres perfiles predefinidos —«Análisis del tráfico web», «Análisis del tráfico de correo electrónico» y «Análisis del tráfico web y de correo electrónico»—, cada uno con un límite de 512 KB. Los archivos de mayor tamaño requieren un perfil personalizado combinado con un perfil de almacenamiento, con almacenamiento en búfer en el disco duro o en un disco RAM a nivel del sistema o de la organización. Las estadísticas de análisis y los registros de amenazas se muestran en « Versa Analytics». Consulte «Configurar el antivirus» y «Configurar el antivirus (NGFW)» para conocer el procedimiento completo.
Preguntas frecuentes
¿Cuál es la diferencia entre un antivirus y un antimalware?
Hoy en día, ambos términos son en gran medida intercambiables, aunque, históricamente, «antivirus» se refería a la detección de virus conocidos basada en firmas, mientras que «antimalware» implica una cobertura más amplia gracias al análisis heurístico y de comportamiento, que permite detectar ransomware, spyware y otras amenazas que aún no tienen una firma conocida.
¿Qué tipos de tráfico cubre el análisis antivirus?
En los dispositivos VOS, el antivirus analiza dos categorías de tráfico: el tráfico web enviado a través de FTP y HTTP, y el tráfico de correo electrónico enviado a través de IMAP, MAPI, POP3 y SMTP. Los perfiles predefinidos —«Analizar tráfico web», «Analizar tráfico de correo electrónico» o «Analizar tráfico web y de correo electrónico»— se centran en una de estas categorías o en ambas.
¿Qué ocurre cuando el antivirus detecta un virus en un archivo?
La acción configurada en el perfil entra en vigor: «alert» permite el paso del archivo y lo registra; «allow» lo permite sin avisar; «deny» lo bloquea; y «reject» lo bloquea y, además, restablece la conexión tanto con el cliente como con el servidor. La acción que se aplica depende del perfil asociado a la regla de política correspondiente.
¿Cuál es el tamaño máximo de archivo que puede analizar un antivirus?
Los perfiles antivirus predefinidos limitan el análisis a 512 KB. Para analizar archivos de mayor tamaño, los administradores crean un perfil antivirus personalizado asociado a un perfil de almacenamiento, que almacena el archivo en el disco duro o en un disco RAM —a nivel del sistema o de la organización— mientras se completa el análisis.
¿Sustituye el antivirus al software antimalware para dispositivos finales?
No. Los antivirus de red y el software antimalware para dispositivos finales cubren diferentes puntos de exposición: uno analiza los archivos a medida que pasan por la red, mientras que el otro protege el dispositivo a posteriori, incluso a través de canales —como los soportes extraíbles— que nunca pasan por un punto de control de la red. Una defensa eficaz utiliza ambos.
Más información sobre AV
Si quieres saber más, estas son algunas fuentes en las que confiamos.
| NIST CSRC: Software antivirus | Alianza para la Seguridad en la Nube |
|---|---|
| Definición oficial del NIST de «software antivirus», extraída de la norma NIST SP 800-83, tal y como se utiliza en las directrices federales sobre ciberseguridad. | Investigación sobre seguridad en la nube independiente de proveedores, que incluye orientación sobre la defensa contra el malware como parte de un programa más amplio de seguridad en la nube. |
Términos relacionados
Si estás leyendo sobre AV, te recomiendo que eches un vistazo a lo siguiente.
| Malware | Gestión unificada de amenazas | Perfil de información del terminal |
|---|---|---|
| Software malicioso —virus, gusanos, troyanos, spyware y ransomware— que el análisis antivirus está diseñado para detectar y bloquear mientras se transmite. | Un enfoque de seguridad integrado que agrupa el cortafuegos, el antivirus, el filtrado de contenidos y la prevención de intrusiones en una única política de dispositivo. | Un mecanismo de « Versa » que comprueba el estado de seguridad de un punto final que se conecta, incluido el estado del antivirus, antes de concederle acceso a la red. |