Qu'est-ce qu'un antivirus (AV) ?

Un antivirus (AV) est un logiciel de sécurité qui analyse les fichiers lorsqu’ils transitent sur un réseau – qu’il s’agisse de téléchargements sur Internet, de pièces jointes à des e-mails ou de transferts de fichiers – en les comparant aux signatures de logiciels malveillants connus, puis en bloquant, en signalant ou en rejetant les fichiers infectés avant qu’ils n’atteignent l’utilisateur ou le serveur auquel ils sont destinés.

Points clés à retenir

• L'antivirus analyse les fichiers contenus dans le trafic Web et les e-mails à la recherche de signatures de logiciels malveillants connus.
• Les profils prédéfinis permettent d'analyser des fichiers allant jusqu'à 512 Ko ; les profils personnalisés permettent d'analyser des fichiers plus volumineux.
• Les correspondances déclenchent des actions d'alerte, d'autorisation, de refus ou de rejet en fonction du profil.
• Versa utilise l'antivirus (AV) comme profil de menace NGFW au sein des règles de politique VOS.
• Les mises à jour de la base de données de signatures sont diffusées via les versions périodiques de SPack d'Versa .

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · AV & Versa · FAQ

Pourquoi l'AV est-il important ?

Les fichiers restent l’un des moyens les plus courants par lesquels les codes malveillants pénètrent dans un réseau : une pièce jointe infectée à un e-mail, un programme d’installation contenant un cheval de Troie transmis via HTTP, une charge utile dissimulée dans un téléchargement anodin. L’antivirus joue un rôle essentiel, car il inspecte ce trafic au moment où il traverse le réseau, plutôt que de se fier uniquement au terminal qui finira par ouvrir le fichier.

Ce contrôle au niveau du réseau est essentiel car la protection des terminaux est inégale : les appareils personnels, les ordinateurs portables des prestataires et les terminaux non gérés au sein d’un réseau hybride ne disposent pas toujours d’un logiciel anti-malware à jour, ce qui laisse des failles dont un attaquant peut tirer parti. L’analyse des fichiers en transit comble cette faille pour les types de trafic les plus couramment utilisés à des fins malveillantes : les téléchargements Web et les pièces jointes aux e-mails. L’antivirus constitue l’une des couches d’une stratégie de défense en profondeur : il ne remplace ni la protection des terminaux ni la formation des utilisateurs, mais il bloque une menace connue avant qu’elle n’atteigne l’appareil qui l’attend à l’autre bout.

Qu'est-ce que l'AV ?

Les logiciels antivirus analysent les fichiers transitant par deux types de trafic : le trafic Web transmis via FTP et HTTP, et le trafic de messagerie transmis via IMAP, MAPI, POP3 et SMTP. Ils procèdent fichier par fichier : lorsque le dernier octet d’un fichier est transmis, le moteur antivirus en extrait une copie, la met en mémoire tampon et l’analyse à l’aide d’une base de données de signatures de logiciels malveillants connus, couvrant des dizaines de types de fichiers pris en charge, notamment les exécutables, les archives, les documents et les fichiers multimédias.

Si l'analyse détecte une correspondance, le moteur applique l'action spécifiée dans son profil : alerte, autorisation, refus ou rejet du fichier. Si aucune correspondance n'est détectée, les données mises en attente sont libérées et la copie temporaire est supprimée ; ainsi, la vérification n'entraîne pratiquement aucun retard pour un fichier sain.

Types d'analyses antivirus

Les logiciels antivirus se distinguent principalement par la manière dont ils déterminent si un fichier est malveillant, et la plupart d'entre eux combinent plusieurs méthodes.

La détection basée sur les signatures compare un fichier à une base de données contenant les empreintes de logiciels malveillants connus : cette méthode est rapide et génère peu de faux positifs, mais elle ne permet pas de détecter les menaces qu’elle n’a pas encore rencontrées.

La détection heuristique et comportementale signale les codes qui se comportent comme un virus même en l'absence de signature correspondante, ce qui permet de détecter les nouvelles souches et celles qui ont été modifiées, au prix de quelques faux positifs occasionnels.

La détection assistée par le cloud déleste l'analyse en la confiant à un service qui établit des corrélations entre les données télémétriques de différents clients et met à jour en permanence ses informations sur les menaces, parfois via des environnements de sandboxing. La plupart des déploiements combinent ces trois approches plutôt que de s'appuyer sur une seule.

AV & Versa

Les appareils VOS intègrent l’antivirus comme l’un des deux profils de menaces – l’autre étant « Vulnérabilité » (IDS/IPS) – configurés au sein des règles de politique d’accès de sécurité NGFW dans le cadre de la fonctionnalité de gestion unifiée des menaces (UTM) d’ Versa. Le moteur analyse le trafic Web et de messagerie, en extrayant et en mettant en mémoire tampon chaque fichier dès l’arrivée de son dernier octet, puis en le comparant à la base de données de signatures d’ Versa, maintenue à jour grâce à des mises à jour SPack périodiques.

VOS fournit trois profils prédéfinis : « Analyse du trafic Web », « Analyse du trafic de messagerie » et « Analyse du trafic Web et de messagerie », chacun étant limité à 512 Ko. Les fichiers plus volumineux nécessitent un profil personnalisé associé à un profil de stockage, avec mise en mémoire tampon sur disque dur ou disque RAM au niveau du système ou de l’organisation. Les statistiques d’analyse et les journaux de menaces sont disponibles dans « Versa Analytics ». Reportez-vous aux sections « Configurer l’antivirus » et « Configurer l’antivirus (NGFW) » pour connaître la procédure complète.

Questions fréquentes

Quelle est la différence entre un antivirus et un anti-malware ?

Ces termes sont aujourd'hui largement interchangeables, même si, historiquement, le terme « antivirus » désignait la détection, basée sur des signatures, de virus connus, tandis que le terme « anti-malware » fait référence à une couverture plus large, grâce à l'analyse heuristique et comportementale, qui permet de détecter les ransomwares, les logiciels espions et d'autres menaces pour lesquelles il n'existe pas encore de signature connue.

Quels types de trafic sont couverts par l'analyse antivirus ?

Sur les appareils VOS, l'antivirus analyse deux catégories de trafic : le trafic Web transmis via FTP et HTTP, et le trafic de messagerie transmis via IMAP, MAPI, POP3 et SMTP. Les profils prédéfinis – « Analyse du trafic Web », « Analyse du trafic de messagerie » ou « Analyse du trafic Web et de messagerie » – ciblent l'une ou l'autre de ces catégories, voire les deux.

Que se passe-t-il lorsqu'un antivirus détecte un virus dans un fichier ?

L'action configurée dans le profil prend effet : « alert » autorise le passage du fichier et l'enregistre dans le journal, « allow » l'autorise sans notification, « deny » le bloque, et « reject » le bloque tout en réinitialisant la connexion tant vers le client que vers le serveur. L'action appliquée dépend du profil associé à la règle de politique correspondante.

Quelle est la taille maximale des fichiers qu'un antivirus peut analyser ?

Les profils antivirus prédéfinis limitent l'analyse à 512 Ko. Pour analyser des fichiers plus volumineux, les administrateurs créent un profil antivirus personnalisé associé à un profil de stockage, qui met le fichier en mémoire tampon sur le disque dur ou le disque RAM – au niveau du système ou de l'organisation – le temps que l'analyse s'achève.

Un antivirus remplace-t-il un logiciel anti-malware pour terminaux ?

Non. Les antivirus réseau et les logiciels anti-malware pour terminaux couvrent des risques différents : les premiers analysent les fichiers au moment où ils transitent sur le réseau, tandis que les seconds protègent le terminal a posteriori, y compris via des canaux – tels que les supports amovibles – qui ne passent jamais par un point de contrôle du réseau. Une défense efficace repose sur l'utilisation conjointe des deux.

En savoir plus sur l'AV

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez à l'audiovisuel, voici quelques liens qui pourraient vous intéresser.