Qu’est-ce qu’un antivirus nouvelle génération (NGAV) ?

Contrairement aux logiciels antivirus traditionnels, qui reposent sur une détection basée sur les signatures pour identifier les menaces déjà connues, le NGAV peut détecter les logiciels malveillants inconnus et les comportements malveillants en temps quasi réel. Il offre ainsi une méthode plus efficace pour traiter les menaces modernes telles que les ransomwares, les attaques par scripting, les logiciels malveillants sans fichier et les vulnérabilités zero-day.

Les solutions antivirus héritées tirent parties d’une base de données de signatures de logiciels malveillants et d’heuristique pour détecter les virus dans les points de terminaison tels que les ordinateurs de bureau, les ordinateurs portables, les tablettes et les smartphones. Ces signatures sont des chaînes de caractères dans un fichier qui indiquent la présence éventuelle d’un virus.

Cette approche rend les points de terminaison vulnérables aux menaces potentielles qui n’ont pas encore été identifiées et cataloguées dans la base de données des signatures. Même si les signatures sont fréquemment mises à jour, un fichier malveillant nouveau ou inconnu peut passer inaperçu.

En revanche, les solutions antivirus nouvelle génération utilisent la détection comportementale pour identifier les tactiques, techniques et procédures (TTP) associées aux cyberattaques. Les algorithmes de machine learning surveillent en permanence les événements, les processus, les fichiers et les applications pour détecter les comportements malveillants.

Si une vulnérabilité inconnue est ciblée pour la première fois dans une attaque de type zero-day, le NGAV peut détecter et bloquer la tentative. Le NGAV peut également prévenir les attaques sans fichier telles que celles qui exploitent Windows PowerShell et les macros de documents, ou les e-mails de hameçonnage qui persuadent les utilisateurs de cliquer sur des liens exécutant des logiciels malveillants sans fichier.

En tant que technologie cloud, le NGAV est également plus rapide, plus facile et plus rentable à déployer et à gérer que les solutions antivirus traditionnelles. Grâce à sa capacité à surveiller l’activité des points de terminaison et à fournir une réponse immédiate aux incidents, la NGAV peut bloquer un grand nombre des vecteurs d’attaque utilisés par les pirates pour infiltrer les systèmes.

Bien que les capacités diffèrent selon les fournisseurs, la plupart des solutions NGAV offrent les fonctionnalités suivantes :

• Algorithmes de machine learning : Un NGAV peut examiner des milliers de caractéristiques de fichiers et d’activités de terminaux en temps quasi réel, et identifier les anomalies et les actions inattendues qui pourront aider à détecter et repousser les menaces connues et inconnues.
  
  
• Analyse du comportement : le NGAV établit une base de référence de comportements et identifie les comportements suspects qui indiquent une activité malveillante ou une cyberattaque en analysant les utilisateurs, les appareils, les applications et les systèmes.
  
  
• Renseignements sur les menaces : De nombreuses solutions NGAV peuvent intégrer les derniers renseignements sur les menaces sur les sources, les tactiques et les impacts des attaques de logiciels malveillants spécifiques afin de les détecter et de les bloquer plus rapidement et plus efficacement.
  
  
• Analyse prédictive : le NGAV collecte une énorme quantité de données et les transforme en modèles prédictifs capables de détecter la présence d’un logiciel malveillant ou bien une cyberattaque potentielle avant qu’elle ne se produise. Une fois qu’une menace est identifiée, le NGAV intervient pour prévenir ou minimiser les dommages.

Bien qu’un NGAV soit plus efficace que les logiciels antivirus traditionnels, il n’est pas infaillible. Parfois, il peut renvoyer un faux positif ou ne pas détecter de virus. Les cybercriminels et les pirates créent et testent toujours de nouvelles méthodes pour échapper aux dernières technologies de protection antivirus.

Quand les défenses NGAV sont violées sur un terminal, les entreprises s’appuient souvent sur d’autres technologies, telles que la détection et la réponse des points de terminaison (EDR), la gestion unifiée des terminaux (UEM) ou la gestion des événements et des informations de sécurité (SIEM). Ces solutions de sécurité offrent une approche plus large à l’échelle du système en matière de prévention et d’atténuation des cybermenaces sur de nombreux points de terminaison différents.