Antivirus (AV).

El antivirus (AV) es la categoria historica del software de seguridad de endpoint. Fue pionero a finales de la decada de 1980 con la rutina de Bernd Fix contra el virus Vienna, el VirusScan de John McAfee y el AVP de Eugene Kaspersky; el AV surgio como respuesta a los primeros virus de PC como Brain (1986). Analiza archivos en disco, en memoria y en transito, comparandolos con una base de firmas que se actualiza continuamente (historicamente hashes MD5/SHA y patrones de bytes) y aplicando heuristicas. Los agentes AV se enganchan al sistema operativo mediante mini-filter drivers del sistema de ficheros, callbacks de analisis on-access y pasarelas de correo y web, poniendo en cuarentena o eliminando las coincidencias.

El modelo de firmas destaca frente al malware comun y masivo, pero es ciego ante las amenazas novedosas, polimorficas, empaquetadas (packed) y fileless: un cambio minimo en un binario altera su hash y derrota la deteccion por coincidencia exacta, y los atacantes prueban de forma rutinaria sus payloads contra los motores antes de lanzarlos. Los laboratorios independientes (AV-TEST, AV-Comparatives) y las evaluaciones de MITRE ATT&CK Enterprise muestran de forma sistematica que los motores basados solo en firmas no detectan el comportamiento de los adversarios modernos.

Surgieron dos respuestas. Los fabricantes evolucionaron el AV hacia el antivirus de nueva generacion (NGAV) y la deteccion y respuesta en endpoint (EDR/XDR), que anaden clasificadores de machine learning, prevencion de exploits y telemetria conductual que rastrea arboles de procesos en lugar de ficheros. En Windows, Microsoft Defender Antivirus se integra con la Antimalware Scan Interface (AMSI) para inspeccionar en tiempo de ejecucion el contenido de scripts (PowerShell, VBA, JScript), cerrando la brecha fileless. Aun asi, el AV clasico sigue siendo un control de base exigido por marcos como PCI DSS y por muchas polizas de ciberseguro.

flowchart TD
  F[Archivo escrito abierto o descargado] --> H[Hook on-access minifilter]
  H --> SIG{Coincide con la base de firmas?}
  SIG -->|Si| Q[Cuarentena eliminar o alertar]
  SIG -->|No| HEU{Marca heuristica o de ML?}
  HEU -->|Si| Q
  HEU -->|No| ALLOW[Permitir ejecucion]
  U[Actualizaciones de firmas y motor] --> SIG