Deteccion Heuristica
¿Qué es Deteccion Heuristica?
Deteccion HeuristicaMetodo de deteccion que usa indicadores aproximados — patrones de codigo sospechosos, packers, cadenas anomalas y combinaciones de APIs — para marcar archivos probablemente maliciosos sin firma exacta.
La deteccion heuristica complementa a las firmas puntuando caracteristicas sospechosas de un archivo o de su ejecucion. Las heuristicas estaticas analizan anomalias en cabeceras PE, presencia de packers conocidos (UPX, Themida), alta entropia, ofuscacion, imports peligrosos como VirtualAlloc + WriteProcessMemory + CreateRemoteThread y cadenas sospechosas; las dinamicas observan el comportamiento en un emulador o sandbox ligero. El termino se popularizo a comienzos de los 90 con herramientas como TbScan de Frans Veldman y AVP de Eugene Kaspersky; hoy vive dentro de los motores NGAV/EDR como pre-filtro rapido antes del ML profundo o la consulta en la nube. La heuristica detecta variantes desconocidas pero produce mas falsos positivos que las firmas, por lo que los fabricantes la combinan con reputacion, prevalencia y senales conductuales.
● Ejemplos
- 01
Motor AV marcando un binario empaquetado con UPX que importa APIs de red y resuelve WinAPI dinamicamente.
- 02
TbScan en 1993 detectando un virus desconocido por sus bucles de cifrado y patrones de escritura en disco.
● Preguntas frecuentes
¿Qué es Deteccion Heuristica?
Metodo de deteccion que usa indicadores aproximados — patrones de codigo sospechosos, packers, cadenas anomalas y combinaciones de APIs — para marcar archivos probablemente maliciosos sin firma exacta. Pertenece a la categoría de Defensa y operaciones en ciberseguridad.
¿Qué significa Deteccion Heuristica?
Metodo de deteccion que usa indicadores aproximados — patrones de codigo sospechosos, packers, cadenas anomalas y combinaciones de APIs — para marcar archivos probablemente maliciosos sin firma exacta.
¿Cómo funciona Deteccion Heuristica?
La deteccion heuristica complementa a las firmas puntuando caracteristicas sospechosas de un archivo o de su ejecucion. Las heuristicas estaticas analizan anomalias en cabeceras PE, presencia de packers conocidos (UPX, Themida), alta entropia, ofuscacion, imports peligrosos como VirtualAlloc + WriteProcessMemory + CreateRemoteThread y cadenas sospechosas; las dinamicas observan el comportamiento en un emulador o sandbox ligero. El termino se popularizo a comienzos de los 90 con herramientas como TbScan de Frans Veldman y AVP de Eugene Kaspersky; hoy vive dentro de los motores NGAV/EDR como pre-filtro rapido antes del ML profundo o la consulta en la nube. La heuristica detecta variantes desconocidas pero produce mas falsos positivos que las firmas, por lo que los fabricantes la combinan con reputacion, prevalencia y senales conductuales.
¿Cómo defenderse de Deteccion Heuristica?
Las defensas contra Deteccion Heuristica combinan habitualmente controles técnicos y prácticas operativas, como se detalla en la definición.
¿Cuáles son otros nombres para Deteccion Heuristica?
Nombres alternativos comunes: Heuristica, Escaneo heuristico.
● Términos relacionados
- defense-ops№ 091
Deteccion por Comportamiento
Enfoque de deteccion que identifica actividad maliciosa a partir del comportamiento en ejecucion de procesos, usuarios y trafico, no de firmas estaticas de archivos.
- network-security№ 1043
Detección basada en firmas
Método de detección que compara tráfico, archivos o comportamientos observados con una base de datos de patrones maliciosos conocidos (firmas) para marcar actividad maliciosa.
- defense-ops№ 725
Antivirus de Nueva Generacion (NGAV)
Proteccion de endpoint que complementa el escaneo por firmas con modelos de machine learning, analitica conductual y prevencion de exploits para detener amenazas desconocidas y fileless.
- defense-ops№ 050
Antivirus (AV)
Software de endpoint que detecta y elimina archivos maliciosos mediante bases de firmas, analisis de ficheros y heuristicas basicas; es la base historica de la seguridad en endpoint.
- malware№ 840
Malware polimórfico
Malware que cambia su aspecto en disco —normalmente por re-cifrado o empaquetado— en cada infección, manteniendo intacta su lógica principal.
- forensics-ir№ 650
Análisis de malware
Estudio estructurado de una muestra maliciosa para comprender su funcionamiento, origen, indicadores de compromiso e impacto sobre los sistemas afectados.