Detecao Heuristica
O que é Detecao Heuristica?
Detecao HeuristicaMetodo de detecao que usa indicadores heuristicos — padroes de codigo suspeitos, packers, strings anomalas, combinacoes de APIs — para sinalizar ficheiros provavelmente maliciosos sem assinatura exata.
A detecao heuristica complementa as assinaturas atribuindo pontuacoes a caracteristicas suspeitas de um ficheiro ou da sua execucao. As heuristicas estaticas inspecionam anomalias do cabecalho PE, presenca de packers conhecidos (UPX, Themida), entropia elevada, obfuscacao, imports de risco como VirtualAlloc + WriteProcessMemory + CreateRemoteThread e strings suspeitas; as dinamicas observam o comportamento num emulador ou mini-sandbox. O termo foi popularizado no inicio dos anos 1990 por ferramentas como o TbScan de Frans Veldman e o AVP de Eugene Kaspersky; hoje vive nos engines NGAV/EDR como pre-filtro rapido antes de ML mais profundo ou consultas em cloud. Apanha variantes desconhecidas mas gera mais falsos positivos do que as assinaturas, pelo que os fornecedores afinam thresholds e combinam o score com reputacao, prevalencia e sinais comportamentais.
● Exemplos
- 01
Engine AV sinaliza um binario com UPX que importa APIs de rede e resolve WinAPI dinamicamente.
- 02
TbScan em 1993 deteta um virus desconhecido reconhecendo loops de decifragem classicos e padroes de escrita em disco.
● Perguntas frequentes
O que é Detecao Heuristica?
Metodo de detecao que usa indicadores heuristicos — padroes de codigo suspeitos, packers, strings anomalas, combinacoes de APIs — para sinalizar ficheiros provavelmente maliciosos sem assinatura exata. Pertence à categoria Defesa e operações da cibersegurança.
O que significa Detecao Heuristica?
Metodo de detecao que usa indicadores heuristicos — padroes de codigo suspeitos, packers, strings anomalas, combinacoes de APIs — para sinalizar ficheiros provavelmente maliciosos sem assinatura exata.
Como funciona Detecao Heuristica?
A detecao heuristica complementa as assinaturas atribuindo pontuacoes a caracteristicas suspeitas de um ficheiro ou da sua execucao. As heuristicas estaticas inspecionam anomalias do cabecalho PE, presenca de packers conhecidos (UPX, Themida), entropia elevada, obfuscacao, imports de risco como VirtualAlloc + WriteProcessMemory + CreateRemoteThread e strings suspeitas; as dinamicas observam o comportamento num emulador ou mini-sandbox. O termo foi popularizado no inicio dos anos 1990 por ferramentas como o TbScan de Frans Veldman e o AVP de Eugene Kaspersky; hoje vive nos engines NGAV/EDR como pre-filtro rapido antes de ML mais profundo ou consultas em cloud. Apanha variantes desconhecidas mas gera mais falsos positivos do que as assinaturas, pelo que os fornecedores afinam thresholds e combinam o score com reputacao, prevalencia e sinais comportamentais.
Como se defender contra Detecao Heuristica?
As defesas contra Detecao Heuristica costumam combinar controles técnicos e práticas operacionais, conforme detalhado na definição acima.
Quais são outros nomes para Detecao Heuristica?
Nomes alternativos comuns: Heuristica, Varrimento heuristico.
● Termos relacionados
- defense-ops№ 091
Detecao Comportamental
Abordagem de detecao que identifica atividade maliciosa pelo comportamento em execucao de processos, utilizadores e fluxos de rede, em vez de assinaturas estaticas.
- network-security№ 1043
Detecção Baseada em Assinaturas
Método de detecção que compara tráfego, arquivos ou comportamentos observados com um banco de padrões maliciosos conhecidos (assinaturas) para sinalizar atividade maliciosa.
- defense-ops№ 725
Antivirus de Proxima Geracao (NGAV)
Protecao de endpoint que complementa a deteccao por assinaturas com modelos de ML, analitica comportamental e prevencao de exploits para parar ameacas desconhecidas e fileless.
- defense-ops№ 050
Antivirus (AV)
Software de endpoint que deteta e remove ficheiros maliciosos atraves de bases de assinaturas, varrimento de ficheiros e heuristicas basicas; e a base historica da seguranca de endpoint.
- malware№ 840
Malware polimórfico
Malware que altera o seu aspeto em disco — habitualmente por recifragem ou empacotamento — em cada infeção, mantendo a lógica principal inalterada.
- forensics-ir№ 650
Análise de malware
Estudo estruturado de uma amostra maliciosa para compreender o seu funcionamento, origem, indicadores de comprometimento e impacto nos sistemas afetados.