Antivirüs programları genellikle iki kez fark edilir: kurulum sırasında ve bir sorun çıktığında; aradaki zamanlarda ise sessizce çalışırlar. Kullanıcılar elle bir tarama başlatıp ilerleme çubuğunu izleyebilir, ancak bu çubuğun ardında çok daha karmaşık bir süreç gizlidir. Modern antivirüsler, gerçek zamanlı tarama, imza veritabanı, heuristik ve davranışsal analiz, sandbox ve yapay zeka gibi katmanları birleştirerek tehditleri sürekli olarak izler.
Gerçek zamanlı tarama, bir dosya indirildiğinde, e-posta eki açıldığında ya da USB’den veri okunduğunda devreye girer; tehditler henüz çalışmaya başlamadan yakalanır. Tam tarama ise hâlihazırda diskte bulunan tüm dosyaları tarar ve daha önce gözden kaçan unsurları ortaya çıkarır, fakat bu işlem reaktif olduğu için yalnızca ek bir güvenlik katmanı sağlar. Bu iki yöntemi desteklemek için dosya sistemi izleyicileri, süreç izleyicileri ve web filtreleri arka planda sürekli çalışır, kullanıcıdan yalnızca ilk kurulumda bir onay gerekir.
İmza tabanlı tarama, bilinen kötü amaçlı yazılımların “parmak izlerini” veri tabanındaki milyonlarca girdiyle karşılaştırır. Eşleşme bulunduğunda dosya hemen işaretlenir. Ancak bu yöntemin zorluğu, veritabanının güncel tutulmasıdır; yeni tehditler güncellemelerle eklenir ve çoğu program bunu günde birden fazla kez otomatik yapar. Yeni ve henüz kayıtlara geçmemiş zararlı yazılımlar bu aşamadan geçebilir.
İmza eksikliği durumunda antivirüs, heuristik ve davranışsal analizle devreye girer. Heuristik, dosyanın kod yapısı, bilinen açık örüntüleri ve iddia edilen dosya türüyle uyumsuzlukları puanlayarak şüpheli bulur. Davranışsal analiz ise dosyanın çalıştığı anda gösterdiği eylemleri izler; hızlı şifreleme, güvenlik yazılımını devre dışı bırakma veya sistem dosyalarını gizleme gibi davranışlar tehdit olarak işaretlenir. Statik (çalıştırmadan önce) ve dinamik (çalıştırıldıktan sonra) analiz genellikle birlikte uygulanır.
Sandbox ortamı, şüpheli bir dosyanın izole bir sanal makinede çalıştırılmasını sağlar; dosyanın kayıt defteri, ağ trafiği ve sistem dosyası değişiklikleri kaydedilir. Bu sayede gerçek sistem zarar görmez. AI ve machine learning modelleri, sandbox sonuçlarını birkaç saniye içinde değerlendirebilir ve yeni tehditlerin tanımını hızla güncelleyebilir.
Karantinaya alınan bir dosya silinmez; yürütülebilirliği kaldırılır, şifrelenir ve izole bir konuma taşınır. Bu yaklaşım, yanlış pozitif (yanlış alarm) ihtimaline karşı güvenlik verir; kullanıcı dosyayı inceleyip karar verebilir. Karantinadaki dosyanın raporunda adı, konumu ve neden işaretlendiği yer alır; tanınmış bir kaynaktan geliyorsa geri yüklenebilir, şüpheli bir e-posta eki ise silinmelidir.
Tam taramalar CPU ve RAM’de belirgin bir yük oluşturur, özellikle eski cihazlarda performans düşüşüne yol açar. Gerçek zamanlı tarama ise dosya erişildiği anda çalıştığı için kaynak tüketimini yayar. Tam taramaları boş zamanlara (gece, öğle arası) planlamak, güvenilir klasörleri hariç tutmak ve bulut tabanlı hafif bir çözüm tercih etmek, sistem üzerindeki etkileri azaltır.
Yorum Yap