Heuristisk analyse (heuristisk scanning) er et sæt antivirusfunktioner , der har til formål at opdage malware, der er ukendt for virusdatabaser. Samtidig refererer dette udtryk også til en af de specifikke metoder.
Næsten alle moderne antivirusværktøjer bruger teknologien til heuristisk analyse af programkode. Heuristisk analyse bruges ofte i forbindelse med signaturscanning til at søge efter komplekse krypterede og polymorfe vira . Den heuristiske analyseteknik gør det muligt at opdage hidtil ukendte infektioner, dog er behandling i sådanne tilfælde næsten altid umulig. I dette tilfælde kræves der som udgangspunkt en yderligere opdatering af antivirusdatabaserne for at få de seneste signaturer og behandlingsalgoritmer, som kan indeholde information om en hidtil ukendt virus. Ellers sendes filen til analyse til antivirusanalytikere eller forfattere af antivirusprogrammer.
Heuristiske scanningsmetoder giver ikke garanteret beskyttelse mod nye computervirus, der ikke er i signatursættet, hvilket skyldes brugen af tidligere kendte vira som genstand for analyse af signaturer, og viden om mekanismen for signaturpolymorfi som heuristiske verifikationsregler . Samtidig, da denne søgemetode er baseret på empiriske antagelser, kan falske positiver ikke helt udelukkes.
I nogle tilfælde er heuristiske metoder yderst vellykkede, for eksempel i tilfælde af meget korte programdele i opstartssektoren: hvis programmet skriver til sektor 1, spor 0, side 0, fører dette til en ændring i drevpartitionen . Men bortset fra fdisk -hjælperprogrammet bruges denne kommando ikke andre steder, og derfor, hvis den dukker op uventet, taler vi om en boot-virus.
I processen med heuristisk analyse kontrolleres det emulerede program af kodeanalysatoren. For eksempel er et program inficeret med en polymorf virus bestående af en krypteret krop og en dekryptering. Kodemulatoren læser instruktioner ind i antivirusbufferen, parser dem til instruktioner og udfører dem en instruktion ad gangen, hvorefter kodeanalysatoren beregner kontrolsummen og sammenligner den med den, der er gemt i databasen. Emulering fortsætter, indtil den del af virussen, der er nødvendig for at beregne kontrolsummen, er dekrypteret. Hvis signaturen matcher, er programmet defineret.