A heurisztikus elemzés (heurisztikus vizsgálat) olyan víruskereső funkciók összessége, amelyek célja a vírusadatbázisok számára ismeretlen rosszindulatú programok észlelése . Ugyanakkor ez a kifejezés az egyik konkrét módszerre is utal.
Szinte minden modern víruskereső eszköz a programkód heurisztikus elemzésének technológiáját használja. A heurisztikus elemzést gyakran használják az aláírás-ellenőrzéssel együtt összetett kódolt és polimorf vírusok keresésére . A heurisztikus elemzési technika lehetővé teszi a korábban ismeretlen fertőzések kimutatását, azonban a kezelés ilyen esetekben szinte mindig lehetetlen. Ebben az esetben általában a víruskereső adatbázisok további frissítésére van szükség a legújabb aláírások és kezelési algoritmusok beszerzéséhez, amelyek egy korábban ismeretlen vírussal kapcsolatos információkat tartalmazhatnak. Ellenkező esetben a fájl elemzésre elküldésre kerül a víruskereső elemzőknek vagy a víruskereső programok szerzőinek.
A heurisztikus szkennelési módszerek nem nyújtanak garantált védelmet az új számítógépes vírusok ellen, amelyek nem szerepelnek az aláíráskészletben, ami annak köszönhető, hogy korábban ismert vírusokat használnak az aláírások elemzésének tárgyaként, és az aláírás - polimorfizmus mechanizmusának ismerete, mint heurisztikus ellenőrzési szabály. . Ugyanakkor, mivel ez a keresési módszer empirikus feltételezéseken alapul, nem zárható ki teljesen a hamis pozitív eredmény.
Egyes esetekben a heurisztikus módszerek rendkívül sikeresek, például a nagyon rövid programrészek esetében a rendszerindító szektorban: ha a program az 1. szektorba ír, a 0. sávba, a 0. oldalra, akkor ez a meghajtópartíció változásához vezet. . De az fdisk helper programon kívül ezt a parancsot sehol máshol nem használják, ezért ha váratlanul megjelenik, rendszerindító vírusról beszélünk.
A heurisztikus elemzés során az emulált programot a kódelemző ellenőrzi. Például egy program meg van fertőzve egy polimorf vírussal, amely egy titkosított törzsből és egy dekódolóból áll. A kódemulátor beolvassa az utasításokat a vírusvédelmi pufferbe, utasításokká elemzi és utasításonként végrehajtja, majd a kódelemző kiszámítja az ellenőrző összeget és összehasonlítja az adatbázisban tárolttal. Az emuláció mindaddig folytatódik, amíg a vírusnak az ellenőrző összeg kiszámításához szükséges része vissza nem fejti. Ha az aláírás egyezik, a program definiálva van.