Le composant Dr.Web Scanning Engine, fonctionnant en mode de démon, reçoit des autres composants de Dr.Web Security Space les demandes d’analyser pour la présence de menaces les objets du système de fichiers (fichiers, secteurs d’amorçage des disques). Il forme également les files d’attente de tâches d’analyse des objets et effectue l’analyse des objets demandés à l’aide du moteur antivirus Dr.Web Virus-Finding Engine. Si une menace est détectée dans l’objet analysé et que la tâche d’analyse comporte l’indication de désinfection, le moteur de scan tente d’effectuer la désinfection, si cette action peut être appliquée à l’objet analysé.
Le moteur de scan, le moteur antivirus Dr.Web Virus-Finding Engine et les bases virales forment un ensemble indissociable. Le moteur de scan télécharge les bases virales et fournit l’environnement nécessaire pour le fonctionnement du moteur antivirus multiplateforme Dr.Web Virus-Finding Engine. La mise à jour des bases virales et du moteur antivirus est effectuée par le composant de mise à jour Dr.Web Updater qui fait partie de Dr.Web Security Space, mais qui ne fait pas partie du moteur de scan. Le composant de mise à jour est lancé par le démon de gestion de configuration Dr.Web ConfigD périodiquement ou de manière forcée en réponse à une commande de l’utilisateur. De plus, si Dr.Web Security Space fonctionne en mode de protection centralisée, les fonctions de mise à jour des bases virales et du moteur antivirus sont prises en charge par l’agent de protection centralisée Dr.Web ES Agent qui interagit avec le serveur de protection centralisée et reçoit les mises à jour de celui-ci.
Dr.Web Scanning Engine peut fonctionner sous le contrôle du démon de gestion de configuration Dr.Web ConfigD ou de manière autonome. Dans le premier cas, le démon assure le lancement du moteur et la mise à jour régulière des bases virales utilisées par le moteur. Dans le second cas, le lancement du moteur et la mise à jour des bases virales sont confiés à l’application externe qui l’utilise. Les composants de Dr.Web Security Space qui envoient des requêtes d’analyse de fichiers au moteur de scan utilisent la même interface logicielle que les applications externes.
|
Vous pouvez créer votre propre composant (application externe) qui utilise Dr.Web Scanning Engine pour l’analyse des fichiers. Pour cela, le composant Dr.Web Scanning Engine fournit une API spécialisée basée sur la technologie Google Protobuf. Pour avoir la description de l’API Dr.Web Scanning Engine et les exemples de code pour une application cliente qui utilise Dr.Web Scanning Engine, veuillez contacter le département des relations avec les partenaires de la société Doctor Web (https://partners.drweb.com/). |
Les tâches de scan entrantes sont automatiquement réparties entre trois files d’attente ayant différentes priorités (élevée, normale et faible). La file d’attente dans laquelle la tâche sera placée est déterminée en fonction du composant qui l’a générée. Par exemple, les tâches provenant des moniteurs de systèmes de fichiers sont placées dans la file d’attente à priorité élevée, car lors de la surveillance, la vitesse de réaction aux actions sur les objets du système de fichiers est importante. Le moteur de scan tient des statistiques sur son utilisation, en enregistrant le nombre de tâches de scan reçues, ainsi que la longueur des files d’attente. Le moteur de scan détermine la longueur moyenne des files d’attente par seconde comme indicateur de la charge moyenne. Cet indicateur est calculé en moyenne pour la dernière minute, les 5 dernières minutes et les 15 dernières minutes.
Le moteur antivirus Dr.Web Virus-Finding Engine prend en charge à la fois l’analyse par signature (recherche de menaces connues à partir des signatures contenues dans les bases virales) et diverses technologies d’analyse heuristique et d’analyse de comportement destinées à reconnaître le danger potentiel d’un objet sur la base de l’analyse de la séquence des instructions machine qu’il contient et d’autres caractéristiques du code exécutable.
|
L’analyse heuristique ne garantit pas une détection fiable des menaces et peut commettre des erreurs de premier type et de second type. •Les erreurs de premier type sont des faux positifs de l’analyseur, lorsqu’un objet sain est signalé comme malveillant. •Les erreurs de second type consistent à reconnaître à tort un objet malveillant comme étant sain. C’est pourquoi les menaces détectées par l’analyse heuristique sont classées dans une catégorie spéciale intitulée « Suspects » (Suspicious). |
Il est recommandé de déplacer les objets suspects vers une quarantaine afin de les analyser ultérieurement, après la mise à jour des bases virales, à l’aide de méthodes d’analyse par signature. Pour éviter les erreurs de second type, il est recommandé de maintenir les bases virales à jour.
Le moteur antivirus Dr.Web Virus-Finding Engine permet d’analyser et de traiter aussi bien les fichiers et objets non compressés que ceux compressés contenus dans divers conteneurs, tels que les archives, les messages électroniques, etc.