¿Qué es un antivirus de próxima generación (NGAV)?

A diferencia del software antivirus tradicional que utiliza la detección basada en firmas para identificar amenazas previamente conocidas, el NGAV puede detectar amenazas de malware desconocidas y comportamientos maliciosos a medida que ocurren casi en tiempo real. De este modo, ofrece un método más eficaz para hacer frente a amenazas modernas como el ransomware, los ataques de secuencias de comandos, el malware sin archivos y las vulnerabilidades de día cero.

Las soluciones audiovisuales (AV) heredadas utilizan una base de datos de firmas de malware y heurística para detectar virus en dispositivos endpoint, como ordenadores de sobremesa, portátiles, tablets y smartphones. Estas firmas son cadenas de caracteres dentro de un archivo que indican que podría haber un virus.

Este enfoque deja a los endpoints vulnerables a posibles amenazas que aún no han sido identificadas y catalogadas en la base de datos de firmas. Aunque las firmas se actualicen con frecuencia, un archivo malicioso nuevo o desconocido puede pasar desapercibido.

Por el contrario, las soluciones de NGAV utilizan la detección del comportamiento para identificar las tácticas, las técnicas y los procedimientos (TTP) asociados a los ciberataques. Los algoritmos de machine learning monitorizan constantemente eventos, procesos, archivos y aplicaciones para detectar comportamientos maliciosos.

Si se ataca por primera vez una vulnerabilidad desconocida en un ataque de día cero, el NGAV puede detectar y bloquear el intento. El NGAV también puede impedir los ataques sin archivos, como los que explotan Windows PowerShell y las macros de documentos, o los correos electrónicos de phishing que persuaden a los usuarios para que hagan clic en enlaces que ejecutan malware sin archivos.

Como tecnología basada en la nube, el NGAV también es más rápido, fácil y rentable de implementar y gestionar que sus homólogos tradicionales. Gracias a su capacidad para monitorizar la actividad de los endpoints y proporcionar una respuesta inmediata ante incidentes, el NGAV puede bloquear muchos de los vectores de ataque que utilizan los hackers para infiltrarse en los sistemas.

Aunque las capacidades difieren entre proveedores, la mayoría de las soluciones NGAV ofrecen las siguientes capacidades:

• Algoritmos de machine learning: un NGAV puede examinar miles de características de archivos y actividades de endpoints casi en tiempo real, identificando anomalías y acciones inesperadas que pueden ayudar a detectar y bloquear amenazas conocidas y desconocidas.
  
  
• Análisis de comportamiento: el NGAV establece comportamientos de referencia e identifica comportamientos sospechosos que indican actividad maliciosa o ciberataque a través del análisis de usuarios, dispositivos, aplicaciones y sistemas.
  
  
• Inteligencia de amenazas: muchas soluciones NGAV pueden incorporar la inteligencia de amenazas más reciente sobre las fuentes, tácticas e impactos de ataques de malware específicos para poder detectarlos y detenerlos con mayor rapidez y eficacia.
  
  
• Análisis predictivo: el NGAV recopila una cantidad masiva de datos y los introduce en modelos predictivos que pueden detectar la presencia de malware o un posible ciberataque antes de que se produzca. Una vez que se identifica una amenaza, el NGAV interviene para prevenir o minimizar los daños.

Aunque un NGAV es más eficaz que un software antivirus tradicional, no es infalible. En ocasiones, puede devolver un falso positivo o no detectar un virus. Los ciberdelincuentes y los hackers crean y prueban constantemente nuevas formas de eludir las últimas tecnologías de protección antivirus.

Cuando se vulneran las defensas NGAV en un dispositivo endpoint, las empresas suelen recurrir a otras tecnologías, como la detección y respuesta de endpoints (EDR), la gestión unificada de endpoints (UEM) o la gestión de eventos e información de seguridad (SIEM). Estas soluciones de seguridad ofrecen un enfoque más amplio, que abarca todo el sistema, para prevenir y mitigar las ciberamenazas en muchos endpoints diferentes.