Todo antivirus responde a la misma pregunta: ¿este programa es malicioso? La diferencia está en cómo lo decide. Durante décadas la respuesta fueron las firmas. Hoy, frente a malware que cambia constantemente, el antivirus basado en comportamiento se volvió indispensable. Veamos cómo funciona cada enfoque, sus límites y por qué la mejor respuesta es combinarlos.
Cómo funcionan las firmas
Una firma es una huella que identifica un archivo malicioso conocido: un hash, una secuencia de bytes o un patrón en el código. El antivirus compara los archivos del equipo con su base de firmas.
Ventajas:
– Es preciso con amenazas conocidas.
– Consume pocos recursos por comparación.
– Es fácil de explicar: “este archivo coincide con malware conocido”.
Límites:
– Solo detecta lo que ya se conoce.
– Pequeños cambios en el archivo pueden generar una huella distinta.
– Depende de que la base esté actualizada.
Qué es la detección por comportamiento
En vez de preguntar “¿cómo se ve este archivo?”, la detección por comportamiento pregunta “¿qué está haciendo este proceso?“. Observa acciones como:
- Modificar o cifrar muchos archivos en poco tiempo.
- Intentar borrar copias de seguridad o instantáneas de volumen.
- Inyectar código en otros procesos.
- Crear mecanismos de persistencia.
- Conectarse a destinos sospechosos.
Este enfoque es la base de los antivirus de nueva generación (NGAV). Un caso conocido es el ransomware: aunque la variante sea nueva, su comportamiento de cifrado masivo es reconocible.
¿Y la heurística?
La heurística es un paso intermedio: analiza características del archivo o del código para estimar si es sospechoso, aunque no exista una firma exacta. La idea de detectar amenazas aún no conocidas no es nueva: en 1993, la prensa colombiana ya describía a Compucilina, el primer antivirus colombiano, como capaz de prevenir virus que aún no se conocían.
Ventajas y límites de cada una
| Firmas | Comportamiento | |
|---|---|---|
| Detecta malware conocido | Muy bien | Bien |
| Detecta malware nuevo | Limitado | Mejor |
| Momento de detección | Antes de ejecutar | Durante la ejecución |
| Riesgo de falsos positivos | Bajo | Requiere ajuste |
| Dependencia de actualizaciones | Alta | Menor |
Ningún enfoque es perfecto por sí solo. Las firmas son rápidas y precisas con lo conocido; el comportamiento cubre lo desconocido. Por eso los antivirus modernos combinan ambos.
El enfoque de NESS
NESS Endpoint Protection, el antivirus colombiano de NESS, combina capas:
- Motor antimalware propio, desarrollado en Colombia.
- NGAV basado en comportamiento, no en firmas, dentro del módulo EDR/XDR de la plataforma, que trabaja con indicadores de compromiso.
- Submódulos de antimalware, antiphishing, antirransomware y control de aplicativos.
- Respuesta autónoma ante ransomware, que aísla el equipo en milisegundos.
- NESS Updater, que mantiene el agente actualizado.
Todo corre en un solo agente con menos de 100 MB de RAM. Para hogares, NESS Home Edition usa el mismo motor antimalware propio.
Qué preguntarle a tu proveedor
- ¿Tu producto detecta por firmas, por comportamiento o ambas?
- ¿El motor de detección es propio o licenciado?
- ¿Qué hace el producto cuando detecta un comportamiento sospechoso: alerta, bloquea o aísla?
- ¿Cómo se gestionan y corrigen los falsos positivos?
Preguntas frecuentes
¿Qué es un antivirus basado en comportamiento?
Uno que analiza lo que hacen los procesos en el equipo para detectar acciones maliciosas, aunque el archivo no tenga una firma conocida.
¿Las firmas ya no sirven?
Sí sirven: son rápidas y precisas con amenazas conocidas. Lo recomendable es combinarlas con detección por comportamiento.
¿Qué es NGAV?
Antivirus de nueva generación: protección que va más allá de las firmas e incorpora análisis de comportamiento.
¿La detección por comportamiento genera más falsos positivos?
Puede requerir más ajuste. Por eso es importante que el proveedor pueda analizar y corregir rápido.
Enlaces internos sugeridos
- Qué es un antivirus y cómo funciona en 2026 (13 oct)
- Antivirus contra ransomware: qué debe hacer (20 oct)
- XWorm y Process Hollowing: evasión multietapa
Protección por capas, hecha en Colombia
Solicita una demo de NESS Endpoint Protection y conoce cómo combina motor propio y detección por comportamiento.
Fuente histórica: El Tiempo, “Medicina colombiana contra virus”, 6 de diciembre de 1993.
