Niemal każdy dostawca oprogramowania antywirusowego posiada w portfolio pakiet, który wykorzystuje motor pracujący w tzw. chmurze obliczeniowej. Antywirus zrealizowany w czystym modelu cloud posiada skaner, który odpytuje serwis cloud, wysyłając zapytania podobne do pytań o DNS. Treść takiego zapytania zawiera sumę kontrolną SHA-1 (w starszych rozwiązaniach wykorzystywano sumę MD5). Serwis w chmurze zna bardzo wiele sum kontrolnych, jeśli próbka zawiera tradycyjne spyware, to z dość dużym prawdopodobieństwem suma kontrolna próbki jest już na liście. Jeśli na liście takiego programu nie ma, bardzo szybko się tam pojawia.

System immunologiczny

System cloud posiada ważną zaletę - wykorzystuje efekt skali. Zgłoszenia są bardzo szybkie i umożliwiają planowanie rozwoju infekcji w czasie. W ten sposób dostawcy wiedzą skąd nastąpiły pierwsze zgłoszenia. Hybrydowe programy antywirusowe, które posiadają moduł behawioralny, mogą analizować złośliwe programy już podczas ich uruchamiania, więc z dość wysokim prawdopodobieństwem wykryją oprogramowanie, które zachowuje się jak spyware. Przesłanie próbek takiego kodu do serwisu cloud daje szansę na szybką reakcję inżynierów. W skomplikowanych przypadkach nadal niezbędna jest interwencja specjalisty, ale czas od zablokowania w serwisie do reakcji wszystkich antywirusów jest bardzo krótki. Prostsze przypadki system potrafi rozwiązać samodzielnie, właśnie dzięki efektowi skali.

Logika systemów cloud - oprócz mechanizmów sprawnego rozpoznawania zagrożeń - posiada mechanizm geokodowania adresów IP. Informacje są geokodowane i analizowane jest rozłożenie zgłoszeń w czasie. Jeśli w tym samym czasie z różnych miejsc świata gwałtownie wzrośnie liczba zapytań o ten sam plik (o tej samej wartości skrótu kryptograficznego) w większości przypadków znaczy to, że mamy do czynienia z infekcją systemów przez nową wersję złośliwego programu. Taki system sprawdził się bardzo dobrze w przypadku McAfee, która w swoich materiałach podaje, że w takich przypadkach po ok. 20 minutach, w miarę rozwoju zagrożenia, system automatycznie blokuje infekcje. Prawdopodobieństwo zablokowania w ten sposób normalnej aktualizacji Windows jest stosunkowo niskie, gdyż paczki aktualizacyjne - identyczne w skali całego świata - należą do rzadkości. Ponadto aktualizacja odbywa się stosunkowo powoli, a inżynierowie znają listę plików aktualizacji typowego oprogramowania i dodają ją do spisu plików wolnych od podejrzeń.

Jeśli jakiś plik nagle zaczyna się pojawiać na wielu komputerach w różnych częściach globu, najprawdopodobniej jest to malware i należy je zablokować. Serwisy właśnie to robią, resztę zadania wykonuje motor na stacjach roboczych.

Link pod lupą

Od błysku do grzmotu

Serwis antywirusowy w modelu cloud jest bardzo szybki, gdyż czas od uznania pliku przez badaczy do skutecznej reakcji systemu liczony jest w minutach. Aktualizacja czarnej listy sum kontrolnych w ośrodku cloud computing sprawia, że wszystkie instalacje antywirusa, które z niej korzystają, zaczynają reagować na daną próbkę malware. System automatycznego tagowania usprawnia ten proces, gdyż wykrywa początki infekcji nowym rodzajem złośliwego oprogramowania jedynie na podstawie zgłoszeń z różnych obszarów Internetu.

Skoncentrowanie na plikach nie jest jedynym mechanizmem obronnym oprogramowania antywirusowego. Niektórzy twórcy malware przystosowali swoje produkty w ten sposób, że pobierany plik jest często rekompilowany z automatycznie zmienianą zawartością, aby za każdym pobraniem miał inną sumę kontrolną. Ponieważ tradycyjny antywirus, wykorzystujący sygnatury czy skróty kryptograficzne nie nadąży za tak zmieniającym się kodem, twórcy oprogramowania antywirusowego opracowali nową strategię - kładą nacisk na adres URL, skąd plik został pobrany.