L’icône verte près de l’horloge est rassurante. Elle confirme que le service tourne et que les définitions sont récentes. Elle ne dit pas ce qui se passe entre l’arrivée d’un nouveau programme malveillant et sa reconnaissance.

Un antivirus en temps réel s’insère dans les opérations de fichiers. Lorsqu’un programme ouvre, crée ou exécute un fichier, le pilote et le service de protection peuvent demander une analyse avant de laisser continuer. Le moteur lit le contenu, identifie le format, décompresse ce qu’il connaît et compare des régions aux signatures.

téléchargement -> écriture du fichier -> interception antivirus
              -> décodage / signatures / heuristiques
              -> autoriser | bloquer | quarantaine

Une signature n’est pas nécessairement le hachage complet d’un fichier. Le malware peut changer quelques octets à chaque copie. L’éditeur peut chercher une séquence caractéristique, une structure ou une règle capable de reconnaître une famille. Le laboratoire reçoit un échantillon, l’analyse, produit la détection, la teste contre des logiciels légitimes, puis distribue une mise à jour. Chaque étape ajoute un délai.

Détecter l’inconnu ajoute de l’incertitude

Les heuristiques cherchent plutôt des comportements ou des structures suspects : un exécutable qui se modifie, écrit dans une zone de démarrage et tente ensuite de se propager mérite un score élevé. Certains moteurs peuvent exécuter brièvement le fichier dans un environnement contrôlé pour observer ses actions.

écriture dans le démarrage       +4
code compressé inhabituel        +2
tentative de modifier un service +4
éditeur connu et signé           -3
score 7 -> bloquer selon le seuil

Un installateur d’entreprise peut accomplir plusieurs de ces actions pour de bonnes raisons. Un seuil agressif augmente donc les faux positifs. Avant de pousser une règle à tous les postes, je la testerais sur un groupe représentatif, vérifierais les applications bloquées et préparerais une exclusion limitée par fichier et version — pas un dossier complet que n’importe quel programme pourrait utiliser.

La quarantaine doit conserver le fichier sans permettre son exécution, avec sa provenance et la règle déclenchée. Restaurer ne devrait pas signifier « faire confiance pour toujours ». On restaure après vérification, on soumet l’échantillon à l’éditeur et on retire l’exception dès qu’une définition corrigée arrive.

Les mises à jour constituent leur propre chaîne de confiance. Le poste doit vérifier qu’elles viennent bien de l’éditeur, les recevoir même lorsqu’un portable quitte le réseau et signaler un retard. Une console indiquant « 100 % des postes connus à jour » ne voit peut-être pas le portable éteint depuis un mois; l’inventaire et la date du dernier contact comptent.

Enfin, l’antivirus arrive après plusieurs autres décisions. Les correctifs ferment la vulnérabilité, le compte sans droits administrateur limite l’installation, le pare-feu réduit les chemins et une sauvegarde vérifiée permet de repartir. Si une pièce jointe inconnue doit absolument être ouverte, un poste isolé vaut mieux qu’une confiance aveugle dans l’icône verte.

Je garderais donc la protection et surveillerais quatre choses : âge des définitions, postes absents, faux positifs et capacité de restauration. L’icône confirme une couche active. Elle ne peut pas garantir que tout code nouveau est déjà connu ni que le reste du système est bien défendu.