Análisis heurístico y doble motor antivirus en el correo

Un motor antivirus reconoce lo que ya ha visto. El correo malicioso de hoy a menudo no está en ninguna firma: es un adjunto recién empaquetado, un enlace que aún no está en la lista o un documento con una macro que cambia de hash en cada envío.

Qué aporta el segundo motor

Dos fabricantes no comparten el mismo laboratorio ni el mismo retraso de publicación. El segundo motor cubre la ventana en la que el primero todavía devuelve limpio. No es redundancia cosmética: es solapamiento de cobertura. El coste es latencia y algún desacuerdo entre veredictos, y por eso el gateway no trata un único positivo débil como rechazo definitivo.

Qué aporta la heurística

La heurística no busca un hash. Mira estructura: relación entre el texto visible y el texto oculto, enlaces que no coinciden con el dominio que anuncian, adjuntos ejecutables renombrados, urgencia artificial, remitentes que imitan a un proveedor habitual del dominio. Esas señales puntúan. El umbral lo fija la política del dominio, no un interruptor global.

Cómo se evita el falso positivo

La firma fuerte pesa más que una heurística débil. Un boletín legítimo con muchas imágenes y pocos enlaces no debería caer solo por “parece marketing”. Las listas blancas por dominio, el histórico del remitente y la cuarentena —en lugar del rechazo duro— son las tres válvulas. Medir cuántos mensajes libera el usuario es la forma adulta de calibrar el umbral.

Dónde encaja en SPAMTER

En el antispam entrante el mensaje pasa por ambos motores y por la heurística antes de entregarse al MTA del cliente. Lo ambiguo espera en cuarentena. Lo inequívoco no entra. El detalle de despliegue está en la página de filtrado entrante.