Se pueden definir cuatro categorías de programas antivirus, que muchas veces se encuentran reunidas en un solo producto, lo que simplifica su utilización:

  Detectores de virus. Indican que un archivo está infectado, sin especificar por qué virus.

Puede tratarse de virus desconocidos.

  Identificadores de virus. Buscan la marca de los virus conocidos y los identifican, presentando su nombre y su versión.

 Neutralizadores o inhibidores de virus. Se trata de programas residentes en la memoria que vigilan y detienen cualquier acceso anormal a funciones específicas del sistema, por ejemplo una tentativa de escritura en un archivo COM.

  Destructores de virus. Destruyen los virus detectados restableciendo la integridad de los programas, cuando se puede.

Los autores de virus crean permanentemente nuevos virus, y, además, perfeccionan constantemente sus productos. Por lo tanto, es obvio que los programas antivirus deben seguir el mismo ejemplo. Es por esto que los más serios se actualizan con regularidad.

Un buen programa antivirus debe detectar virus, es cierto. Pero también debe evitar en lo posible las falsas alarmas. Debe ser capaz de detectar los virus originales y los mutantes, e incluso de advertir la presencia de virus desconocidos, lo que no es fácil.

Dado que sus funciones son complejas, será conveniente que cuente con una gran velocidad de intervención cuando la cantidad de archivos a controlar sea considerable. La búsqueda de la velocidad no debe, sin embargo, ir en detrimento de la calidad del análisis o de su alcance. Un software antivirus puede resultar muy rápido, pero tal vez, si lo analizamos con más detenimiento, veremos que sólo controla parcialmente el contenido de los archivos.

a. Cómo funciona un inhibidor

El programa inhibidor (o "neutralizador") antivirus residente en la memoria debe estar alerta en los siguientes casos:

  Un virus se instala en la memoria en la inicialización de la computadora.

  Intenta instalarse en la memoria central recurriendo a un programa del disco duro o de un disquete.

  Se lanza un llamado al sistema sospechoso.

  Un programa residente quiere instalarse en la memoria central.

  Hay un intento de escritura en los sectores de inicio.

  Se intenta modificar un archivo ejecutable.

  Etcétera.

El inhibidor de virus debe ser capaz de intervenir de modo transparente y rápido, y de bloquear cualquier intento de introducción de un virus. Es evidente que el neutralizador debe ocupar la menor cantidad posible de memoria central. Sin embargo, la modalidad de administración de la memoria en el DOS es tal que la eficiencia de un programa como éste resulta necesariamente limitada frente a virus desconocidos.

b. Cómo procede un destructor de virus

Para destruir virus el programa destructor debe, en condiciones ideales:

Buscar el archivo infectado por un virus conocido, descubriendo su marca.

  Calcular la posición del virus.

  Localizar la dirección de origen de ese programa.

  Restablecer esa dirección.

  Extraer el virus y destruir su código.

Con frecuencia, el antivirus devolverá un programa desinfectado y que funcione, salvo que el virus haya destruido irremediablemente algunas informaciones, en cuyo caso sólo quedará el recurso a las copias de seguridad. Además, el archivo descontaminado no necesariamente será idéntico al original, particularmente si nos enfrentamos a virus de tamaño variable.

c. Funcionamiento en red

Cuando se trabaja con una red local el peligro se multiplica por la cantidad de puestos de trabajo. Se imponen entonces precauciones aún más drásticas. Por otra parte, es probable que todos los usuarios no dispongan del mismo grado de competencia en materia de la lucha contra los virus, elemento que habrá que tener en cuenta.

En ese caso es preferible confiar la lucha antivirus al supervisor de la red, o a un especialista de seguridad. Si el software antivirus está instalado en todos los puestos, el alerta en caso de incidentes deberá transmitiese a quien se halle a cargo. También hay que prever, de ser posible, un sistema de alerta jerarquizado.

Evidentemente el software antivirus deberá ser apto para el funcionamiento en red, Novell, por ejemplo. Deberá ofrecer varias posibilidades: llevar un diario de control y de incidentes registrados, alertas selectivas no generalizadas, simplicidad de gestión y de actualización, etc.