Антивирусное программное обеспечение¹ представляет собой комплекс защитных модулей, предназначенных для обнаружения, классификации и нейтрализации вредоносных объектов² в операционной системе. В зависимости от архитектуры конкретного продукта антивирус может осуществлять статическое³ и динамическое⁴ исследование файлов, анализировать активные процессы, контролировать операции с файловой системой и отслеживать потенциально опасные изменения в программной среде.
Одним из базовых механизмов обнаружения является сигнатурный анализ⁵ — сравнение исследуемого объекта с базой известных цифровых признаков ранее обнаруженных угроз. Однако данный метод ограничен необходимостью предварительного получения информации о конкретном вредоносном объекте, поэтому современные защитные системы также применяют эвристический анализ⁶ и поведенческое обнаружение⁷. В таком случае программа оценивает не только структуру файла, но и совокупность действий, выполняемых процессом во время работы.
Защита в реальном времени⁸ функционирует как постоянно активный компонент системы и проверяет объекты при их появлении, открытии или запуске. Подозрительные файлы могут быть помещены в карантин⁹ — изолированное хранилище, ограничивающее их обычное взаимодействие с операционной системой до принятия дальнейшего решения. Некоторые защитные решения используют также репутационные и облачные механизмы¹⁰, позволяющие получать дополнительную информацию о ранее неизвестных объектах.
С технической точки зрения антивирус является не одним процессом, а совокупностью взаимодействующих компонентов: пользовательского интерфейса, фоновых служб¹¹, модулей сканирования, систем мониторинга и баз обнаружения. Отдельные компоненты могут работать с различными уровнями операционной системы¹², поскольку для эффективной защиты необходимо получать информацию о происходящих системных событиях.