Qué es Norton SONAR: protección conductual avanzada (IA) contra malware

Norton SONAR (Symantec Online Network for Advanced Response) es la tecnología de detección basada en comportamiento (Behavioral AI/Heurística avanzada) de Norton (Gen Digital / antes Symantec / Broadcom). No usa firmas (hashes) de malware conocido, sino que analiza QUÉ HACEN los archivos/procesos en tiempo real.

Cómo funciona SONAR (Principio)

1. Monitoriza todos los procesos/ejecutables activos (APIs sistema, llamadas kernel, FS, Red, Registro, Memoria, Hilos, COM, WMI, PowerShell, Scripts).
2. Construye perfil de comportamiento normal para cada app (basado en reputación cloud, reglas, ML).
3. Detecta desviaciones anómalas (IOC - Indicators of Compromise):
   • Inyección código (Process Hollowing, Thread Hijacking, APC Queue).
   • Modificación zonas críticas (MBR, Boot, System32, Drivers, Registro Run keys, Task Scheduler).
   • Cifrado masivo archivos (Ransomware).
   • Comando & Control (C2): Conexiones sospechosas, DGA, Tor, Proxy, puertos raros.
   • Escalada privilegios (UAC bypass, Token manipulation).
   • Persistencia (Servicios, WMI, COM Hijacking, Startup).
   • Evasión (Anti-VM, Anti-Debug, Ofuscación, Living-off-the-land binaries - LOLBins).
4. Puntúa riesgo (Risk Score) combinando: Comportamiento + Reputación Cloud (Insight) + Contexto (usuario, hora, red) + ML.
5. Acciones: Bloquear, Cuarentena, Alerta, Rollback (Journaling/Backup de archivos modificados), Matar proceso, Aislar red (Network Quarantine).

Evolución: SONAR 4 (2011) → Actual (Norton 360 / Gen Digital 2024)

• SONAR 1-3: Reglas heurísticas estáticas + reputación básica.
• SONAR 4 (2011): Añadió "Insight & Reputation" (cloud), análisis comunicaciones, amenazas sin proceso (fileless/in-memory).
• Actual (Norton 360 / Gen Digital): IA/ML profundo (Deep Learning) entrenado con millones de muestras benignas/maliciosas. Protección "Zero-Day" real. Integrado con: Firewall Inteligente (IPS/IDS), Prevención Exploit (EP), Protección Ransomware (Carpetas vigiladas + Rollback), PowerShell/Script Control, AMSI, ETW, Kernel Callback, Micro-virtualización (Browser Isolation opcional), Cloud Threat Intel (Global Intelligence Network).

Malware: Qué detecta SONAR

• Virus/Gusanos: Replicación, infección archivos/sectores arranque.
• Troyanos (Trojans): Backdoor, Downloader, Dropper, RAT, Banker, Spyware, Keylogger, Clipper (crypto).
• Ransomware: Cifrado archivos (detecta patrones API Crypto, entropía, extensiones). Rollback automático (Journaling NTFS/APFS + Shadow Copy).
• Rootkits / Bootkits: Nivel kernel/firmware. SONAR + EP + Early Launch Anti-Malware (ELAM).
• Fileless / Living-off-the-Land: PowerShell, WMI, MSHTA, Certutil, Regsvr32, Rundll32, Scripts, Macros Office. Sin archivo en disco. SONAR + AMSI + Script Control.
• Exploits / Vulnerabilidades 0-day: EP (Exploit Prevention) mitiga técnicas (ROP, Heap Spray, Use-After-Free, Type Confusion) sin conocer vuln específica.
• Adware / PUA / Cryptominers: Comportamiento recurso (CPU/GPU/Red) anómalo.

Ventajas vs Antivirus tradicional (Solo firmas)

Conclusión

SONAR es el cerebro conductual de Norton. Evolucionó de heurística a IA/Deep Learning + Cloud Intel + Journaling/Rollback. Parte esencial de defensa en capas (Defense in Depth) moderna: NGAV + EDR + XDR. Gratis en pruebas Norton 360 (30-90 días).