資源描述：
《前攝性病毒防御殺毒軟件技術(shù)看點新主流》由會員上傳分享，免費在線閱讀，更多相關(guān)內(nèi)容在工程資料-天天文庫。
1、前攝性病毒防御殺毒軟件技術(shù)看點新主流～教育資源庫 80年代末期，基于個人電腦病毒的誕生，隨即就有了清除病毒的工具──反病毒軟件。這一時期，病毒所使用的技術(shù)還比較簡單，從而檢測相對容易，最廣泛使用的就是特征碼匹配的方法。然而為了躲避殺毒軟件的查殺，病毒開始了進(jìn)化，逐漸演變?yōu)樽冃蔚男问?，每感染一次，就對自身變一次形，通過對自身的變形來躲避查殺?！ ∵@樣一來，同一種病毒的變種病毒大量增加，殺毒軟件單純依靠病毒庫和特征碼技術(shù)已經(jīng)不能適應(yīng)如今的網(wǎng)絡(luò)安全。于是，便出現(xiàn)了廣譜特征碼的概念，這個技術(shù)在一段時間內(nèi)，對于處
2、理某些變形的病毒提供了一種方法，但是也使誤報率大大增加，所以采用廣譜特征碼的技術(shù)目前也不能有效的對新病毒和未知病毒進(jìn)行查殺，那么，現(xiàn)如今種類繁多的殺毒軟件都有哪些新技術(shù)和新特征來適應(yīng)當(dāng)前的病毒威脅，又是如何實現(xiàn)的呢？ 主動防御技術(shù) 由于傳統(tǒng)的基于病毒庫掃描的反病毒軟件都是很被動的，只能在新病毒出現(xiàn)之后才能有應(yīng)付措施，一個病毒制造者所編寫的病毒很有可能在被殺毒軟件廠商截獲并添加到產(chǎn)品病毒庫之前進(jìn)入用戶電腦。此時，由于該病毒的特征碼還未添加到殺毒軟件病毒庫中，殺毒軟件會將病毒認(rèn)為是正常文件而放過，使得用戶
3、電腦被病毒所感染。因此，業(yè)界將能夠主動檢測和攔截未知威脅的防御方法稱為主動防御?！ ⒍拒浖哂袦笮裕@是業(yè)界公認(rèn)的一個殺毒軟件弊端，而主動防御卻很好的解決了這個問題。主動防御技術(shù)主要是針對未知病毒提出來的病毒防殺技術(shù)，在沒有病毒樣本的情況下，對病毒進(jìn)行全面而有效的全面防護(hù)，阻止病毒的運作，從技術(shù)層面上有效應(yīng)對未知病毒的肆虐，一是在未知病毒和未知程序方面，通過行為判斷技術(shù)識別大部分未被截獲的未知病毒和變種。另一方面，通過對漏洞攻擊行為進(jìn)行監(jiān)測，這樣可防止病毒利用系統(tǒng)漏洞對其它計算機(jī)進(jìn)行攻擊，從而阻止病毒
4、的爆發(fā)?！ ∪欢捎谥鲃臃烙拍?，各廠商技術(shù)水平不同，其效果懸殊也較大，最顯著的弊端就是常常出現(xiàn)大量的誤報或誤殺，或是將行為監(jiān)控和病毒特征碼監(jiān)測結(jié)合的方式等同于主動防御，雖然病毒運行時其行為監(jiān)控有警報提示，但就算用戶選擇拒絕操作也無法阻止病毒的運行。在《c′t》雜志對全球17款主要殺毒軟件進(jìn)行了測試中表明，在新病毒查殺方面，殺毒軟件的平均檢測率只有20%～30%，甚至低于去年的40%～50%。相比之下，只有ESETNOD32和BitDefender表現(xiàn)較好，查殺率分別為68%和41%。值得一提
5、的是，ESETNOD32采用世界領(lǐng)先的高級啟發(fā)式ThreatSense®引擎，可同時支持基因碼，虛擬機(jī)，以及代碼分析這三種啟發(fā)式防毒技術(shù)，在查殺大部分未知病毒的同時只產(chǎn)生了極少的誤報，為業(yè)界最低，因此ESETNOD32的ThreatSense技術(shù)被公認(rèn)為主動防御技術(shù)成熟和穩(wěn)定的集大成者?！ l(fā)式查毒技術(shù) 說到主動防御，不得不提起啟發(fā)式查毒技術(shù)，啟發(fā)式查毒技術(shù)屬于主動防御的一種，是當(dāng)前對付未知病毒的主要手段，從工作原理上可分為靜態(tài)啟發(fā)和動態(tài)啟發(fā)兩種。 啟發(fā)式指自我發(fā)現(xiàn)的能力或運用某種方式或方法
6、去判定事物的知識和技能，是殺毒軟件能夠分析文件代碼的邏輯結(jié)構(gòu)是否含有惡意程序特征，或者通過在一個虛擬的安全環(huán)境中前攝性的執(zhí)行代碼來判斷其是否有惡意行為。在業(yè)界前者被稱為靜態(tài)代碼分析，后者被成為動態(tài)虛擬機(jī)?！ §o態(tài)啟發(fā)技術(shù)指的是在靜止?fàn)顟B(tài)下通過病毒的典型指令特征識別病毒的方法，是對傳統(tǒng)特征碼掃描的一種補(bǔ)充。由于病毒程序與正常的應(yīng)用程序在啟動時有很多區(qū)別，通常一個應(yīng)用程序在最初的指令，是檢查命令行輸入有無參數(shù)項、清屏和保存原來屏幕顯示等，而病毒程序則通常是最初的指令是直接寫盤操作、解碼指令，或搜索某路徑下的可
7、執(zhí)行程序等相關(guān)操作指令序列。靜態(tài)啟發(fā)式就是通過簡單的反編譯，在不運行病毒程序的情況下，核對病毒頭靜態(tài)指令從而確定病毒的一種技術(shù)?！ 《啾褥o態(tài)啟發(fā)技術(shù)，動態(tài)啟發(fā)技術(shù)要復(fù)雜和先進(jìn)很多。動態(tài)啟發(fā)式通過殺軟內(nèi)置的虛擬機(jī)技術(shù)，給病毒構(gòu)建一個仿真的運行環(huán)境，誘使病毒在殺軟的模擬緩沖區(qū)中運行，如運行過程中檢測到可疑的動作，則判定為危險程序并進(jìn)行攔截。這種方法更有助于識別未知病毒，對加殼病毒依然有效，但如果控制得不好，會出現(xiàn)較多誤報的情況。動態(tài)啟發(fā)因為考慮資源占用的問題，因此目前只能使用比較保守的虛擬機(jī)技術(shù)。盡管如此，
8、由于動態(tài)啟發(fā)式判斷技術(shù)具有許多不可替代的優(yōu)勢，因此仍然是目前檢測未知病毒最有效、最可靠的方法之一，并在各大殺軟產(chǎn)品中得到了廣泛的應(yīng)用?！ ∮捎谥T多傳統(tǒng)技術(shù)無法企及的強(qiáng)大優(yōu)勢，必將得到普遍的應(yīng)用和迅速的發(fā)展。純粹的啟發(fā)式代碼分析技術(shù)的應(yīng)用(不借助任何事先的對于被測目標(biāo)病毒樣本的研究和了解)，已能達(dá)到80%以上的病毒檢出率，而其誤報率極易控制在0.1%之下，這對于僅僅使用傳統(tǒng)的基于對已知病毒的研究而抽取特征字串的特征掃描技術(shù)的查毒
