微点交流论坛 - 微点主动防御软件

» 游客: 注册 | 登录 | 帮助

微点交流论坛 » 微点主动防御软件 » 问个比较初级的问题

EESTU
注册用户

积分 92
发帖 92
注册 2007-10-4

#1 问个比较初级的问题

如果某个病毒是在某个程序执行到一定特定条件的时候触发，行为是把所有同分区的文件全部改写成0字节的文件，对于这样的病毒MP是怎么感知和防御的？
希望稍微详细的解释下

※ ※ ※ 本文纯属【EESTU】个人意见，与【微点交流论坛】立场无关※ ※ ※

2007-10-4 00:06

wantcm
版主

使用与技巧区消防员

积分 2351
发帖 2247
注册 2007-4-7

#2

微点在系统中密布着细小的"探针",当某病毒运行产生病毒行为的时候会触发对应的探针,探针反馈信号使微点报警.

举个形象点的例子:一个系统好比一个人,那么微点的探针就是身上的神经末梢,当有外界刺激的时候,神经末梢会产生痛,痒等感觉,反馈到大脑.

附件 1: tz.JPG (2007-10-4 00:23, 135.82 K,下载次数： 32)

※ ※ ※ 本文纯属【wantcm】个人意见，与【微点交流论坛】立场无关※ ※ ※

做为斑竹，一定要消灭0回复

2007-10-4 00:15

qcwlzhaoqun
新手上路

积分 40
发帖 40
注册 2007-10-3

#3

呵呵

※ ※ ※ 本文纯属【qcwlzhaoqun】个人意见，与【微点交流论坛】立场无关※ ※ ※

2007-10-4 00:23

EESTU
注册用户

积分 92
发帖 92
注册 2007-10-4

#4

可是MP怎么知道这个程序对其他文件的复写是正常复写还是病毒行为呢？

※ ※ ※ 本文纯属【EESTU】个人意见，与【微点交流论坛】立场无关※ ※ ※

2007-10-4 00:48

wantcm
版主

使用与技巧区消防员

积分 2351
发帖 2247
注册 2007-4-7

Quote:

Originally posted by EESTU at 2007-10-4 00:48:
可是MP怎么知道这个程序对其他文件的复写是正常复写还是病毒行为呢？

这是靠"规则"判定的.
首先把病毒分类,把同一类的病毒行为总结为"规则",如果某程序的行为与"规则"中描述的行为相同,则判定为病毒.

微点的"规则"判定是很复杂的,相当于把病毒专家分析病毒的过程程序化,人工智能化了.

※ ※ ※ 本文纯属【wantcm】个人意见，与【微点交流论坛】立场无关※ ※ ※

做为斑竹，一定要消灭0回复

2007-10-4 07:48

newduba
高级用户

积分 607
发帖 605
注册 2007-5-18

#6

行为判断确实需要考虑很多的问题，难免会误报，毕竟系统的复杂程度是我们一般人难以想象的，而且还有层出不穷的新的应用程序和新的编程思路出来。。。！

所以说软件的智能程度，其实就是反映了程序员对系统的理解程度和对工具的运用熟练程度。。。！

[ Last edited by newduba on 2007-10-4 at 11:49 ]

※ ※ ※ 本文纯属【newduba】个人意见，与【微点交流论坛】立场无关※ ※ ※

微点主动防御2.0+MSE4.0

2007-10-4 11:47

EESTU
注册用户

积分 92
发帖 92
注册 2007-10-4

#7

UP一下，等待具体回答。我知道是靠一定的规则（主页都写了），我想知道对于这种很中性的行为（它既不后台运行也不会去动注册表也不自我复制，只是复写文件，就像一般程序所做的事情一样）MP是怎么判断的，依靠什么样的行为定义（比如复写范围超过程序根目录？）。

※ ※ ※ 本文纯属【EESTU】个人意见，与【微点交流论坛】立场无关※ ※ ※

2007-10-4 23:01

Legend
超级版主

超级版主

积分 77171
发帖 70170
注册 2005-10-29

#8

微点主动防御软件设计目标主要用于防御计算机病毒、蠕虫、木马等有害程序；
微点主动防御软件对病毒的判断是通过一系列有意义的行为判断的，并非依据单一的动作判断；
您所描述的情况属于恶意程序行为，由于此类程序不具有自我复制、传播等病毒和木马特性，不是病毒和木马，微点主动防御软件采用提取特征码应用特征值扫描技术防御。

※文章所有权归【Legend】与【东方微点论坛】共同所有，转载请注明出处！※

微点官方认证新浪微博：欢迎进入微点新浪微博
微点技术支持邮箱: support@micropoint.com.cn
给Legend发短消息

2007-10-4 23:59

EESTU
注册用户

积分 92
发帖 92
注册 2007-10-4

#9

那这么说如果MP还没遇到过这种“病毒”的话就基本无法防御了？
话说别的软件有办法防范这种“病毒”么
再话说其实个人认为MP应该考虑也对这种“病毒"做主动防御，毕竟它虽然不会主动复制和传播但是也很容易被人传播并且造成很大危害，毕竟安全软件的目标是尽量降低使用者遇到恶意程序（所有的病毒木马都归这类吧）的时候的损失（我们必须承认完全避免是不可能的），不能因为不具有大众级别的影响力就轻视它。
最后祝MP以后可以进军安全软件世界前十。

※ ※ ※ 本文纯属【EESTU】个人意见，与【微点交流论坛】立场无关※ ※ ※

2007-10-5 01:48

Legend
超级版主

超级版主

积分 77171
发帖 70170
注册 2005-10-29

#10

谢谢您的建议和支持，微点主动防御软件会在后期版本中逐步加强对这种特殊恶意软件行为的判断的，欢迎您继续做深入的测试使用。

※文章所有权归【Legend】与【东方微点论坛】共同所有，转载请注明出处！※

微点官方认证新浪微博：欢迎进入微点新浪微博
微点技术支持邮箱: support@micropoint.com.cn
给Legend发短消息

2007-10-5 01:57

论坛跳转:

可打印版本 | 推荐 | 订阅 | 收藏

[ 联系我们 - 东方微点 ] 北京东方微点信息技术有限责任公司福建东方微点信息安全有限责任公司闽ICP备05030815号