微点交流论坛 - 主动防御 - 关于病毒主动防御的新见解（研究病毒新思维）

微点交流论坛 » 主动防御 » 关于病毒主动防御的新见解（研究病毒新思维）

vs9841
新手上路

积分 13
发帖 13
注册 2008-6-1

#1 关于病毒主动防御的新见解（研究病毒新思维）

关于病毒主动防御的新见解（研究病毒新思维）
首先说明：本人是菜鸟，只是有感而发，不一定就是新思维，但是至少是我的新思维。
看到论坛上那么多的介绍主动防御病毒的方式，几乎统一模式，都是针对病毒而研究一系列操作规则，建立了所谓的虚拟机，然后来对未知病毒的检测。然后发现效果又不是那么理想。其实想想，病毒技术发布十分的快，而隐性，所以自然造成主动防御新病毒变得将是十分的困难。
孙子兵法，知已知彼，百战不殆。连对方都不知道，怎么防。所以说最好的主动防御技术，还是要从已知条件下手。于其研究病毒的统一机理（几乎不可能实现，发现病毒的统一机理），到不如研究现有的已知计算机各种应用软件，像对主动防御病毒那样，来防护这些应用软件更切实可行

。举例说明：
word这个应用软件，其有如下这些数字特征(软件大小，版本号，其组成文件个数，以及每个文件的自有特征，应用规则等），那么我们说，通过对其这些特征建立一个针对这个软件的规则表。如果其一旦违反这个规则表，我们认为其被病毒感染。比如，word的任务是建立文档，结果有一天，它突然给建立了一个exe的可执行文件或是突然间上传我们的私有帐号信息，或是组成它的一系列固有文件中，不应该写磁盘的文件，写了磁盘，不应该发生大小变化的文件，发生变化。我们认为其超出了职责，定为出错或中毒。然后处理。
软件的数字签名就是一个很不错的应用，仅仅是这么一简单的功能就为防病毒带来的很大的帮助。在这里，我的想法，还是和数字签名很不同的，取得数字签名的软件，是值得用户信的，但是谁又能保证的它的一系列软件操作中背后又都是符合用户要求的正常序列。所以我认为除对软件数字签名外，更应防护它的变化，以及更为关键是它的操作规则是不是正常。

当然也有人认为要对每一款应用软件建立合法操作的规则序列表，是不切实际。因为现实中软件数量实在是太多了。可是我不这么认为，软件虽然，可是安装到个人电脑上的软件也就那么几种，或是几十种。如果仅是针对这几十种应用软件建立对应的规则表，要比对成千上万的病毒特征库更较为容易实现。还是拿微软的 office2003来说吧，仅此一款软件操作规则记录下来，就可以让成千上万的用户受益。这里面也许又需要一行业性的全民意识。做软件开发者来说，如果能在软件发布时，发布自己的软件特征（操作序列规则，大小，文件个数，以及组成部分的每个文件特征），让用户在下载软件时，将其导入防御体系库中。将是更加的完美。但是现阶段如此做，又需要一个专门引导者来提起全民发这种安全意识。
初步阶段，我觉得安全防护软件公司，只需要做一个专门记录软件特征的工具，供软件开发者在发布软件时，来记录软件的全部特征，并上传至安全防护软件公司认证后，连同软件一同发布，供用户下载。那么杀毒软件只需要根据这个特征，在这个软件启动对其监测即可。
我相信，做为开发者来说，能通过这样的认证，将是一个很有信用的问题。做为用户来说更愿意优先使用这样的软件。
针对成千的网站来说，在每一个网站中，包含其网站的特征（功能特性，用户上传下载数据

特征等，每个文件特征等），用户在返问此网站时，首先获得该网站特征，然后导入防护软件。
例如：www.hao123.com这个网站，就是地址导航，结有一天，我们返问它时，它的特征并不包含下载一个exe文件记录，结果确下传了。我们认为不合法，对其屏蔽掉不合法的部分.

※ ※ ※ 本文纯属【vs9841】个人意见，与【微点交流论坛】立场无关※ ※ ※

2008-6-4 10:41

hzlfhj
新手上路

积分 7
发帖 7
注册 2006-9-27

#2

这是个新思路
可行性怎样
没权力发表意见

※ ※ ※ 本文纯属【hzlfhj】个人意见，与【微点交流论坛】立场无关※ ※ ※

2008-6-4 19:40

gudan
高级用户

积分 605
发帖 579
注册 2007-7-20

#3

这是白名单机制，和主动防御两回事的

※ ※ ※ 本文纯属【gudan】个人意见，与【微点交流论坛】立场无关※ ※ ※

2008-6-4 20:42

论坛跳转:

可打印版本 | 推荐 | 订阅 | 收藏

[ 联系我们 - 东方微点 ] 北京东方微点信息技术有限责任公司福建东方微点信息安全有限责任公司闽ICP备05030815号