微点交流论坛

标题: 问个比较初级的问题 [打印本页]

作者: EESTU 时间: 2007-10-4 00:06 标题: 问个比较初级的问题

如果某个病毒是在某个程序执行到一定特定条件的时候触发，行为是把所有同分区的文件全部改写成0字节的文件，对于这样的病毒MP是怎么感知和防御的？
希望稍微详细的解释下

作者: wantcm 时间: 2007-10-4 00:15
微点在系统中密布着细小的"探针",当某病毒运行产生病毒行为的时候会触发对应的探针,探针反馈信号使微点报警.

举个形象点的例子:一个系统好比一个人,那么微点的探针就是身上的神经末梢,当有外界刺激的时候,神经末梢会产生痛,痒等感觉,反馈到大脑.

附件 1: tz.JPG (2007-10-4 00:23, 135.82 K,下载次数： 32)

作者: qcwlzhaoqun 时间: 2007-10-4 00:23
呵呵

作者: EESTU 时间: 2007-10-4 00:48
可是MP怎么知道这个程序对其他文件的复写是正常复写还是病毒行为呢？

作者: wantcm 时间: 2007-10-4 07:48

Quote:

Originally posted by EESTU at 2007-10-4 00:48:
可是MP怎么知道这个程序对其他文件的复写是正常复写还是病毒行为呢？

这是靠"规则"判定的.
首先把病毒分类,把同一类的病毒行为总结为"规则",如果某程序的行为与"规则"中描述的行为相同,则判定为病毒.

微点的"规则"判定是很复杂的,相当于把病毒专家分析病毒的过程程序化,人工智能化了.

作者: newduba 时间: 2007-10-4 11:47
行为判断确实需要考虑很多的问题，难免会误报，毕竟系统的复杂程度是我们一般人难以想象的，而且还有层出不穷的新的应用程序和新的编程思路出来。。。！:P

所以说软件的智能程度，其实就是反映了程序员对系统的理解程度和对工具的运用熟练程度。。。！:cool:

[ Last edited by newduba on 2007-10-4 at 11:49 ]

作者: EESTU 时间: 2007-10-4 23:01
UP一下，等待具体回答。我知道是靠一定的规则（主页都写了），我想知道对于这种很中性的行为（它既不后台运行也不会去动注册表也不自我复制，只是复写文件，就像一般程序所做的事情一样）MP是怎么判断的，依靠什么样的行为定义（比如复写范围超过程序根目录？）。

作者: Legend 时间: 2007-10-4 23:59
微点主动防御软件设计目标主要用于防御计算机病毒、蠕虫、木马等有害程序；
微点主动防御软件对病毒的判断是通过一系列有意义的行为判断的，并非依据单一的动作判断；
您所描述的情况属于恶意程序行为，由于此类程序不具有自我复制、传播等病毒和木马特性，不是病毒和木马，微点主动防御软件采用提取特征码应用特征值扫描技术防御。

作者: EESTU 时间: 2007-10-5 01:48
那这么说如果MP还没遇到过这种“病毒”的话就基本无法防御了？
话说别的软件有办法防范这种“病毒”么
再话说其实个人认为MP应该考虑也对这种“病毒"做主动防御，毕竟它虽然不会主动复制和传播但是也很容易被人传播并且造成很大危害，毕竟安全软件的目标是尽量降低使用者遇到恶意程序（所有的病毒木马都归这类吧）的时候的损失（我们必须承认完全避免是不可能的），不能因为不具有大众级别的影响力就轻视它。
最后祝MP以后可以进军安全软件世界前十。

作者: Legend 时间: 2007-10-5 01:57
谢谢您的建议和支持，微点主动防御软件会在后期版本中逐步加强对这种特殊恶意软件行为的判断的，欢迎您继续做深入的测试使用。

欢迎光临微点交流论坛 (http://bbs.micropoint.com.cn/)

bbs.micropoint.com.cn