微点交流论坛
» 游客:  注册 | 登录 | 帮助

 微点交流论坛 » 主动防御 » 觉得“主动防御”是无稽之谈的来讨论！  

 13  1/2  1  2  > 
作者:
标题: 觉得“主动防御”是无稽之谈的来讨论！
saikm
新手上路





积分 1
发帖 1
注册 2006-9-9
#1  觉得“主动防御”是无稽之谈的来讨论！

本人深刻地认为，病毒和杀软是原因与结果的关系，正如有了小偷才出现警察，有了疾病，才会有医生一样。

现在某些人大吹特吹什么“主动防御”，我对“主动”二字实在不敢苟同，看过了所有号称“主动防御”的杀软的技术介绍，无非是针对病毒可能的为害行为进行判断，从而查杀病毒，那么这里就有问题了，这类软件也无非是把以前杀软判断病毒的标准从病毒体转移到了病毒动作上，这就叫主动防御了？以后如果出现一种具有崭新的破坏动作的病毒，此类“主动防御”软件将会立刻失效，势必也变成“被动防御”软件，还是需要靠“病毒动作库”的升级来提高杀毒能力。所以此类软件叫做“行为防御软件”更为贴切。

此外，这类“主动防御”软件还有更致命的缺陷，就是单纯的动作行为，有时候并不能成为判断病毒的依据，一些诸如程序挂接嵌入之类的行为，也并不是病毒的专利，如果杀软把这些作为病毒的判断标准，势必会“错杀好人”！

而且，这类“主动防御”软件居然还有病毒不执行就不会被查杀的“特点”，“特点”两个字之所以加上引号，是因为这种特性非但不能算特点，而且简直就是缺陷。对此，此类杀软对外的解答为：“当一个有害程序文件没有运行时，它对系统的危害动作没有实施，从这一点上讲，它是不具有危险性的”，这个论调就像在说，你把一颗炸弹拿到飞机上去，因为你没有点燃他，那么这颗炸弹就不算危险品一样滑稽可笑～要是这样，我们民航和铁路严禁携带危险品的规定简直多于，我们完全可以利用针对旅客的“行为控制”来保证危险品的安全性……呵呵，天方夜谭。

最后，我认真思考了一下这类“主动防御”软件的出现原因。可以说，是和一些人总是试图一劳永逸的解决病毒问题分不开的，殊不知，技术在进步，病毒在变化，对于病毒，没有任何捷径和特效药可言，这类杀毒软件，也势必会像若干年前的“病毒卡”、“硬杀毒”一样被病毒技术创新所淘汰，大家拭目以待！

※ ※ ※ 本文纯属【saikm】个人意见，与【 微点交流论坛 】立场无关※ ※ ※
2006-9-9 16:45
查看资料  发短消息   编辑帖子
player
注册用户




积分 53
发帖 53
注册 2006-9-7
来自 http://bbs.hypost.cn/?a=ljys
#2  

呵呵，楼上才是无稽之谈，瑞星请来的枪手吧
我测试过多个病毒KV2006，瑞星2006均报无毒，只有微点能发现并且删除
再说说主动防御，世界上不只微点一家能主动防御，卡巴也能主动防御，卡巴可是全球公认的一流反病毒软件，在中国评价得更是神圣，难道卡巴会用一个“没用”的主动防御吗？

※ ※ ※ 本文纯属【player】个人意见，与【 微点交流论坛 】立场无关※ ※ ※
2006-9-9 16:55
查看资料  发送邮件  访问主页  发短消息  QQ   编辑帖子
Legend
超级版主

超级版主



积分 77171
发帖 70170
注册 2005-10-29
#3  

微点是一套复杂的逻辑判断规则，不是楼主所说的那么简单；
微点主动防御技术仍在发展阶段，欢迎您测试并提出很中肯的意见

※文章所有权归【Legend】与【东方微点论坛】共同所有，转载请注明出处！※

微点官方认证新浪微博：欢迎进入 微点新浪微博
微点技术支持邮箱: support@micropoint.com.cn
给Legend发短消息
2006-9-9 17:05
查看资料  发短消息   编辑帖子
flo
注册用户





积分 168
发帖 168
注册 2006-8-17
#4  

从原理上说，杀软可以做到找出和已知病毒类似的其他病毒。当然对于完全新类型的病毒，人都要分析好一会，别说程序了。像微点这样的软件确实存在很多的缺陷，仍然需要历练。

楼主可以看看这里：http://www.xfocus.net/articles/200608/883.html，类似的技术还是有意义的，虽然意义多大有待验证，但并不是无稽之谈。

※ ※ ※ 本文纯属【flo】个人意见，与【 微点交流论坛 】立场无关※ ※ ※
2006-9-9 17:31
查看资料  发短消息   编辑帖子
zqrsc
版主

反病毒区版主


积分 1133
发帖 1118
注册 2005-11-22
来自 .net
#5  

楼主的文笔不错，对汉语言的字面含义 尤其造诣颇深。
感谢楼主对微点的关注。您的关注就是对微点。对国产安全软件行业，乃至对公平的市场竞争的大力支持。在此深表谢意。
另：希望楼主能够从技术的角度，给于微点一如既往地支持与关注。

※ ※ ※ 本文纯属【zqrsc】个人意见，与【 微点交流论坛 】立场无关※ ※ ※

偶在~ 偶一直在~ 偶永远都在~偶不可救药的无处不在~
2006-9-9 17:41
查看资料  发短消息  QQ   编辑帖子
nasdaq
版主

版主


积分 1140
发帖 1118
注册 2006-4-6
#6  

暂且不谈观点，只是希望楼主能经常来，最好坚持长期讨论

千万不要象前几天某个发帖的朋友，只发了两帖就宣布永远不来了。。。完全没有讨论的诚意和气氛。

※ ※ ※ 本文纯属【nasdaq】个人意见，与【 微点交流论坛 】立场无关※ ※ ※
2006-9-9 18:29
查看资料  发短消息   编辑帖子
nasdaq
版主

版主


积分 1140
发帖 1118
注册 2006-4-6
#7  



  Quote:
Originally posted by flo at 2006-9-9 17:31:
从原理上说，杀软可以做到找出和已知病毒类似的其他病毒。当然对于完全新类型的病毒，人都要分析好一会，别说程序了。像微点这样的软件确实存在很多的缺陷，仍然需要历练。

楼主可以看看这里：http://www.xfocus.net/articles/200608/883.html，类似的技术还是有意义的，虽然意义多大有待验证，但并不是无稽之谈。

一下子就暴露出flo是个喜欢技术的好同志。呵呵，安焦撒。

※ ※ ※ 本文纯属【nasdaq】个人意见，与【 微点交流论坛 】立场无关※ ※ ※
2006-9-9 19:09
查看资料  发短消息   编辑帖子
反黑先锋
版主

RUNWAY


积分 2901
发帖 2857
注册 2006-6-17
#8  



  Quote:
Originally posted by flo at 2006-9-9 17:31:
从原理上说，杀软可以做到找出和已知病毒类似的其他病毒。当然对于完全新类型的病毒，人都要分析好一会，别说程序了。像微点这样的软件确实存在很多的缺陷，仍然需要历练。

楼主可以看看这里：[url]http://www ...

首先　转下flo的


关于智能化的探讨。

所谓智能化就像截住一个人一样，病毒有一定的套路，虽然这个套路在不断的改变。并非羚羊挂角，无迹可循，还是模模糊糊有一些影像痕迹的。这些病毒的运行过程的痕迹，是防杀病毒智能化并非是海市蜃楼，无法企及。各大杀毒厂商关于智能化防杀病毒的研究也从未中断。以下分三点探讨这个问题

1.为什么需要智能化

1，传统的防杀病毒的方式越来越显示出不足。

依靠病毒样本库和特征码的杀毒方式，随着网络时代流通的加速。在截获病毒样本和病毒大面积发作之间的时间差越来越小，越来越难以防范日益传播迅速的病毒。早期的病毒产生比较慢，而近些年由于计算机知识普遍的提高，病毒产生的速度越来越快，数量也越来越大。特征码病毒库为核心的病毒防杀越来越显出不足之处。何况很多个人编制的病毒甚至不会被发现。而杀毒的根本意义在于保护用户个体的安全，而不仅在于维护整个网络安全。从一定角度来说，只要有一个安装杀毒的用户被感染了（此时样本还为被捕获），就是杀毒厂商的失败。2.智能化病毒随着电脑技术的发展会越来越先进，而传统的防杀病毒方式只是存在于完全被动的防御阶段。智能化病毒甚至能改变特征码逃过传统的防杀方式。

2.能不能实现智能化
当然能实现智能化，其实已经出现了很多这样的工具了。比如一些监控注册表和服务的软件，一些监测工具。例如System Safety Monitor，WinPatrol等此类的工具。防火墙监控外出进程等等都已经在运用了。


3.实现智能化的难点

智能化实现很大的一个难点是，对病毒的判定。

特征码防杀病毒的方法优点就是准确，速度快。

而这恰恰是智能化防杀病毒的难点。从准确上来说，现在所谓的智能化防杀病毒的方法主要是拦截API来作为判断的依据。这样难免会出现正误判或负误判。如果只是拦截，把判断的权力交给使用者，这样判断的准确性又要依靠用户的知识能力决定。如果每个使用病毒防杀软件的用户都是专家，那还要防杀软件干什么？也就是说防杀软件必须判断并自主做出处理。来确认某一个程序是否是病毒。这个确定的准确性很难解决。目前一些所谓智能杀毒的软件都或多或少的存在一些这样的问题。

智能实现的第二个难点：　因为是智能化监测。也就是面对的很可能是全新的病毒，即使判断出来了。那么如何清除呢？这一点对于依靠病毒库的防杀软件来说很简单。因为特定的病毒样本已经被实践过，直到他将会产生什么。而对于智能化的防杀软件来说，这只能依靠一种方式来实现，即完全监控电脑运作的一切行为，这是不可能的。如果这样，防杀软件很可能会占用极大的资源，而且会对用户造成诸多的不便。如果不这样，对彻底清除病毒来说，比较难弄。

出自：智能化防杀未知电脑病毒探讨
http://www.xfocus.net/articles/200608/883.html

　金州[est_vip]2006.8.29

※ ※ ※ 本文纯属【反黑先锋】个人意见，与【 微点交流论坛 】立场无关※ ※ ※

荣先祥藏头诗《赞东方微点》
东风欣传好消息
方策独步世所稀
微妙玄机嵌主动
点睛灭毒堪神笔
2006-9-10 00:15
查看资料  发短消息   编辑帖子
反黑先锋
版主

RUNWAY


积分 2901
发帖 2857
注册 2006-6-17
#9  



  Quote:
Originally posted by saikm at 2006-9-9 16:45:
现在某些人大吹特吹什么“主动防御”，我对“主动”二字实在不敢苟同，看过了所有号称“主动防御”的杀软 ...

谈下个人一些想法


目前国内、国际上的所有反病毒产品，都采用“特征码”技术作为最基础的反病毒技术

特征码”技术的局限性是明显的，因为通过这种流程　“截获-反应-升级” ，它的解决方案总是滞后于病毒的出现。


　微点主动防御软件是依据行为判断

“行为断判”技术的核心思想是在病毒对系统造成实质性侵害之前终止它的运行并进行相应的处理。　

　事实证明　行为判断能够查杀未知病毒。

通过这种技术，不需要病毒库，我们就能够发现大部分的新病毒和变种！


现在的网络　几乎每天都会出现崭新的病毒　如果没有主动防御的技术　
楼主您觉得～　　

光靠过期的特征码　能行吗？

　让我们去依靠“截获-反应-升级” ？？


这类“主动防御”软件居然还有病毒不执行就不会被查杀的“特点”，“特点”两个字之所以加上引号，是因为这种特性非但不能算特点，而且简直就是缺陷

我们可以换个想法。　

如果将来　微点的主动防御变的更完善　到时候　再加个特征扫描不难吧？

　
微点的主动防御技术在国内是首屈一指的　微点是先锋

研究、完善主动防御的困难都让刘旭的微点给碰上了　微点加油啊！　



微点起步不久　微点主动防御技术仍处于发展阶段　

关于主动防御技术，微点正在不断深入研究　不断精进！

　欢迎您测试并提出中肯的意见。

※ ※ ※ 本文纯属【反黑先锋】个人意见，与【 微点交流论坛 】立场无关※ ※ ※

荣先祥藏头诗《赞东方微点》
东风欣传好消息
方策独步世所稀
微妙玄机嵌主动
点睛灭毒堪神笔
2006-9-10 00:21
查看资料  发短消息   编辑帖子
FlowerCode
新手上路





积分 5
发帖 5
注册 2006-8-2
#10  



  Quote:
Originally posted by player at 2006-9-9 16:55:
呵呵，楼上才是无稽之谈，瑞星请来的枪手吧
我测试过多个病毒KV2006，瑞星2006均报无毒，只有微点能发现并且删除
再说说主动防御，世界上不只微点一家能主动防御，卡巴也能主动防御，卡巴可是全球公认的一流反病 ...

需要注意的是，卡巴斯基6.0将主动防御作为一种“缓冲手段”，只寄希望于在更新病毒库前抵挡病毒一个小时。它不会因为一个程序修改了注册表的键值，挂了钩子，安了服务，加载了驱动就直接TerminateProcess并且DeleteFile
它要做的和SSM一样，告诉你“某某程序正试图做某某事，这是某某类危险程序的典型行为，允许吗？”
其实这种辅助防御很有用。例如新版灰鸽子可能会过卡巴斯基的文件扫描，但是它需要打开IE以便绕过防火墙，还需要隐藏进程，这时主动防御就大显身手了。
Warning:Hidden Object
最后说一下，瑞星和江民你需要手动脱壳（可以看AVP6的报告，它脱壳就像浏览目录似的），然后再扫描。

※ ※ ※ 本文纯属【FlowerCode】个人意见，与【 微点交流论坛 】立场无关※ ※ ※
2006-9-10 10:31
查看资料  发送邮件  发短消息   编辑帖子
 13  1/2  1  2  > 



论坛跳转:

可打印版本 | 推荐 | 订阅 | 收藏


[ 联系我们 - 东方微点 ]

北京东方微点信息技术有限责任公司 福建东方微点信息安全有限责任公司

闽ICP备05030815号