|
这里首先说一下,之所以把微点单独拿出来比较,是因为它既不同于传统杀软,又不同于通常意义的HIPS,从我个人的理解,微点不具备杀毒引擎,所以是绝对不能归类为杀软的,它更倾向与HIPS,不过更为智能化。今天作这个比较,是想让大家清晰认识三者的区别和各自的优劣
" Z6 x" Y: D' f: ^; p一、总论
) m j3 X' W: y2 k4 ^2 @& ^$ z: x0 E6 }1、杀毒软件
% e7 B, V9 {+ V纯个人理解,杀软需具备三大要素:% @: H/ T) { k2 G
病毒特征库、杀毒引擎、监控- L6 D, J, l' B' t5 i2 y
通过扫描,将系统中文件的特征码与其病毒特征库的特征码进行比对,如果特征码相符,则被判定为病毒,并通过杀毒引擎清除或删除。监控也是同样道理。" B* o5 b4 [% ?' @
总之,杀软是基于病毒特征库的。
. d1 k' z& z$ P4 L2 Z2 x2、HIPS- j. v/ c! [- x5 O2 c4 R! M
HIPS也需要具备三大要素:(为了便于说明,后面对HIPS的规则处理假定为询问)
1 J3 y: B& ~3 G0 l$ `规则、监控、拦截
4 H3 t0 p6 e# |6 x2 Q若某个程序在运行过程中,触发了HIPS设定的某个规则,则HIPS会予以询问,并提示用户操作,而不论这个程序是否有害。即使正常的程序,也有可能被询问。8 ~& i! L+ R; u4 w4 {2 }
3、微点, }1 [1 g9 T- D. l! i$ [( U
微点的特征非常明显:
& M$ J- r( d8 }% q- Y7 T行为库、监控、拦截,外加一个包过滤墙
9 d; j3 r; w4 p; ]0 _所谓行为库,是由程序的连串行为构成,病毒通常具有类似的连串行为,比如释放驱动、改写注册表、释放系统文件、自启动等等,微点便是以这样的方式来判断病毒和木马的,所以某些单一的行为或者未知的行为,不论有害还是无害,只要不触发微点的行为库,便会被放行。, b& [( V w+ c& y% t
, s" A9 ~6 p+ H& o) g* f
二、举例说明
' C3 ^4 t: ]* r+ h0 w# @0 e仅仅说理论,可能大家听不懂也很枯燥,这里就举个例子说明
5 f5 M5 o8 X1 J* G; ?假设一个潜逃的杀人犯,我们的三大警察是如何抓住他的
& [( K& P' }" k3 V* O6 P1、杀软
- V4 U$ h: X% S- B) y$ q通过识别犯人的相貌、身高、体重等特征,以判断他不是要找的犯人。如果犯人乔装打扮,且易容手法高超,完全改变了原来的外在特征,则杀软很有可能抓不住他(这就是所谓的加壳、免杀)。如果犯人继续作案,那么杀软会重新搜集犯人的特征,重新辨认(也就是更新病毒库)。垃圾杀软会将其当做一个新犯人,优秀杀软却可以识别犯人的基因特征,除非犯人改变基因(这就是所谓的脱壳,真正脱壳能力强的没几个,蜘蛛可是算是最优秀的,脱壳依赖的是引擎)。
. X9 V: c* R. e# c& K7 h7 u2、HIPS
8 u# q0 i/ i* _8 ]% ]3 ?4 l如果犯人就此改过自新,不再犯案,那么HIPS将会就此放过它。如果某一天,犯人继续有了作案的动机,假设他是拿枪去杀人,首先,犯人伸手去衣兜里(不管是不是去掏枪),HIPS会提示,是否阻止它?如果你放行,犯人会进行下一个动作,把枪拿出来,HIPS继续报警,是否阻止。如果放行,犯人接下来会瞄准目标,HIPS继续询问。再放行,犯人开枪杀死目标,系统崩溃,HIPS就此下课。9 B$ |5 j* f% D" |
(还有一类特殊的HIPS,就是沙盘,比较有名的就是defensewall,就是它会虚拟一个环境,让犯人在虚拟的环境中杀人,事实上,犯人并没有真正杀死目标,一切都是南柯一梦。犯人的所有行为在虚拟环境中完成,不对真是系统构成威胁)
+ L$ }' `+ b4 U0 R- n2 }5 i1 a3、微点
# H& I! ~ j$ G$ N如果犯人就此改过自新,不再犯案,那么微点也会就此放过它,这和HIPS相同。但接下来的就不同了。犯人进行第一个动作,伸手去衣兜里,微点不予理会,因为这一动作本身无害,也许犯人不是掏枪,只是掏钱而已。如果接下来,犯人掏出的不是凶器,微点无视,如果犯人掏出的是枪,微点会在此时报警,这两个动作加在一起才形成了威胁,只有在这种情况下,微点才会询问。如果犯人掏出的是一种微点从未见过,且不知道否会构成威胁的东西,微点仍然放行,然后目标人物被干掉9 u. _9 L) X u1 l' R$ v( X g3 E5 F0 p
# F5 ?, o- J+ G: S) A三、优劣比较
0 h& _, `/ a/ ]. M( K1、杀软
% B: s- h/ x& g+ |% a& Q他的优缺点很明显,事前防御和事后补救俱全。事前防御是依靠病毒特征码,一切他所不知道的病毒或者因为加壳改变了代码的病毒,均不会被识别。但一旦收集到新的特征码,杀软仍可依靠强大的扫描能力进行查杀。
- [0 x |' ^7 T8 Q/ c; R2、HIPS
) M1 ~+ ~- }" a! s3 @事前防御滴水不漏,但事事要求用户决定是否放行,如果用户基础知识不足,错误放行,那么病毒将会侵入系统,HIPS没有查杀能力,也许可以继续拦截病毒的行为,但不能杀灭病毒本身,更不能修复被感染的文件
0 i# Y! i d Y) G* x8 t! w3、微点 \+ w& M, N4 d6 j0 p. s" S
事前防御根据病毒行为库判定,并不会对所有单一行为报警,只有当连串行为构成危险并触发其行为库事,微点才会报警。但如果某程序的连串行为不在微点的行为库之内,即微点无法识别这种行为是否有害事,系统被会病毒侵入,微点同样不具备查杀的能力,最多只能拦截病毒的部分行为,而无法杀灭。) ]" _: t1 k) {% T# q" c3 w8 P
" v6 |* t, j1 D$ t( V* w四、继续举例, m! z- h* R3 X5 r& ]
假设手动更改 .TXT的文件关联,使其关联到写字板程序! b& P* _3 v' U: [7 H
微点不会报警,因为这一单一行为不会对系统造成威胁
5 s: i- A. s* b) @# X) ?% p N而EQ、中网S3等典型的HIPS,如果对这一文件关联设定了规则,则他们会提示这一修改,询问你是否放行。如果设定的规则是禁止的,则他们会直接禁止,使你无法改动文件关联。相对而言,EQ、中网的防御更为严密,但对使用者的要求更高,你需要自行判断某一程序的行为是否有害。
( g4 L/ `; A/ P. g7 |! d+ q2 v- N微点同样有规则,它的规则是以行为库(由程序的连串行为构成,病毒通常具有类似的连串行为,比如释放驱动、改写注册表、释放系统文件、自启动等等,微点便是以这样的方式来判断病毒和木马的)的形式体现,某个行为,无论是单一还是连串,无论有害还是无害,如果不在微点行为库的范围内,则不会被拦截。7 C* C/ b/ I" H
6 o1 }& [! w4 Y; v) d& }8 r五、总结
( c2 v6 y4 ~& c, A/ U微点对某些广告和流氓的拦截不是很好,对IE插件的加载也很少报警,因为这些广告程序和插件,并不具备明显的病毒连串行为,这些程序通常只是改写一下注册表劫持浏览器,甚至不会自启动。
2 X8 c9 `# d, G, {4 ^- x微点仍是建立在对已知行为的判断的基础上,对未知的病毒行为仍然毫无办法。只不过病毒行为通常是类似的,通过很少的行为库就能起到很好的防御作用。从这个意义上说,微点仍是被动而不是主动。8 l# S- ]( m3 J& T/ p
而中网和EQ,如果你对系统注册表关键位置进行了一些规则设定(EQ和中网内置的注册表防护规则非常全面),这些广告和流氓想劫持浏览器就成了不可能的事
3 X4 \5 B3 {6 w杀软则不是通过程序的行为来判断,而是通过程序的特征码* G! n2 S5 z6 G4 o% Q
最后一句话:) S% t2 P6 X. b4 w4 f @' [
杀软通过程序本身的代码特征来判定是否有害
: d: _; S4 }8 u# R3 ~HIPS通过程序的单一行为来判定是否有害: u5 n$ L( u5 P4 z: P
微点通过程序的连串行为来判定是否有害
4 A* c. ~, ^6 Z* d1 J另外一个特殊的沙盘,基本不作判定,任由程序在虚拟环境中运行,使其无法破坏系统 |
|