是驴是马？——剖析微点主动防御软件

liuchun

本帖转自  霏凡论坛 syst
原帖地址：http://bbs.crsky.com/read.php?tid=893488

随着计算机病毒的发展，传统特征码识别技术在花样百出的病毒面前显得有些力不从心，所以，近年来启发式、HIPS等反未知病毒技术逐渐被广大网民认识。其实，对于计算机病毒的主动防御技术在很早就被人们重视，但研发过程中都有各种各样的困难，以致于主动防御发展缓慢。而一年前，我国反病毒专家刘旭声称主动防御技术研发成功，并开发出微点主动防御软件，在网络上掀起热潮。在随后的一年公测中，微点主动防御软件遇到的有褒奖，也有质疑。到底微点主动防御软件如何工作呢？说实话，敝人也并不得知，仅仅是妄加猜测，现将敝人愚见写在下面，欢迎讨论。

一、已知病毒查杀：传统特征码识别。这很简单，就算声称主动防御，也不能脱离传统的特征码识别。微点主动防御软件内置一块很小的病毒库，支持在线更新，作为主动防御的辅助查杀，这儿就不再多说。


二、未知病毒查杀：程序控制（主）、文件监控（辅）、注册表监控（辅）。
1、程序控制：类似HIPS中的AD。在一般的HIPS中，每创建一个线程，AD就会询问用户。一个程序一有点小动作，AD也会询问。而微点不一样：线程你可以随便创建（前提是通过特征码检测），但创建之后不能干坏事。所以就免去了频繁的询问。如果发现已运行的某个程序有可疑行为，则比对白名单（我估计这个名单使用了文件特征码（非md5）、数字签名等验证，以至于木马几乎不可能伪装成白名单里的程序）。如果符合白名单里的程序，则自动放行；如果不符合白名单里的程序，则结合文件监控和注册表监控报警。当然，大部分正常程序是没有可疑动作的，所以微点的白名单不需要很大，但同时需要更新。

2、文件监控：类似HIPS中的FD。我个人认为微点的文件监控与HIPS中的FD有很大区别。微点重于监视，而并不重于询问、阻挡。这是因为微点的防御核心是它的程序控制。举个例子：病毒文件“a.exe”试图在“windows”文件夹下生成病毒文件“b.dll”，而“b.dll”试图注入到正常程序“c.exe”。当“a.exe”在“windows”文件夹生成“b.dll”时，微点不报警，只是将其记录下来，因为这个动作是无害的（我想要是Parador发现有dll生成在windows下一定会报警了吧）。而当“b.dll”试图注入到“c.exe”时，由于这是一种可疑行为，这时便被微点的程序控制所监控，微点立即查询白名单里是否有“b.dll”，如果有，则放行；如果没有，则查询有无程序生成这个“b.dll”，那么，因为前面微点的文件监控记录到“a.exe”生成了“b.dll”，所以微点就报警“发现未知木马a.exe，该木马生成文件C:\WINDOWS\b.dll，是否删除木马及其衍生物”。所以，明明是程序控制与文件监控的结合，但在很多人眼里，却误以为微点是个滥竽充数的FD。当然，如果“a.exe”一开始就做类似于修改系统文件这种有害的事，我想微点的文件监控还是要报警的。

3、注册表监控：类此HIPS中的RD。与微点文件监控大致相同，微点的注册表监控=监视+保护。运作原理同上面的文件监控一样，就不多说了。

以上纯属个人猜测，可能不正确，但至少我个人认为说得通。为了直观，我随手用“画图”画了个草图，相当混乱，各位就将就点吧：

大家要明白一点，微点需要面向大众，所以不可能像HIPS那样频繁询问，所以与一般HIPS区别很大。当然，主动防御是一项复杂技术，各国反病毒机构都有很长一段路要走，但既然微点在我国大声提倡主动防御，我们还是应该报支持的态度，毕竟在国内应用该项技术的安全软件不多。