未知病毒引擎测试最新AV TEST [論壇存檔]

kaspersky

2005-12-03, 09:21 AM

自然的，大家都希望有一個防毒軟體是可以永久解決病毒問題的，不幸的是，目前還沒有一套"永久"有效的方法來對況這些不知道何時會有新手法的病毒。電腦病毒並不是自然演化的，而是人所撰寫出來的，所以是沒有規則和邏輯可循的，只能猜這些病毒作者會想要做什麼。

所以當一個是以病毒碼比對為主的防毒軟體與以行為邏輯猜測防禦為主的防毒軟體來比較。這在掃描病毒時就會有不同的結果。一個防毒病毒碼是一個很小的程式片斷來進行檔案的比對。一個行為邏輯猜測判斷的則是去追蹤這個檔案啟動以後的狀況，並且將這個可疑的程式或者是已知的病毒進行攔截。兩者都同樣有各自的優缺點。

利用防毒特徵碼進行掃描的好處就是掃描的結果是穩定肯定的，而壞處就是如果沒有這樣的特徵碼，則無法偵測病毒。而另外一個問題就是越大的病毒資料庫就會需要越大的資源來比對。行為模式邏輯的判斷提供的好處就是能夠偵測未知的惡意程式。而壞處就是可能帶來的誤判；將目前所有的病毒與木馬作為規則的分類並且最多也只能告訴你這"有可能"是病毒。這也表示行為邏輯的判斷方式也無法偵測所有的惡意程式，並且可能造成正常的程式無法執行。

且行為模式邏輯判對的方法也有另外一個跟隨而來的缺點就是無法偵測全新手法的病毒。比如防毒軟體 AVXXXX 已經開發出一套行為模式邏輯判斷可以 100% 偵測目前所有的惡意程式。所以你們覺得駭客會怎麼作？當然他們會發明一個全新手法的病毒。並且當然這個防毒軟體必須更新其行為模式邏輯的規則。且當然駭客一定又再更新其手法，而這個防毒軟體也同樣必須也再更新一次其規則，就這樣一直循環下去。因此這個防毒軟體變成也同樣在更新其特徵碼，但其中更新的是行為邏輯的規則，而不是程式碼的片段。

這個結論將可以套用的自我啟發式分析法。一旦駭客們知道這個防毒的技術能夠防禦其開發的病毒，他們便會發明新的病毒技術來規避這種啟發式分析法。也就是會變成"全新開發"一個預防機制只能帶來很短時間的保障。一個沒有經驗的駭客可能需要數週到數個月的時間來發現怎麼閃避這種預防偵測，而一個專業級的駭客則只需要一到兩天，甚至更糟糕的只需要幾個小時就能破解這種機制。這也將意味不論事行為模式邏輯判斷還是啟發式判斷都還是需要進行更新的。而也代表以加入更新新病毒特徵碼僅需數分鐘便可完成，而開發行為模式邏輯或者啟發式偵測則需要較長的時間。這也是目前為什麼更新病毒資料庫的作法遠比開發預防技術來的叫好的原因。這樣的方式才是最保險的在很短的時間內將新病毒新蠕蟲或者新的惡意程式碼所在成的疫情控制住。

當然這並不表示預防的技術是完全沒有用的，這樣的技術在某個範圍內可以大多數的病毒了(那些沒什麼經驗的駭客或者病毒撰寫者) 所以說，這種預防的技術可以與病毒特徵碼搭配，但是並不應該完全依賴這樣的方法來作為全盤的保護方式。