在巴哈看一篇关於各家防毒软体的技术分析文章就转过来 如果有转载需求请记得附上以下原始网址 ※本文发布於巴哈姆特电应板以及部落格 IT Works，转贴请附上原文连结 https://forum.gamer.com.tw/C.php?bsn=60030&snA=463208&s_author=ts00937488 -- 近年来勒索肆虐猖狂，网路上反而出现不少不学无术、对防毒原理一知半解、毫无专业知 识，却在论坛上妖言惑众、散布错误观念和谣言、肆意贩卖恐惧、误导他人的可恶之徒。 可悲的是，这等神棍的妖言还有不少人信以为真，於是一传十、十传百，指鹿为马居然莫 名成为了真理 为了破除谣言、以正视听。本篇以实事求是，回归技术面科普的心态，从最基础的防毒原 理开始说起。 什麽是0day攻击？ 0day一般指还没有修补的安全漏洞，但以防毒的观点来看，0day泛指任何无法被防毒资料 库识别的恶意软体、挂马网页。很多人对防毒的认识还停留在十年前单纯靠病毒库比对恶 意软体的阶段；时代在进步，防毒厂商也不是吃素的，现今的防毒透过各种技术，例如： 启发法、行为拦截（Behavior Blocker）、主动防御、云分析、沙盒（SandBox），当然 还有传统的 HIPS，来预防尚未入库的未知威胁 以下针对这些预防0day的技术做介绍 启发式：现代防毒几乎都有用到启发式技术，然而多数人并不知道这是什麽意思。在牛津 词典中对於“启发式”的解释是“使一个人能自主发现并学习某个东西”，然而这段描述 实在过於笼统。所以下面我用一张图来举例 https://i.imgur.com/NMhYDjy.jpg 假设您被要求从上图找出一种从来没听过的犬类（加泰霍拉豹犬 Catahoula），以下是可 能的推理过程： 因为要找的是哺乳动物，首先会把鱼类排除掉。排除鱼类下方的杜宾犬则类似，因为不少 人都熟悉杜宾犬这个品种。排除熊的照片则有意思得多：试想如果一个人从未见过熊，怎 样才能不把熊认成犬类？对电脑来说更是这样，因为电脑的程式语言需要精确的描述，这 种情况下启发识别就相当困难。可能有些人会被猫迷惑，因为加泰霍拉豹犬 Catahoula 包含了 cat 这个英文单字 最後剩下右边的两只狗，右上角是许多人熟悉的米格鲁，加上目标的犬种名”豹犬”让人 联想到豹纹，通过排除法得出了右下角的照片 在侦测病毒的过程中，面对未知的威胁传统特徵码将完全失效；而启发式通过一系列的规 则试图推理出可能的目标。其中又分成 "静态启发”以及 "动态启发” 静态启发：与传统将文件的 MD5 与病毒库中的数据比对不同，启发式试图通过一系列手 段还原出可执行档案的实际行为，并将其与记录病毒行为的启发特徵库相比对。而静态启 发就是在可疑文件读入到记忆体执行前，先行一步反编译，根据得到的代码分析出程式可 执行的命令种类和顺序，再与启发特徵库中的行为比较，近似者报毒。因为只是读取程式 指令来“预测”是否有恶意行为，所以过程中程式不需要执行。实际上这是模拟了工程师 分析病毒的过程，典型的就是 ESET 的启发引擎 理想情况下，一个启发特徵就可以杀一整类病毒，大大节省病毒库的体机和防毒性能 动态启发：防毒建立一个隔离的虚拟环境预先执行要扫描的程式几十毫秒。通过监控程式 最初的几条或几十条指令来判断程式是否可疑（正常程式一般会先调用图形 API 绘制界 面等，但病毒通常直接开始读写硬碟，注入其他程序）；这项技术有严重缺陷，不仅资源 占用高、误报严重、检测率还低（只要在病毒中加一个延时等100~200ms之後再执行恶意 指令就可以完美避过），一般作为预判断手段（先通过动态启发确认可疑程度来调整进行 静态启发时引擎的敏感度）。虽然各大防毒引擎都俱备这个功能，但平时没有存在感。这 种技术可以看作主动防御的前身 HIPS：主机入侵防御的英文缩写，分为 AD 应用程式防护、RD 注册表防护、FD 文件防护 三块。在程式执行时拦截所有行为并询问用户是否放行，一般通过预先设定好的规则来减 少弹窗，规则的严密程度也决定了防护能力。是一种把系统控制权交给用户的安全工具， 会用的高手可以裸奔毒网，小白用这个只是徒增烦恼。 另外所谓的智能 HIPS 就是根据云端白名单识别程式并建立相应的规则以减少弹窗，可说 是自动预设规则的 HIPS 主动防御：可以当作是有启发能力的 HIPS，与启发式的不同在於，拥有主动防御的防毒 可以在程式正常执行（不隔离）的情况下不间断地监视程式的行为，发现与启发特徵库匹 配的动作便终止该程序（BD ATC 有些特殊，稍後再说明）；有不少防毒的主防（Sonar、 IDP、SW）还会在程式执行时记录下执行过的指令，发现恶意行为并终止後便按照记录逐 一撤销程式的操作，这就是回滚能力。主防既有像静态启发一样检测未知病毒的能力，又 很难被花指令所蒙骗（毕竟静态启发只能进行简单的反编译不能读出程式中所有指令）； 但主防既要求防毒能在程式执行过程中拦截指令，又要在确认为恶意程式後有足够权限将 其终止，实现难度相比启发式困难，也来得不稳定。对於未知威胁，主动防御是目前最有 效的手段。 要注意的是，主防和 HIPS 都属於执行後保护，在其运作时，可疑程式已经在记忆体中执 行，可以说是防毒软体的最後一道关卡 行为拦截：BB 在技术上并没有被严格定义，只要有恶意行为，不管程式是正常不正常， 有签名或无签名，只要防毒判定为恶意就终止程序。譬如开着 IDM 下载病毒，数次後防 毒会提示 IDM 似乎是个未知威胁，对於这种正常程式下载恶意文件会提示操作，并记录 程式行为是打开网络连接和多次下载恶意文件。它可以是基於本地主防或者是云端甚至是 智能 HIPS，例如红伞虽然没有主防但它的云 APC 对於未知威胁可以有效阻断拦截 人工智慧（AI）：包含云启发或本地 AI，详见 BD ATC 和 360 QVM。另外像 BD 或者是 AVG 虽然是本地 AI，但是其规则是分析云端的大量资料，机器学习後再下放到本地（ BD 是主防带 AI，AVG 是扫毒带 AI，这也是 AVG 2016年检测率飙升的原因。AI 的一大 好处是提高检测的同时节省人工成本，防毒厂商的病毒分析师只需进行简单的後期除错， 其余工作都能仰赖 AI 进行分析） 广谱/基因：通过衡量某个未知的文件和已知恶意文件的相似度来进行判别。如果一个未 知文件在关键的地方和已知恶意威胁高度相似则判为有害 https://i.imgur.com/UT3BdcL.jpg 例如上图中，假设你已经熟悉了左边的黑褐色长毛猎犬，那麽即使没见过右图的犬种，也 能通过相似度推断出是某个品种的长毛猎犬 有些人把基因当成启发的一种手段（但启发不等於基因）更详细的介绍见红伞、ESET 两 栏的解说 --

※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 1.165.185.3 ※ 文章网址: https://webptt.com/cn.aspx?n=bbs/AntiVirus/M.1495823940.A.EA7.html