江苏龙网

  1. 首页 > 生活 > >

目前有没有成熟的主动防御技术

主动防御这个说法,如果要我大致定义的话,就是信息系统能够自主的利用已知的知识(比如病毒的指纹库,即黑名单)或者未知,但偏离已知的正常轮廓(Normal Profile)的行为(即白名单),识别风险,控制风险.但若根据这个定义,那么,sandbox明显不属于主动防御,因为,sandbox是无差别的将程序隔离在一片受控的区域,没有主动识别和主动控制这两个行为.市面上有无"成熟的",即在可接受的成本内运行的主动防御技术?这个我确实不知道.但在学术圈,目前确实没有成熟的理论可用于构造主动防御技术来应对未知风险.原因很简单,就是因为"False Positive Paradox",目前无解.想想某防火墙的对平日生活的干扰(以至于反复审核,贴不出来),大致就会明白了:)貌似还在审核中?
■网友
微点是不是呢？主动防御是不是也是微点最先搞的啊，依靠行为判断，而不像以前那样依靠特征码
【目前有没有成熟的主动防御技术】 话说，街上一个五大三粗的彪形大汉，光着膀子，身上纹着"左青龙右白虎老牛卧当中"，若是以前的杀毒软件，肯定当场拿下，特征码，有犯罪倾向若是类似微点，注意，不理睬，当大汉准备犯罪时，才拿下，这就是行为判断
沙盒类似于在封闭的盒子里面运行，怎么算是主动防御呢？

■网友
国内民用级别做主动防御最专业的恐怕就是东方微点了吧，也就是题主所说的“成熟的主动防御技术”，刘旭先生（曾经瑞星的总工程师）带头开发的。我是2008年首次知道的东方微点，到今年（2014年）2月28日卸载掉了。6年的正版忠实用户。东方微点还是非常牛逼的主动防御软件，在360还没普及的年代，免杀的木马非常肆虐，通常主流的杀软就那么几款：瑞星，金山毒霸，江民。那个年代，杀软更新不像现在这么快，可以几分钟内推送到全国，通常是1-3天更新一次，而且，查杀基本上都是基于文件特征码，最多是个多特征码定位，很容易做出免杀的木马，加之样本收集不完善，覆盖面小，杀软查杀能力比现在弱很多。我用了微点之后，发现这个杀软即使一年不更新，也可以查出主流病毒，记得当时“机器狗”肆虐，老版本的微点不用任何更新就可以直接防御。当使用的微点1.x版本，这货根本不用更新病毒库，因为它根本就没有病毒库，只有一个基本的行为识别库，当然，它也没有扫描病毒的功能，也就是说，你不能去主动的扫描硬盘文件，它只保证病毒文件不能运行在内存中。说到底，就是一个“行为判断组合”库。直到2.0之后，微点顶不住网友的呼声，开始推出带病毒扫描功能的微点2.0，也就是带病毒库的版本。同时，还推出了“微点杀毒软件”（只有病毒扫描功能，没有主动防御功能），我觉得从这里开始，微点就有点儿屈服于市场了，因为大部分客户还是希望自己的“杀软”是有扫描功能的，从这之后，微点几乎每天都更新，期间还有两次更新驱动有问题，导致系统蓝屏……不过，微点确实很好用。至于楼主说的“拟态”，我想也就是微点"用软件技术模拟反病毒专家智能分析判定病毒的机制，自主发现并自动清除未知木马和新病毒"的技术吧，确实实现了，这应该是一个庞大的行为规则库，根据行为判断病毒（应该是基于这个，但不仅限于这种做法），但是带来的另一个问题就是，误报率很高。曾经我08年用的时候，拿C写一个getchar()，scanf()微点就报警，也就是说，作为一个普通用户，误报率高到无法忍受，而且，这个问题居然持续了一年多，直到我给微点官方反馈了这个问题（11年12月），才解决。至于其他的误报，那就更多了，从08年到今年2月，我一共给微点反馈了20多个误报样本（我邮件里有记录的有15个，还有通过QQ直接发送的），还有一些，我都懒得反馈了，每次用误报软件的时候，顺手把微点关掉。列举几个我反馈到官方的几个微点误报的文件：暴风影音5Epson C41打印机驱动华擎主板 Turbo 储存加速驱动java的一个什么函数，既不清楚了。Android虚拟机访问网络时 微点报毒中国移动随e行某视频播放器（我们内网常用）战地3 运行文件putty.exe （你没看错，就是windows连接SSH常用的程序，官方版，非病毒文件，官方确认是误报）C++ 写一个std::cin \u0026gt;\u0026gt; a;C 写一个scanf()或者getchar()而且很多程序，都是市面已经出现很久了，微点依然报毒的，也就是说，官方测试面很窄，或者说。由于他们客户数量比较小，导致样本收集的比较少。说到这里都是眼泪……附上一张我今年给微点发的一封邮件。


推荐阅读


上一篇：怎样看待7月29日知道创宇抗D保“成功抵御685Gbps DDos”创下纪录

下一篇：某酒店的2000w数据是咋回事