防病毒軟件如何工作：四種病毒偵測(cè)技術(shù)

基于簽名的偵測(cè)技術(shù)：使用已檢查過(guò)文件的關(guān)鍵特征來(lái)創(chuàng)建已知惡意軟件的靜態(tài)指紋。該簽名可能以文件的一系列字節(jié)來(lái)表示。它也可能是整個(gè)文件或部分文件加密后的哈希值。這個(gè)偵測(cè)惡意軟件的方法，是防病毒軟件工具誕生以來(lái)必要的方面之一。作為許多工具的一部分該技術(shù)保留至今，盡管它的重要性在逐漸減弱�；�于簽名的偵測(cè)技術(shù)的主要局限在于，從它自身來(lái)說(shuō)，這個(gè)方法無(wú)法標(biāo)記那些還沒有開發(fā)簽名的惡意文件�？紤]到這點(diǎn)，現(xiàn)今的攻擊者們經(jīng)常通過(guò)改變文件的簽名來(lái)對(duì)病毒進(jìn)行變異并保留惡意的功能。

基于啟發(fā)式的偵測(cè)技術(shù)：該技術(shù)目的在于通過(guò)靜態(tài)地檢查文件的可疑特征，來(lái)一般性地偵測(cè)新的惡意軟件而無(wú)需精確的簽名匹配。例如，某個(gè)防病毒工具可能在被檢查的文件中尋找罕見的指令或花指令（junk code）。該工具還可能模擬運(yùn)行該文件，以便確認(rèn)如果執(zhí)行該文件，它會(huì)在不明顯拖慢系統(tǒng)的情況下嘗試做些什么。單獨(dú)的可疑屬性可能還不足以把這個(gè)文件標(biāo)記為惡意的。然而好幾個(gè)這樣的特征可能會(huì)超出期望的風(fēng)險(xiǎn)閾值，導(dǎo)致該工具把該文件劃分為惡意軟件。啟發(fā)式方法最大的弊處在于它可能無(wú)意地把合法的文件標(biāo)記為惡意的。

行為偵測(cè)技術(shù)：該技術(shù)觀察程序如何執(zhí)行，而不是僅僅模擬它的執(zhí)行。這個(gè)方法嘗試通過(guò)尋找可疑的行為如解壓惡意代碼、修改主機(jī)的文件或是進(jìn)行鍵盤記錄來(lái)辨識(shí)惡意軟件。值得注意的是，這樣的操作能夠讓防病毒工具在受保護(hù)系統(tǒng)上偵測(cè)到事先未見過(guò)的惡意軟件。對(duì)于啟發(fā)式技術(shù)來(lái)說(shuō)，這些操作的每一個(gè)可能不足以劃分程序?yàn)閻阂廛浖�，然而把它們一起考慮的話可能意味著是一個(gè)惡意的程序。使用基于行為技術(shù)讓防病毒軟件更加接近于主機(jī)入侵預(yù)防系統(tǒng)（host intrusion prevention systems，HIPS）的類別，后者傳統(tǒng)上以單獨(dú)的產(chǎn)品類別存在。

基于云的偵測(cè)技術(shù)：該技術(shù)通過(guò)從受保護(hù)的計(jì)算機(jī)上收集數(shù)據(jù)、同時(shí)在服務(wù)提供商的基礎(chǔ)設(shè)施上分析、而不是在本地進(jìn)行分析來(lái)辨識(shí)惡意軟件。這通常是通過(guò)捕捉文件的相關(guān)細(xì)節(jié)和在終端上文件執(zhí)行時(shí)的情境來(lái)實(shí)現(xiàn)，并把這些信息提供給云引擎進(jìn)行處理。本地的防病毒代理只需進(jìn)行最小化的處理工作。此外，廠商的云引擎能夠通過(guò)關(guān)聯(lián)來(lái)自多個(gè)系統(tǒng)的數(shù)據(jù)獲取與惡意軟件特征和行為相關(guān)的模式。相比之下，其它防病毒軟件的組件大多數(shù)基于本地觀察到的屬性和行為進(jìn)行決策�；�于云的引擎能讓使用防病毒軟件的單個(gè)用戶從社區(qū)的其他成員的經(jīng)驗(yàn)中獲益。

盡管根據(jù)上述各自的標(biāo)題列出了這些方法，但各種技術(shù)之間的差異往往是模糊不清的。例如，術(shù)語(yǔ)“基于啟發(fā)式”和“行為偵測(cè)”經(jīng)常被交互地使用。此外，當(dāng)工具融合基于云的能力時(shí)，這些方法——包括簽名偵測(cè)技術(shù)——趨向于扮演活躍的角色。為了跟上不斷變化的惡意軟件樣本，防病毒軟件廠商們必須在他們的工具中融合多層防御，依賴于單個(gè)方法是不可行的。

服務(wù)器租用/服務(wù)器托管中國(guó)五強(qiáng)！虛擬主機(jī)域名注冊(cè)頂級(jí)提供商！15年品質(zhì)保障！--億恩科技[ENKJ.COM]