【转帖深入研究】关于微点主防与NOD32搭配时产生漏报问题的官方答复

strawman0719

说明一下，官方原文发表于07年，说明07年官方就已经发现并重视了此问题

由于近期很多朋友提出微点与NOD32能否搭配以及是否存在漏杀的问题
所以我转贴过来，以帮助大家消除疑惑、对症下药

官方网站原帖地址：
http://bbs.micropoint.com.cn/showthread.asp?tid=8239&pid=57541&page=2&sid=q1QHrh#pid57541
16楼，官方客服Legend答复~


关于近期部分网友反馈的美国安全软件NOD32与微点主动防御软件同时安装在同一系统上，同时开启实时监控后引起NOD32在解压文件时漏报的问题，东方微点公司非常重视，经东方微点公司深入跟踪分析测试，现已查明此现象不是软件冲突，而是由于NOD32文件实时监控系统对不同状态文件采取不同扫描策略导致。

跟踪分析结果简述如下：
NOD32的文件实时监控系统根据被扫描文件的当前状态共分为三种实时监控策略，即NOD32的AMON设置中“侦测——文件执行扫描于”选项中所标明的“开启”、“新建”和“执行”三种状态（默认设置三个选项同时启用），并且不同状态采用的扫描策略有所不同。本例主要涉及“开启”和“新建”两个状态的实时监控策略。

可能出于减少系统资源占用考虑，NOD32对状态为“开启”的文件采用的扫描策略是，仅使用已知特征扫描，并记录该文件已经被扫描的状态，而不使用启发式引擎扫描。
NOD32对状态为“新建”的文件采用的扫描策略是，同时使用已知特征扫描和启发式引擎扫描。

在同时安装有多种杀毒软件的计算机上，如其它杀毒软件（包括且不限于微点主动防御软件）实时监控优先级高于NOD32，即新解压缩生成文件时，其它杀毒软件抢先对新生成的文件进行监控检测，尔后NOD32使用文件“开启”状态的扫描策略，因此，仅使用已知特征扫描，并记录该文件的扫描结果，而不使用启发式引擎。所以此时NOD32的启发式扫描不会报警。

在其他杀毒软件检测结束后，NOD32可能出于减少系统资源占用考虑，直接查看NOD32上步检测所记录的该文件扫描结果，而不是使用“新建”策略完整地对该文件进行已知特征和启发式扫描。

对此，广大用户可以使用下列方法对上述环境进行自行测试：去掉NOD32的AMON设置中“开启”选项，而保留“新建”选项。此时解压缩文件，NOD32的启发式会正常报警。因为此时NOD32不再使用“开启”模式的扫描策略，也就不存在“新建”状态 下先检查文件扫描结果的过程，NOD32会直接使用特征码和启发式引擎进行扫描。

经过对nod32分别与其他杀毒软件并存的状态下测试，皆存在用户反馈的问题。对此，由于安全软件的特殊性，我们建议广大用户最好不要同时安装使用多种安全软件（包括且不限于杀毒软件和防火墙）。红烧大馋豆 发表于 2010-4-8 18:29

我机子上的微点已经卸了  最近比较忙   不亲自折腾了  

根据上文，我觉得对应的4.X版本设置应该如下图

经简单测试，解压缩时可高启报毒，不知道是不是符合上文所说的设置


有同时装微点的朋友试试吧   对于测试结果反馈和记录实验过程的本人将给予RQ奖励

ps：下面的广告好烦人，离它远点
1
1
1
1
1
11
1
1
1
1
1
1

11
1
1
1
1
1

jayavira

谢谢稻草人分享了
请同时使用nod32和微点的人，设置看看吧

bdrdc

这个比较神奇，估计关闭“”

吾与谁归

下午人气奉上，偶还没用微点

qynubf

NOD32是美国的？

吾与谁归

回复 5# qynubf
总部在美国

luobinhan23

這都是什么時候的事情了

winxie

学习了

The EQs

nod32成美国货，eset泪流满面

mc60

学习了，谢谢楼主