微点不应当搭配所谓系统墙以及HIPS的原因

显示全部楼层 · 发表于 2011-6-16 14:13:26

这个文章是我用来转正的文章。。但是我希望更多的人看到他所以这里又发了一次

微点如何探知某个程序做了什么？并不是靠注入到进程中的DLL
所以微点不会与实时监控冲突
微点靠的是自己的服务与驱动
微点的某个驱动（后面说监控驱动）挂在了系统函数上面另外某个驱动（后面说守护驱动）监控着

监控驱动把探知到的API请求记录并分析
微点不会报单一动作（HIPS特性就是报动作）
而是把一系列动作整合成行为智能的去分析这些行为来确定这是不是木马/病毒（并不是智能HIPS）
微点是通过动作整合行为用行为定义
与规则库的纪录相同了那么认为他是病毒了

通过这里我们知道微点最主要最关键的地方在驱动是否成功挂钩驱动获取到的动作是否真实
而HIPS呢？也是挂钩并且把API重定向到了自己，这样一来因为微点的白名单中有HIPS 所以会任由HIPS去加载驱动
任由HIPS去胡乱挂钩重定向
而这时候微点的驱动的挂钩虽然还在（自保强悍）但是已经无法获取到应当获取到的信息了
这就会影响甚至废除掉微点的能力

而瑞星以及卡巴斯基的主动防御扩展部分都是采取的上述HIPS方式这也就导致了微点的大量漏报
所以近期个人所测的微点都不能作数因为他们的机器中还存在有其他具有驱动导致API重定向异常的程序（EQ 毛豆卡巴斯基或者瑞星）

关于360是不是HIPS 我认为很像但是安装了360的朋友可以查看 360的做了重定向的钩子很少甚至没有但是360对规则的制定更超前一步（因为有云在呗）所以很多时候微点获取到的行为不足以推算出后果而360就已经拦截下来这样没有造成危险后果的可能微点自然不会去报，

显示全部楼层 · 发表于 2011-6-16 14:19:15

说明用户无需安装两款同功能软件

显示全部楼层 · 发表于 2011-6-16 14:23:06

微点不是HIPS 但是如果和HIPS同装则有可能造成判断错误
建议使用杀毒类

显示全部楼层 · 发表于 2011-6-16 14:48:54

我感觉微点就是智能的多步法HIPS,而且微点本身就有防火墙，所以没必要搭配所谓系统墙以及HIPS

显示全部楼层 · 发表于 2011-6-16 14:50:30

-oAo- 发表于 2011-6-16 14:48
我感觉微点就是智能的多步法HIPS,而且微点本身就有防火墙，所以没必要搭配所谓系统墙以及HIPS

多步就不叫HIPS了。。
HIPS的特点就是对每一个动作都报警
HIPS内核的所谓主防的行为分析都是在主界面或者DLL引擎进行的。
一般资源占用极大（如卡巴主防）

显示全部楼层 · 发表于 2011-6-16 14:54:50

zhq445078388 发表于 2011-6-16 14:50
多步就不叫HIPS了。。
HIPS的特点就是对每一个动作都报警
HIPS内核的所谓主防的行为分析都是在主界面或 ...

HIPS确实有单步多步之分，比如360卫士的就是单步，------

显示全部楼层 · 发表于 2011-6-16 14:59:30

我觉得楼主说微点就纯说微点，连带着评了360，小心招来口水啊

显示全部楼层 · 发表于 2011-6-16 15:01:09

逍遥郁闷小仙发表于 2011-6-16 14:59
我觉得楼主说微点就纯说微点，连带着评了360，小心招来口水啊

- -下次注意。。

显示全部楼层 · 发表于 2011-6-16 15:02:46

装了微点以后还装hips干啥…两个主防会冲突差不多算是卡饭的常识了……微点配杀毒就够好了，完全没必要再配hips

显示全部楼层 · 发表于 2011-6-16 15:03:11

如果想知道微点的真实成绩是强势弱,就应该保证系统的清洁?
不过我认为如微点时最后安装的,应该还是能保证探测到100%的动作吧?

[微点] 微点不应当搭配所谓系统墙以及HIPS的原因