“快”字诀 谈QVM云鉴定

junyangxie

“天下武功无坚不破，唯快不破”。

杀毒和造毒时时刻刻都在攻防，都在比试武功。谁能占优势，“快”是一个非常重要的因素。
这个“快”字怎么理解:
把安装包做小，用户下载快？
省减安装流程，用户安装快？
查杀速率第一，用户扫描快？
调高监控的灵敏度，弹窗快？
……
这些功夫，用户感知很强烈，如果能做的更好，改善用户体验，是好事情。

但是这些都没有切中安全核心。

用户不会天天卸载重现下载并安装杀毒软件；也不会天天开启杀毒软件搞全盘扫描；另外用户在做电脑操作时，比如聊天、插u盘，估计很少去期待杀毒弹窗。

个人理解，真正的“快”是指对木马病毒的“响应周期”。这些是内功，用户感知不是那么强烈，但是确实在关键时刻管用。

下面谈谈QVM对木马病毒的“响应周期”：
1、决定响应周期的首要因素是对已识别样本的“检出率”。因为是已识别样本，响应周期其实是“0”秒（因为网络和硬件IO消耗时间，因此一般称“1秒”）。“检出率”越高，效果越高。目前，在真实环境中，QVM 1秒云鉴定的检出率是95%+。这个效果已经远远超过其他传统引擎，也超过其他整个云引擎的首扫。

2、决定响应周期的第二因素是抗免杀能力。抗免杀能力强，累的就是木马作者。免杀花的时间越长，那么相应的查杀的响应周期就越短。

3、决定响应周期的第三个因素是对未知样本的处理周期。
传统特征引擎分为通杀特征+快速入库。快速入库，一般依赖一些特殊手段进行文件判定，速度快，但广谱性很差，类似于hash。通杀特征，这个提取、测试、到发库周期基本是一天以上。非云杀毒软件都要靠升级病毒库才能查杀，而云杀毒软件不需要发库就能实现在线查杀。总体特点就是几乎不抗免杀。

QVM本身就是一个决策引擎，不要外部手段就能自主判毒。qvm学习是自动学习，周期是小时级别，广谱性非常强，一学会，木马作者就进入痛苦的免杀周期。再加上这套引擎放在云端，快速学习，快速上线、快速参与查杀。

以上只是个人观点。不足地方，请大家补充。

derrick_goi

支持下

webuncle

说得不错，点出了什么才叫“快”
一个“快”字，道出了部分安软公司理念上的错误，认知上的误区。
PS：你的文章直追你的周老板了。

小飞侠.net

希望能解决压缩包炸弹也能用QVM扫描出来

心碎乌托邦

支持。前排留名

jefffire

把安装包做小，用户下载快？
省减安装流程，用户安装快？
查杀速率第一，用户扫描快？
调高监控的灵敏度，弹窗快？
.......
这些快了，当然非常好，但却不是关键所在。

evilrabbit

qvm早期的版本支持压缩包扫描。估计是为了时间和效率，暂时不考虑加上吧。我也是瞎猜测

xiaoicao886

很好的帖子 支持下先。

junyangxie

小飞侠.net 发表于 2011-8-5 18:17
希望能解决压缩包炸弹也能用QVM扫描出来

这个确实能。

小飞侠.net

junyangxie 发表于 2011-8-5 18:25
这个确实能。

bz2.TAR格式再用RAR再压一次，就查不出来了