关于新版智能性的两个根本问题——涉及未来发展方向的讨论

柯林

毛豆的版本越做越智能，大方向是对的，具体细节的处理是不是也那么完美？

以下两个根本性的问题，关乎毛豆未来的发展方向，关心毛豆的朋友不妨来谈谈自己的看法。

1、沙盘定位：沙盘究竟是只用来防毒，还是允许把一些需要限制的程序放里面运行？

2、文件授权：为智能性而采用简单的二分法——程序划分为信任和不信任两大类，对于信任的文件（程序），是不是就是最高权限，这样做合适吗，需不需要采取限制措施或预防措施？

柯林

自己沙发
关于第二点，支持和反对的理由，现成的有：

支持：杀软是根本不管你啥行为的，只管病毒特征匹配，实际上也就是二分法——带毒程序和正常程序。既然杀软的二分法判定都不带来危险，毛豆又有何不可？其二，像360之类玩云端规则的智能型产品，实际上也是简单的二分法——云端验证后返回结果告知用户——安全程序默默放行，危险程序提示操作或拦截。

反对：程序原本就是分类分级的，譬如操作系统主要进程、杀软防火墙等安防软件、一般应用软件、需要限制的程序……如果仅仅凭借“无明显危害，可以信任”就给予一样的信任级权限（全部允许），从HIPS的角度来说，是粗糙的。装个金山卫士，它还提示你某某程序创建某文件到系统目录，某某程序修改某重要的注册表，某某程序创建开机自启动项目……如果毛豆把验证不属于病毒或恶意程序的程序的所有行为一概放行，是不是有点坑爹？

疑问：要不要把除了系统进程、杀软、防火墙、硬件驱动相关程序在内的高可信程序忽略外，其余的应用程序，就算它验证后被信任，其对系统目录及受保护文件的操作一律虚拟化（安装程序和升级程序除外），对注册表重要项目的操作一律虚拟化？或者，由用户决定，是改为全局询问，还是一律默认放行，还是一律默认虚拟？

myzuzong

本人支持二分法。我一向把HIPS作为安全软件使用，而不是娱乐软件。我不喜欢皮鞭滴蜡对待正常程序。

JillPal

考虑到现在用户对安全要求在逐渐提高，采取一定预防措施还是有必要的。不过在人机交互需要改进以简化用户使用难度。

柯林

myzuzong 发表于 2011-11-19 13:18
本人支持二分法。我一向把HIPS作为安全软件使用，而不是娱乐软件。我不喜欢皮鞭滴蜡对待正常程序。

问题是现在的二分法有坑爹的嫌疑——不进沙盘的默认全部放行，无限制！

柯林

JillPal 发表于 2011-11-19 13:46
考虑到现在用户对安全要求在逐渐提高，采取一定预防措施还是有必要的。不过在人机交互需要改进以简化用户使 ...

可以设置滑杆调节不同等级——对应不同的策略（自动，半自动，纯手动）
也可以在默认允许的基础上提供选择——默认阻止，默认虚拟，自定义

myzuzong

柯林 发表于 2011-11-19 18:19
问题是现在的二分法有坑爹的嫌疑——不进沙盘的默认全部放行，无限制！

目前使用沙盘的最大弊端是，如果灰程序不能确认安全性，放入沙盘运行，由于沙盘的全面限制，可能导致灰程序不能正常运行，于是有人放出沙盘运行，可能有安全隐患。其实我对毛豆沙盘的设计思想有看法。沙盘的核心思想是隔离，只要保证真实系统不受影响，就不应对沙盘内程序施加D+规则限制，在满足隔离的前提下尽可能放行沙盘内行为。否则的话，还不如搞一个严格的D+规则。毛豆目前的自动沙盘就有点像自动阻止器。这方面我比较欣赏360的做法。在没有入沙的时候，有云主防严格防御，入沙之后，在保证隔离的基础上不加限制，保证入沙程序基本可以正常运行。

柯林

myzuzong 发表于 2011-11-19 18:31
目前使用沙盘的最大弊端是，如果灰程序不能确认安全性，放入沙盘运行，由于沙盘的全面限制，可能导致灰程 ...

或许可以这样：作为防毒考虑，入沙程序默认限制严格一点，但为了解决一些灰色程序的运行，允许添加例外。

其实我更想这样：入沙程序先按沙盘的设定走，沙盘没有设定的部分，交给计算机安全规则来裁定。这样做，既避免了沙盘的存在导致计算机安全规则形同摆设的情形，也避免了沙盘与D+全局规则脱钩的情形。

Couphine

myzuzong 发表于 2011-11-19 18:31
目前使用沙盘的最大弊端是，如果灰程序不能确认安全性，放入沙盘运行，由于沙盘的全面限制，可能导致灰程 ...

额，这样有个很大的问题。盗号～

myzuzong

zgh8414 发表于 2011-11-19 18:48
额，这样有个很大的问题。盗号～

对于消息钩子型、键盘记录型盗号，沙盘必须防御，这是沙盘“隔离”二字的基本要求。窗口伪造型的话，得有另外的方法。