诺顿网络安全特警2012安装时不断网?怎么实现的?

留得残荷听雨声

用过很多杀软,但凡有防火墙组建的,安装过程中必断网.但今天安装诺顿网络安全特警2012时,未断网,显示可以正常工作   为什么  怎么实现的

小林制药

因为它在安装时并未加载NDIS驱动，如果你要使用“网络安全拓扑图”，在使用之前也是诺顿需要断一下网来安装这个驱动的

防火墙的实现是基于端口代{过}{滤}理的包过滤，在执行过程中是在标准协议驱动之后，由防火墙实现出入站封包的规则匹配而不是像卡巴斯基，NOD一样是通过NDIS直接进行过滤。

为了更方便理解避免混淆我分开说。红字是我对原文的修改部分

一般数据包过滤的过程只走防火墙的流程而不经过反病毒引擎，这也说明了为什么诺顿总是等病毒下载了之后写硬盘的时候跳出来杀掉而不是像卡巴斯基一般正在下载时就将其干掉了。但是之前我说过的省略了一个IPS模块，就像楼下兄台所说，“入侵防护”扫描进出电脑的所有网络通信，并将此信息与一组攻击特征进行比较。攻击特征包含的信息可用于确定攻击者对已知操作系统或程序漏洞的利用企图。“入侵防护”可保护电脑不受最常见 Internet 攻击的侵害（原文照抄）。

以下是新补充：
所以个人认为诺顿个人版的防火墙具有其特殊性——一般的防护套装，以卡巴斯基举例，都是在系统中安装一个NDIS驱动，由这个驱动作为第一线过滤所有流量并与特征库进行比对，这个特征库不光包含了入侵检测，也有恶意软件的特征，进行的是完整的流量扫描，可以做到在下载的过程中就发现恶意代码并且终止传输。缺点是不同程度的降低了性能。

诺顿的实现方式则是（在不讨论组件联动和它的智能总线的前提下）防火墙过滤传入传出通信检查是否有匹配防火墙规则，如果有的话则进行阻止或放行，同时会报“防火墙阻止”。IPS模块则是如楼下那位兄台所述，检查传入传出数据包是否有与已知攻击相符的特征，如有则报“入侵检测阻止”。我们看到这整个过程中“病毒库”都没有参与进来，这就是之前我说的“只走防火墙的流程而不经过反病毒引擎”。这样的优点是对于保证性能有好处，缺点从我个人而言目前尚未明确。

驭龙

楼上的回答不完全正确，诺顿在安装的时候，首次是把网络协议筛选驱动加载到内存（这是猜测，具体情况我没有仔细研究），重新启动以后，才完全注入网络连接协议。

楼上说的“网络安全拓扑图”驱动是独立的，与诺顿防火墙中的驱动是不同的哦

驭龙

小林制药 发表于 2012-5-30 10:21
因为它在安装时并未加载NDIS驱动，如果你要使用“网络安全拓扑图”，在使用之前也是诺顿需要断一下网来安装 ...

诺顿不拦截下载中的病毒，与驱动毫无关系。诺顿没有完整特征库的HTTP流量扫描，仅有IPS的流量扫描，自然不会拦截下载时的病毒
http://bbs.kafan.cn/thread-1281915-1-1.html

修改掉

尘梦幽然

比较同意驭龙的观点。如果你安装SEP就知道了虽然不会断网但是要完全安装需要重启电脑。

小林制药

驭龙 发表于 2012-5-30 11:33
诺顿不拦截下载中的病毒，与驱动毫无关系。诺顿没有完整特征库的HTTP流量扫描，仅有IPS的流量扫描，自然 ...

在实际使用中按照观察如果不使用“网络安全拓扑图”确实是不安装NDIS驱动的，至少在检查连接属性的时候没有看到NDIS Filter，而启用拓扑图后就可以看到连接属性的协议中增加了NDIS。而且我做了一个实验——第一个情景是在实机上安装有诺顿，并且将www.baidu.com加入到防火墙的“阻止”规则中，运行VMware，在虚拟机中可正常访问百度。第二个情景是实机上装有卡巴斯基KIS 2012，同样将www.baidu.com加入到阻止规则中，在虚拟机上则无法访问百度。个人认为这个实验可以证明诺顿的防火墙确实是不依赖NDIS驱动运行而另有模块的。根据这个实验结果推测应该是在标准协议之后进行过滤，因为无论是在此之前，或者是NDIS Filer的话，都不会造成虚拟机可以访问百度的情况，这一推断已经做了对比验证。（虚拟机均使用桥接模式连接网络，非NAT）如像兄台所说是“完全注入协议”的话，实验结果应该是在实机安装诺顿的情况下，虚拟机也无法访问百度才对。

说到IPS。我的观点是诺顿的防火墙只做数据包的规则匹配，只匹配防火墙的规则而与反恶意代码没有关系，而IPS的流量扫描只比对其入侵特征，等到写硬盘的时候才会去匹配恶意代码特征库。从官方说明““入侵防护”扫描进出电脑的所有网络通信，并将此信息与一组攻击特征进行比较。”来看说的也是这个意思。我说的“过滤流程”特指防火墙对数据包的过滤，而非整个产品，可能是我说的有点混淆，我猜兄台应该是误会我说的意思了。

驭龙

小林制药 发表于 2012-5-30 14:49
在实际使用中按照观察如果不使用“网络安全拓扑图”确实是不安装NDIS驱动的，至少在检查连接属性的时候 ...

我只能告诉你，在没有安装网络安全拓扑图的驱动情况下，去看看本地连接的属性协议，你就会明白一切。

另外你说诺顿不能拦截下载时的病毒跟协议过滤有关，这必然不准确，因为诺顿没有完整特征库的流量扫描，这跟你说的混不混淆，毫无关系

你在2楼所说

一般过滤的过程只走防火墙的流程而不经过反病毒引擎，这也说明了为什么诺顿总是等病毒下载了之后写硬盘的时候跳出来杀掉而不是像卡巴斯基一般正在下载时就将其干掉了

小林制药

驭龙 发表于 2012-5-30 15:03
我只能告诉你，在没有安装网络安全拓扑图的驱动情况下，去看看本地连接的属性协议，你就会明白一切。
...

在2楼我已经做了修改，不知我说的是否还与兄台理解的大相径庭，至于属性协议，我现在就去看，不过我需要恢复虚拟机。至于与协议过滤有没有关系，在2楼我修改的部分中已经做了相应表达。

感谢兄台讨论。

小林制药

驭龙 发表于 2012-5-30 15:03
我只能告诉你，在没有安装网络安全拓扑图的驱动情况下，去看看本地连接的属性协议，你就会明白一切。
...

上图，如兄台所说。

环境：虚拟机，WinXP Sp3，昨天夜里安装的NIS2012，在截图前重启过，病毒库已更新






我们明显可以看到，在拓扑图启用前，并没有其他过滤驱动（协议）安装。中间断网的过程太快，没来得及截图就过去了，如果一定需要，我可以把整个过程补上

驭龙

小林制药 发表于 2012-5-30 15:17
在2楼我已经做了修改，不知我说的是否还与兄台理解的大相径庭，至于属性协议，我现在就去看，不过我需要恢 ...

其实吧，诺顿的各个组件与其他安软的方式略有不同，因此不能比较，看来我以后有空要研究一下诺顿的网络驱动程序的方式了。

另外我之前在楼上的语言有一点过，不好意思，不要介意