怎样测杀软的主防？

显示全部楼层 · 发表于 2012-8-19 12:35:41

驭龙发表于 2012-8-19 12:24
我什么也不懂，随便说说，不准确的哦。

① 先扫描样本，确定特征库不识别样本，然后双击样本，如果软件仅 ...

你就是太谦虚了但我感觉很多杀软的引擎和病毒库都和主防貌似是联动的如果不更新病毒库和引擎肯定会悲剧！

显示全部楼层 · 发表于 2012-8-19 12:37:07

其实还有一个问题是拦截了……那么拦截之后的下一步了？比如说造成了损害就回滚，那回滚了多少……回滚到哪一步？一般来说不好看，而且主防的定义卡饭都吵过好几次……

显示全部楼层 · 发表于 2012-8-19 12:39:41

88865ff 发表于 2012-8-19 12:35
你就是太谦虚了但我感觉很多杀软的引擎和病毒库都和主防貌似是联动的如果不更新病毒库和引擎肯定会悲剧 ...

为什么不更新特征库？特征库一定要是最新的，然后扫描样本，剩余的未报样本，就可以测主防了

显示全部楼层 · 发表于 2012-8-19 12:47:53

闲着没事干。

显示全部楼层 · 发表于 2012-8-19 12:56:59

本帖最后由 zyx9 于 2012-8-19 13:02 编辑

6楼说的不错狭义的所谓主防，一般大概是指行为防御（多步回滚单步拦截等），但是某些安软的主防貌似还是和特征码、云端网络（本地或者云端）有联系的，所以禁用特征码文件监控也不是个好办法，且如6楼所说鉴定是否完整防御或者正确回滚也很难。
最重要的一点，个人认为仅测试狭义主防是没有实际意义的（某些样本的母体在突破主防后所下载的子病毒可能已经被入库，且他们只更新母体而不更新子病毒或者安软公司对其子病毒响应较快），还不如做个免杀所有待测试的安软的“有效样本”且比较具有代表性（感染型、rootkit等分类测试），然后开启安软所有监控，更新至最新，使用类似“real world”模拟用户真实使用情况下进行双击测试。当然这样的情况对于会自动上传鉴定（特征码或者信誉）的安软是有优势的，他们会较快响应，也就是说同样被突破主防之后，会存在先响应和后响应的比较。

这类测试工作量其实很大。

对了，可以参考去年台湾AVPclub的TDL4主防测试，可惜今年似乎没有这样的测试了。

显示全部楼层 · 发表于 2012-8-19 13:06:53

好家伙

显示全部楼层 · 发表于 2012-8-19 13:19:44

学到很多东西啊~

显示全部楼层 · 发表于 2012-8-19 14:04:57

这个基本是不可能的，测的话也会给人很多把柄1.主防的界定就是个问题；2.很多杀软的主防是和传统防御结合的，剥离是个问题，另外病毒库的数量和质量也无法保证，顶多是个参考，吃力不讨好

显示全部楼层 · 发表于 2012-8-19 14:16:40

88865ff 发表于 2012-8-19 12:13
你不是帮帮团的人吗？为什么会不懂？

不见得BBT的就什么都知道？！我混在BBT也纯属巧合，喜欢掰扯电脑算是一个因素

显示全部楼层 · 发表于 2012-8-19 14:57:08

把测试杀软都扫描不出来的样品进行双击，关闭了监控对于杀软来说应该只是关闭反病毒监控而不是把所有监控全都关闭（包括防火墙和其他一些诸如avc和ids之类的防护）否则就没有测主防的意义了
至于判定拦截成功的标准这个的确难以界定，若是给予标准加入评价又过于繁琐，的确是一项吃力不见得讨好的工作

[讨论] 怎样测杀软的主防？