本帖最后由 蓝核 于 2013-6-27 20:58 编辑
4.1 F-Secure DeepGuard 第一个版本的DG是作为FSAV和FSIS的一部分于2006年9月发布。它的工作原理是，当一个程序运行时，DG会对其进行检查，关注的重点不仅是其外表，更重要的是关注其行为。 DG的行为分析包括2个主要的组件： Gemini-一个静态启发式引擎。它负责检查是否有常见的恶意软件特征，比如被压缩，比如没有签名等等。 Pegasus-一个虚拟机（沙箱）。Pegasus将文件在虚拟环境中执行并且跟踪该文件的行为而不会影响正常的windows环境。 DG会根据这2个组件的输出，计算出行为得分，基于这些等分，会采取以下行为。 | 得分 | 采取的行为 | | 绿色 | 没有行为，将允许该文件执行 | | 黄色 | 将他出对话框详细介绍系统的改变，用户可以选择允许或者拒绝 | | 红色 | 该程序将被自动阻止并且不允许执行。 |
DG的扫描是发生在应用程序执行时，不管他是如何执行的。（用户启动程序，双击邮箱的付下载并且运行一个城固；从浏览器的漏洞驱动等等。） 扫描只进行一次。如果同一个程序再次启动，DG会认识到它已经被检查并且采取上次同样的行动。 分析行为的好处是当一个稍微修改或者压缩过来避免病毒码检测的恶意软件仍然会被DG阻止，只要该修饰过的恶意软件行为与原始的恶意软件是一样的。 对于病毒作者来说，修改恶意软件的模样是很简单的。但是DG不在乎。DG定义恶意软件是基于其行为。而一个恶意软件仍然会干他原来准备干的事情， 4.2 F-Secure DeepGuard 2.0 不断增长的样本的多样性和新型的恶意软件的复杂性迫使我们不断更新DG以确保它能够理解并且阻止这些前所未有的行为。这个过程需要一个相当大数目的样本并且它经常要花费好几天来收集足够的大样本来训练我们的DG。在此期间，我们依赖传统的病毒码技术来保护我们的客户。尽管FS是世界上最快的响应新威胁的安全厂商之一，但是一个新的恶意软件攻击了我们的客户与我们针对该类恶意软件推出病毒码之间仍然有数小时的延迟。 在应对新威胁上，这做的根本不够好。我们需要想出一个方法来缩短时间，缩短我们定位到威胁和我们保护全球客户应对这个威胁的时间。 在2008年，DG增加了一个新功能叫做网络查找（Network Lookups）。这个功能确保我们能够即时响应新的威胁，即我们能够及时查询FS的实时保护网络中关于该执行的文件的定义，即查看该文件是否是好的，坏的或者是未知的文件。 如果这个文件时已知的恶意文件，那么他会被自动阻止。如果这个文件是已知的干净文件，那么他会被允许执行，如果该文件是未知的，那么我们的系统会立即开始去收集更多的信息。此外，DG的行为分析技术在网络查找功能（Network Lookups）的帮助下在面对复杂样本时更加主动准确。不在我们巨大的白名单里面的未知程序显得异常的可疑。白名单技术的使用增强了我们定义恶意样本的能力。 FS的实时保护网络数据中心分布全球并且每一个数据中心已经集群化。这些服务是如此的强大以至于在实时保护网络中查询相关信息只需花费几分之一秒。没有其他安全厂商拥有这样的全球部署的云端保护技术。 这些文件的信誉是基于详细的分析，静态分析以及使用这些程序的人数。如果该数据重度怀疑，那么那文件将会自动标记以供自动分析。如果不能被自动化明确的分类的情况下，那么该文件将排队被F-Secure Security Labs手动分析。 当安全实验室确认了一种新的威胁，那么该分析将只花费60秒就实时传递到了实时保护网络的服务器上。使用DG2.0Network Lookups的我们的顾客已经可以对付该种威胁，哪怕我们的分析师仍然在研究该样本然后添加到我们的病毒库中。 利用云的技术来确定程序的声誉使得FS能够在几秒内响应新威胁。 DG2.0已经在几个FS的工作站产品开始投入使用，并且最终为成为我们所有的windows工作站产品的一部分。 这个技术有一个缺点，它需要在线。当你离线使用你的电脑的时候，FS的产品将跟以前一样，采用静态扫描引擎和没有Network Lookups的DG监控文件。由于大部分的威胁的目标都是在线的电脑（通过邮件或者网络），DG2.0和它的Network Lookups总在最需要的时候与你同在。 4.3 它是如何工作的？ FS反病毒产品监控所有的应用程序启动，不管这个程序是如何启动的，是否由个人或者一个恶意攻击启动。 1.应用文件将被传统的特征码引擎进行扫描已检测是否包含一个已知的威胁，如果该文件被检测出包含已知的恶意软件，那么该文件将被阻止。 2.如果该文件扫描后没有警报，那么DG2.0将提取该文件的特征并且运作Network Lookups链接到FS的实时保护网络数据库。去确认下该文件是否被 F-Secure Security Labs鉴定过。根据获取的信息，将自动采取行动。 3.如果该文件无法在实时保护网络中查询到，那么DG将启动Gemini 和 Pegasus两个引擎进行检查。这个文件将在沙盘运行。根据请行为来决定其是否该被允许运行。结合Network Lookups，DG将更好的了解该文件不是一个干净的文件。未知的文件因而可以推断其可疑。DG2.0在根据其行为分析的基础上也更有把握来确定其性质。 与实时保护网络联系在一起的DG2.0通过数据的传送加"入了云"。通过这一信息的收集的累积效应可以更好的确定我吗用户面对的威胁和更舒适的用户体验。 4.4 好处 1.干扰更低。 没有Network Lookups，DG在面对黄色评分的程序时必须与用户互动/交互。毕竟只有数目有限的绿色评分应用，并且对于红色评分的应用必须要做到保守以避免"误报"。在Network Lookups的联动下，大量的黄色评分的程序也会被确认为安全的程序。这样做（引入了Network Lookups）的结果 可以给用户更少的提示。并且被Network Lookups确定是安全的应用也可以避免多余的行为分析。 2.分析更有效。FS的实时保护网络的最终目的是尽可能的确定更多一直的安全程序。从行为分析的对象中排除安全的程序意味着未知的程序其危险性越高。这样做的结果是黄色和红色的分数阙值可以被调整，更多恶意的程序将被DG2.0自动处理同时不牺牲误报。 3.响应时间更快。DG2.O的Network Lookups将给F-Secure Security Labs提供非常可贵的信息。当我们的自动分析提交的威胁样本时，实验室会知道当下面对这一威胁的顾客有多少。这些顾客的数目越大，分析越关键。关键客户的案例总是第一时间出现。现在我们有实时保护网络给我们提供信息。我们的顾客可以在本地不用动手但更积极地帮助我们。
| 
发表于 2013-6-27 20:51:31
楼主
发表于 2013-6-27 21:18:14
