问问杀软实时监控实现形式的 区别

liningaigo

好像杀软实时监控有两种，一种是 系统所有的活动转挂在杀软进程上，结果就是杀软那个进程资源占用很高；

另一种是 以DLL的形式，插入到 每个进程。

是不是这么一回事？那这两者呈现的实时监控有什么优缺点？

B2SPIRIT

杀毒软件的实时监控是，驱动监控文件操作，如果文件进行复制，移动，打开，等操作时，驱动就会调引擎，引擎再调特征库去进行特征查杀

主动防御是，主防驱动，应该是在内核层的，监控文件行为，然后会调广谱库（也就是行为链库）去判断行为类型，以及是否有害，如果有害就报警并且拦截该行为

liningaigo

B2SPIRIT 发表于 2013-10-18 20:16
杀毒软件的实时监控是，驱动监控文件操作，如果文件进行复制，移动，打开，等操作时，驱动就会调引擎，引擎 ...

先从监控来看，瑞星2004-2005是用的DLL注入写的，也就是很多病毒用的方式，所以占内存非常大，监控很差劲。DLL注入监控最大的弱点就是对网页病毒监控困难，这也是瑞星最大的弱点。2006用了好像用了挂钩子技术，有很大进步。

我翻到的一篇老掉牙的文章。以上这段，让我有点小想法。

liningaigo

B2SPIRIT 发表于 2013-10-18 20:16
杀毒软件的实时监控是，驱动监控文件操作，如果文件进行复制，移动，打开，等操作时，驱动就会调引擎，引擎 ...

就是说可能与什么DLL、SYS什么的有关吧。我有空在网上查查。谢谢您解答。