【新引擎活动】沉睡的雄狮，能否在危机四伏的环境中觉醒？瑞星V16Plus评测[附-Word版]

驭龙

前言：

大家好，我是你们熟悉的驭龙，本帖虽然是活动帖，但绝对是值得一阅的精彩篇章，本帖依然秉承我一贯的风格，以及实事求是的测评，我不为任何人和组织做事，只为自己心中的愉悦，如果在本帖中出现任何错误和偏差，还请各位技术大牛勿见笑，我非专业人士，错误在所难免，还望各位安全技术的专业人士和非专业人士不要见笑，如有错误请大家多多包涵、多多谅解。

为方便各位饭友的阅读，我简单的做了一份Word版文档，但是Word不支持动态图，Word中的图片不完整，我也就没有细化和整理，大家将就一下吧，建议还是在网页上阅读为佳！

瑞星V16Plus评测-驭龙-Word版下载：
链接: http://pan.baidu.com/s/1Fy3zR
密码: yixe

第一章-评测启航：

第一节-全文预览：

①楼：评测起航
本楼为本次评测的整体简介，包括核心内容的介绍，以及后续内容添加的记录与提醒，方便各位饭友的阅读欣赏。

②楼：建议反馈
为了方便确定误报文件的上传时间，每一次的误报反馈都会以新回复方式，以便官方确定误报和反馈时间。同时也是建议反馈的楼层，将更新我个人对瑞星的建议和看法，仅仅是个人想法。

③楼：双向扫测
本楼为新引擎扫描测试，不仅仅有瑞星V16Plus版与瑞星2011版的扫描测试对比，更有与国际顶级反病毒引擎的测试，全方位观察瑞星V16Plus的进步（不定期测试），漏报的测试样本会按照要求发到样本区，链接将更新在每次测试的下方。

④楼：挖掘BUG
测试过程中的任何BUG，全部按更新时间标记，并更新在本楼层，将详细描述BUG发生和系统环境。

⑤楼：瑞星虚拟
本楼在虚拟机环境中测试瑞星V16Plus版的动态防御体系（不定期测试），以及瑞星的虚拟化引擎，是否能够保护操作系统免受漏报威胁的破坏。

⑥楼：探秘V16Plus
本楼对瑞星V16Plus版的立体式评测，为实机评测，避免虚拟机的虚拟环境导致测评失真。

⑦楼：引擎与设置
本楼主打的是对瑞星V16Plus版新引擎的探秘和简单解读，以及对瑞星V16Plus版的设置优化和设置建议。

⑧楼：评测分析＋全文总结
本篇章的最后一楼，对本次评测的分析和不足之处的检讨，同时对全文评测的总结报告，以及最后对瑞星的祝福。

第二节-评测简要：

本片文章采用实机和虚拟机共同混合评测，以便达到最佳的效果，虚拟机负责威胁测试和误报检测，实机负责深度解读瑞星V16Plus版，以及设置优化和寻找BUG等多方面评测。

虚拟机环境：赛扬G540 CPU的单核处理器，海力士DDR3 1600内存 1G分配内存。


实机环境：赛扬D341 CPU 单核处理器，512M＋512M的双通道内存，80G希捷硬盘7200转，纯正宗的老爷机。


操作系统均为Windows 7 SP1 中文旗舰版，无补丁，专为评测打造的系统环境。

由于本次活动周期较长，加之我向来身体不好，需要多休息，因此本片文章将慢慢更新，我尽量争取每日更新，如果某一天没有更新，还请各位多多包涵。

关于测试样本，部分为公测的刚发布最新威胁样本，以及我自己收集的样本，以查杀的样本将不上报，仅将漏报样本上传到卡饭样本区。

第三节-全文目录：

第一章-评测起航：
本楼为本次评测的整体简介，包括核心内容的介绍，以及后续内容添加的记录与提醒，方便各位饭友的阅读欣赏。
第一节-全文预览：
第二节-评测简要：
第三节-全文目录：
第四节-免责声明：
附：全文更新记录：

②楼：建议反馈
为了方便确定误报文件的上传时间，每一次的误报反馈都会以新回复方式，以便官方确定误报和反馈时间。同时也是建议反馈的楼层，将更新我个人对瑞星的建议和看法，仅仅是个人想法。
第一节-用户体验：
第二节-核心突破：
第三节-综合建议：
第三章-误报反馈：
第四章-漏报反馈：

③楼：双向扫测
本楼为新引擎扫描测试，不仅仅有瑞星V16Plus版与瑞星2011版的扫描测试对比，更有与国际顶级反病毒引擎的测试，全方位观察瑞星V16Plus的进步（不定期测试）。
第一节-测试前言：
第二节-11月11日测试：
第三节-11月11日-2测试：
第四节-11月15日测试：
第五节-11月25日测试：
第六节-双向扫测总结：

④楼：挖掘BUG
测试过程中的任何BUG，全部按更新时间标记，并更新在本楼层，将详细描述BUG发生和系统环境。
第一节-云连接问题：
第二节-重磅BUG之云引擎：
第三节-重磅BUG之云引擎2：
第四节-饭友反馈：
第五节-重磅BUG之云监控：
第六节-重磅BUG之监控漏报：
第七节-重磅BUG之监控漏报2：
第八节-BUG之监控怪事：
第九节-BUG之监控怪事2：
第十节-重磅BUG之致命蠕虫：
第十一节-网购保护漏提示：
第十二节-致命SSDT：

⑤楼：瑞星虚拟
本楼在虚拟机环境中测试瑞星V16Plus版的动态防御体系（不定期测试），以及瑞星的虚拟化引擎，是否能够保护操作系统免受漏报威胁的破坏。
第一节-测试简要：
第二节-双击第一波：
第三节-双击第二波：
第四节-双击第三波：
第五节-瑞星虚拟总结：

⑥楼：探秘V16Plus
本楼对瑞星V16Plus版的立体式评测，为实机评测，避免虚拟机的虚拟环境导致测评失真。
第一节-瑞星监控：
第二节-瑞星监控2：
第三节-瑞星监控3：
第四节-自我保护：
第五节-自我保护2：
第六节-内存占用：
第七节-内存占用2：
第八节-安全模式：
第九节-完美兼容8.1：
第十节-监控等级：
第十一节-探秘总结：

⑦楼：引擎与设置
本楼主打的是对瑞星V16Plus版新引擎的探秘和简单解读，以及对瑞星V16Plus版的设置优化和设置建议。
第一节-获得新引擎：
第二节-设置推荐：
第三节-窥探引擎：
第四节-大测新引擎：
第五节-大测新引擎2：
第六节-大测新引擎3：
第七节-小探新引擎：
第八节-引擎总结：

⑧楼：评测分析＋全文总结
本篇章的最后一楼，对本次评测的分析和不足之处的检讨，同时对全文评测的总结报告，以及最后对瑞星的祝福。
第一节-评测分析：
第二节-全文总结：
第三节-鸣谢：

第四节-免责声明：

再允许我啰嗦一下，本次的全文评测仅供参考，一次的简单测试不能证明一切，大家要理性对待本次的评测，千万不要迷恋本次非专业的评测，如有错误请多多包涵，评测仅供参考。

注：本帖仅代表我个人看法，与卡饭和特殊组无关，如有转载，请注明卡饭会员驭龙原创内容！

附：全文更新记录：

温馨提示：如果想看最新更新内容，建议使用浏览器的搜索功能，搜索最新更新的标签如按F3键在搜索框输入 小探新引擎

为了让大家更好的了解本文的更新状态，本帖的更新记录全部在此显示：

2013年11月29日 15:00 更新-全文大修

2013年11月28日 16:40 更新-全文总结

2013年11月27日 20:30 更新-评测分析

2013年11月27日 15:00 更新-建议反馈

2013年11月26日 20:00 更新-探秘总结

2013年11月26日 19:10 更新-监控等级

2013年11月26日 12:10 更新-引擎总结

2013年11月25日 20:20 更新-完美兼容8.1

2013年11月25日 19:40 更新-瑞星虚拟总结

2013年11月25日 19:30 更新-双击第三波

2013年11月25日 18:10 更新-双向扫测总结

2013年11月25日 15:00 更新-11月25日测试

2013年11月24日 20:50 更新-双击第二波

2013年11月23日 20:40 更新-双击第一波

2013年11月21日 20:50 更新-致命SSDT

2013年11月20日 20:20 更新-网购保护漏提示

2013年11月18日 19:30 更新-重磅BUG之致命蠕虫

2013年11月17日 10:20 更新-小探新引擎

2013年11月16日 09:20 更新-重磅BUG之监控漏报2

2013年11月15日 19:10 更新-BUG之监控怪事2

2013年11月15日 14:20 更新-11月15日测试

2013年11月15日 09:00 更新-BUG之监控怪事

2013年11月14日 19:40 更新-重磅BUG之监控漏报

2013年11月14日 14:40 更新-重磅BUG之云监控

2013年11月13日 18:30 更新-饭友反馈

2013年11月13日 16:30 更新-重磅BUG之云引擎2

2013年11月13日 10:00 更新-重磅BUG之云引擎

2013年11月12日 14:30 更新-安全模式

2013年11月12日 13:00 更新-设置推荐

2013年11月12日 11:10 更新-大测新引擎3

2013年11月12日 09:30 更新-大测新引擎2

2013年11月11日 19:30 更新-11月11日-2测试

2013年11月11日 16:00 更新-大测新引擎

2013年11月11日 13:40 更新-11月11日测试

2013年11月11日 11:30 更新-窥探引擎

2013年11月11日 09:50 更新-扫描前言

2013年11月10日 20:00 更新-内存占用2

2013年11月10日 17:40 更新-内存占用

2013年11月10日 16:20 更新-获得新引擎

2013年11月10日 14:50 更新-自我保护2

2013年11月10日 12:40 更新-云连接问题

2013年11月10日 09:30 更新-自我保护

2013年11月9日 20:20 更新-瑞星监控3

2013年11月9日 17:00 更新-瑞星监控2

2013年11月9日 15:30 更新-瑞星监控

瑞星工程师

决策引擎需要和云端联动，所以需要联网才能用。另，目前引擎在进行一些调整，查杀率可能会有一些浮动。

驭龙

声明：之前的查杀测试样本源，瑞星参与了样本源交互，这是我个人的疏忽，请见谅，由于瑞星可以第一时间内获得样本源的样本，成绩好好的，不足为奇，近期扫描测试取消，我重新寻找样本源。

驭龙

感谢各位饭友的长期支持，驭龙真心的表示感谢，本测评全文更新完成，感谢各位兄弟姐妹们的支持！

驭龙

第二章-建议反馈：

第一节-用户体验：

瑞星的用户体验实在是不咋的，这是我比较不满意的地方，无论是用户操作界面还是软件操作或者行为上，瑞星还是需要巨大的努力。

①：瑞星软件部署客户端，就是我比较讨厌的东西，相信不只是我，很多人都会有同感，希望可以将其合并在软件架构中，通过共享动态链接库方式实现瑞星软件部署的效果，避免让用户反感的东西，一直存在，现在的用户不在乎占用硬盘的容量，你们完全没必要为了压缩硬盘占用资源而保留瑞星软件部署。

②：系统托盘的Logo已经是七八年前的东西了，记得我2006年第一次安装瑞星的时候，瑞星就是这个Logo了，那个版本还是2005年完成的，到现在还是绿色的保护伞，真的毫无变化，真心希望改一改吧，其他家已经换好几次系统托盘的Logo了。

③：软件升级的主界面和更新界面，也是跟托盘Logo一样，这些年始终没有变过，难道写一个华丽的升级界面就这样难吗？其他家已经越来越漂亮了，而你们的界面还是好几年前的，这真的是影响体验，尤其是在Windows 8.1系统上，软件升级界面真的与系统格格不入，不是一个时代的东西。

④：听说界面很快就会修改了，但我还是唠叨一下，界面不能随大流，更不能太过于相似其他安全软件，一定要有自己的风格，引领一个潮流，而不是跟随一个潮流，另外今后的Windows系统可能会继续Modern风格，希望瑞星的新界面，能够有一些Modern元素，同时也要保留对Windows 7风格的支持，毕竟Windows 7现在还是主流操作系统。

⑤：你们的推广方式真的很不好玩，尤其是自动弹框，让用户确定安装各自产品，实在是影响用户的体验，让用户很反感，希望在这方面注意一下，我的系统都不知道是什么时候被瑞星修改了IE浏览器的首页，这个太不爽了。

⑥：产品有一点乱，何必开发独立的防火墙？以及独立的杀毒软件？直接一个全功能安全软件就够了，一站式体验才是最好的体验，应该重启全功能安全软件计划，即使是人员不够，可以先放弃独立版本，主攻全功能安全软件，一站式体验才是用户想要的，只有一部分用户喜欢搭配防火墙和杀毒软件，但我个人觉得大多数用户还是喜欢安装一个安全产品就解决安全问题的。

第二节-核心突破：

只有真正拥有好的核心技术，才能在安全软件市场上，站稳脚跟，因此瑞星的核心技术必须有所突破才行。

①：驱动技术的发展方向应该靠拢File System Filter技术，应该彻底放弃SSDT这种Hook技术，在之前的BUG中，就是因为SSDT的原因，导致的某些在Windows 8.1系统上的问题，应当放弃Hook，转而完全使用FS Filter技术，这才能构建出坚固的防御能力。

②：瑞星的软件结构好像跟七八年前没有啥太大的变化，希望能够改进一下架构性能，尽管在这些年里，瑞星还是有很多变化，如第一次的全功能版本，那时候真的是软件架构变化最大的时刻，希望那一天的变化再一次来临。

③：很多人建议云主防，我真的不这样认为，决策引擎已经基于云，需要联网发挥效果，如果把主动防御再做成云联动，那瑞星在断网环境中将彻底完蛋，我希望主防拥有本地的多步行为分析加上单步云信誉拦截，这样的主防在断网环境将拥有一定的防御能力，联网以后效果会更好，比单独的云主防或者本地主防效果会更好。

④：希望瑞星不要浪费强大的虚拟化引擎技术，依托虚拟化引擎研发动态启发式分析，诱捕未知威胁的行为，接着是隐藏恶意行为的威胁，这种功能可以慢步本地防御的薄弱环节，在其他安全软件中MSE的动态启发做的就还可以，也是虚拟化加上启发式，对付一些恶意行为的未入库威胁，效果不错，瑞星有好的虚拟化引擎，为何不好好利用，以此研发动态启发式分析引擎？

⑤：瑞星现在是最注重自主研发反病毒引擎的厂商，引擎效果也不错，但是，也不能仅仅发展引擎，其他的软件结构和功能还是要有突破，引擎没必要区分多少种，只需要强悍就可以，分类太多，只能增加特征库定义添加的麻烦，有一点浪费时间，应该把时间放在修复和保护系统的功能上，例如锁屏和勒索，这些威胁的防御，效果一般，需要增强这方面的功能。

⑥：说到引擎，瑞星确实是让人敬佩，自主研发的引擎还是十分优秀的，尤其是25版全新基础引擎，让我看到了希望，只是性能还是有一点差，断网查杀的时候，扫描速度不快，同时也让实时监控卡系统的原因之一，因此希望优化一下引擎的性能，要不然无法开启实时监控的高级等级，因为那样太卡了。

⑦：瑞星的架构该瘦身了，好多文件是过去功能的动态链接库和应用程序，某些功能现在好像已经不需要了，所以应该去除这些不是很有用的功能模块，这些非安全功能的模块，真的没有太大的安全意义，只能让软件更臃肿，影响系统性能。

第三节-综合建议：

浅析的发展思路，才是企业制胜的法宝，同时宣传手段也是十分重要的推广方式，特色功能也必然吸引更多的用户。

①：现在的决策引擎处于起步的学习阶段，误报控制的非常不错，这就是云端的效果，可问题在于没有达到令人惊艳的效果，联网查杀大多数是generic云引擎报的，这让用户感受不到决策引擎的强大，是否可以调整一下优先级顺序，主打RDM么？毕竟generic报法的威胁是已经入库的威胁，已确定是威胁，为何不让RDM优先于generic呢？这样也不会有太大的问题，毕竟generic已经入库，让RDM优先显示也不会影响误报。

②：瑞星的欢迎屏幕显示Logo，实在是跟Windows 8.1的登录画面，实在是格格不入，虽然可以关闭，但依然不是很好，为何不在Windows 8.X系统中，直接禁用这个功能？

③：现在的大多数安全软件新版本都拥有Modern的消息通知，瑞星在发现威胁的时候，是否可以改用Modern通知方式？这很可能会是未来的主流风格，瑞星也不能太落后。

④：瑞星宣传还是有一点欠缺，依托他人的宣传模式是不会成功的了，必须以自己的核心发展目标作为宣传重点，不要像现在这样宣传别人有多少功能，你就有多少功能，而应该宣传自己的特色，而非跟随他人的步伐，是时候坚定不移的走出自己的风格和特色。

⑤：现在的用户喜欢的是安静智能化产品，千万不要在增加主动防御的同时，影响到智能化，要不然将会得不偿失，主防是加强了，可用户更少了，那还不如放弃单步HIPS，做主动防御最好不要影响到用户的体验，若天天询问用户如何操作，那即使是高级用户也无法忍受，千万不要手动化的HIPS呀。

⑥：未知文件隔离，这种功能还是必要的，尽管瑞星认为沙盘有局限性，不如虚拟化引擎，但是，对于云端未知的文件，采用未知文件隔离环境运行，还是防范未知威胁的一种手段，在动态启发完成开发或者不想开发动态启发的情况下，使用隔离未知文件的方式，还是不错的选择。

⑦：瑞星现在的主力是企业版产品，个人版产品并非主力，那为何不效仿国外的安全厂商，将最新技术先应用到个人版，技术成熟以后升级到企业版，这样不仅可以让企业用户拥有最稳定的技术，同时个人用户更可以抢先体验最新技术，说不定会吸引更多用户重返瑞星用户的行列，这也是国际公司常用的方式，希望瑞星也能够如此，一举两得之事，何乐而不为？

⑧：瑞星千万不要受到其他公司的产品影响，一定要确定未来的核心发展路线，进而一步步完成自己的产品研发计划，只有打造成属于自己的特色产品，才能赢得在未来发展的希望，重新创造新的辉煌。

第三章-误报反馈：

误报-360系统急救箱组件中的相关文件。
急救箱下载地址和版本
http://down.360safe.com/360compkill5.1.0.1079-1118.zip
文件附件
反馈时间2013年11月23日 19:53
误报截图

第四章-漏报反馈：

瑞星新引擎活动-驭龙，反馈特殊蠕虫样本-2013.11.18，样本数：8
http://bbs.kafan.cn/thread-1654795-1-1.html

瑞星新引擎活动-驭龙，反馈漏报样本-2013.11.16，样本数：25
http://bbs.kafan.cn/thread-1653765-1-1.html

瑞星新引擎活动-驭龙，反馈漏报样本-2013.11.15，样本数：11
http://bbs.kafan.cn/thread-1653306-1-1.html

瑞星新引擎活动-驭龙，反馈漏报样本-2013.11.11-2，样本数：3
http://bbs.kafan.cn/thread-1651454-1-1.html

瑞星新引擎活动-驭龙，反馈漏报样本-2013.11.11，样本数：6
http://bbs.kafan.cn/thread-1651384-1-1.html

驭龙

第五章-双向扫测：

第一节-测试前言：

本次扫描测试申明：
①：一个杀软的好坏不是只看扫描的，还包括误报（误报的频繁程度和危害程度），监控，资源占用，主动防御，上报反应速度，兼容性，可操控性，对感染性病毒的解毒能力，对嵌入其他进程的病毒不通过辅助工具删除能力等方面，请大家权衡好！
②：请从长期角度看待这个动态测试的测试结果。
③：本次测试仅供参考，不针对任何安全产品，对比结果仅供衡量安软的可用性，而不是查杀成绩。
④：本测试的样本源自网络，不排除含有干净文件或者化石样本，测试仅供参考而已，请慎重相信本测试。
⑤：任何组织和个人不得引用本测试的结果在卡饭论坛以外的任何网站，如因此引起的任何纠纷与本人无关。
⑥：本测试仅代表我个人行为，与卡饭和任何组织或个人无关，请不要恶意炒作测试成绩，如因此引发的法律纠纷与我和卡饭无关。

本次测试使用的对比软件分别是瑞星杀毒软件V16Plus和瑞星全功能安全软件2011以及Avira 2014 Free版，特邀嘉宾Microsoft AntiMalware测试（目前版本官方尚未公布）版（不定期测试，因其引擎优秀），本次测试将分多日完成，争取每日测试一次，或者隔日测试一次。

扫描前，所有安全软件全部更新特征库，并且在联网期间进行扫描测试，如有修复的样本将手动删除，如有错误请多多见谅。

虚拟机配置如下图，操作系统为Windows 7 32位 SP1 旗舰版。


瑞星杀毒软件V16Plus设置状态，关闭变频扫描和仅扫描类型威胁，基因和RDM全开。


小红伞（Avira）2014 免费版设置状态，高启发状态。


瑞星全功能安全软件2011 设置状态，基本为默认状态。




Microsoft AntiMalware最新测试版尚未发布，近期测试先退赛。

第二节-11月11日测试：

安软名称：	样本数：	剩余数：	成绩：
瑞星V16Plus	2013.11.11-500个	6个	494/500=98.80
Avira 2014 Free	2013.11.11-500个	14个	486/500=97.20
瑞星全功能2011	2013.11.11-500个	271个	229/500=45.80
微软反病毒	未测试等待版本

瑞星V16Plus查杀＋剩余样本截图。


Avira 2014 Free查杀＋剩余样本截图。


瑞星全功能2011查杀＋剩余样本截图。


不会吧，瑞星V16Plus真的这么猛？还是什么情况？是不是我的样本有问题？可瑞星全功能2011的结果？等待下次测试吧，这次可能是样本不给力。

第三节-11月11日-2测试：

安软名称：	样本数：	剩余数：	成绩：
瑞星V16Plus	2013.11.11-2：500个	3个	497/500=99.40
Avira 2014 Free	2013.11.11-2：500个	34个	466/500=93.20
瑞星全功能2011	2013.11.11-2：500个	179个	321/500=64.20
微软反病毒	未测试等待版本

瑞星V16Plus查杀＋剩余样本截图。


Avira 2014 Free查杀＋剩余样本截图。


瑞星全功能2011查杀＋剩余样本截图。


不会吧，瑞星V16Plus还真的这么猛？等待下次测试吧，这次可能又是样本不给力。

声明：之前的查杀测试样本源，瑞星参与了样本源交互，这是我个人的疏忽，请见谅，由于瑞星可以第一时间内获得样本源的样本，成绩好好的，不足为奇，近期扫描测试取消，我重新寻找样本源。

第四节-11月15日测试：

安软名称：	样本数：	剩余数：	成绩：
瑞星V16Plus	2013.11.15：12个	11	1/12=08.33
Avira 2014 Free	2013.11.15：12个	4个	8/12=66.66
瑞星全功能2011	2013.11.15：12个	11个	1/12=08.33
微软反病毒	未测试等待版本

瑞星V16Plus查杀＋剩余样本截图。


Avira 2014 Free查杀＋剩余样本截图。


瑞星全功能2011查杀＋剩余样本截图。


不会吧，瑞星V16Plus不给力，这样的成绩好意外啊。注：样本是我从所谓的威胁网站自己抓的，不确定真的都是威胁。

第五节-11月25日测试：

安软名称：	样本数：	剩余数：	成绩：
瑞星V16Plus	2013.11.25-926个	217个	709/926=76.56%
Avira 2014 Free	2013.11.25-926个	47个	879/926=94.92%
瑞星全功能2011	2013.11.25-926个	854个	72/926=07.77%
微软SCEP 4.4	2013.11.25-926个	288	624+14/926=68.89%

样本源自卡饭样本区，测试成绩仅供参考。

瑞星V16Plus查杀＋剩余样本截图。


Avira 2014 Free查杀＋剩余样本截图。


瑞星全功能2011查杀＋剩余样本截图。


微软System Center Endpoint Protection 4.4查杀＋剩余样本截图。


SCEP第一次扫描以后，第二次扫描又杀了十四个样本。

第六节-双向扫测总结：

通过简简单单的测试，我们可以发现，瑞星V16Plus的查杀效果，与瑞星全功能安全软件2011的相比有巨大的提升，这是有目共睹的，与瑞星是否有样本源毫无关系，瑞星的查杀能力，确实是非常不错，只是还有进步空间，毕竟断网的成绩，连微软安全软件都比不了，更不要说是其他的安全软件，期待着瑞星V17的再一次怒吼吧。

驭龙

第六章-挖掘BUG：

操作系统及补丁情况：Windows 7 SP1 32位系统和Windows 8.1 32位系统，补丁齐全
瑞星软件版本：24.00.11.xx版本
涉及的其它软件及版本：无其它相关软件
问题现象：如下所示
出现问题前的操作步骤：如下所述
问题能否复现：全部BUG都可必现

第一节-云连接问题：

主界面右下角的云安全中心连接显示有问题，具体步骤如下。

联网状态下打开瑞星主界面，显示已连接瑞星云安全中心。


断网以后，主界面依然显示已连接瑞星云安全中心，实际上已经断开连接。


关闭主界面以后，重新打开瑞星主界面，才显示未连接瑞星云安全中心。


重新连接网络，主界面仍然显示未连接瑞星云安全中心。


瑞星的云安全中心的连接状态反应太慢，在不重启主界面的情况下，需要断网或者联网几分钟以后，主界面才会更新连接状态的信息，希望改进此问题。

问题反馈时间为2013年11月10日 12:40

第二节-重磅BUG之云引擎：

在常规设置中关闭云查杀选项，仍然出现云查杀效果，且断网以后不存在。具体步骤如下。

常规设置里关闭云查杀，运行扫描五百个样本。


查杀出331个样本威胁，其中部分威胁是云引擎报法。


断网以后重新扫描这些样本，查杀为318个威胁，之前被云报的威胁已经不报了。


这五百个样本在联网开云查杀的情况下是全部报威胁的，关闭云查杀但是联网的话，仍然出现云查杀报的威胁，断网以后不在报。注意，这不是缓存问题，我昨天在实机测试和今天虚拟机测试，均是最先关闭云引擎查杀，之后断网查杀，最后才联网查杀，不存在云缓存问题。

问题反馈时间为2013年11月13日 10:00

第三节-重磅BUG之云引擎2：

上午的测试没有关闭云防御，这次补测一下，彻底关闭云，看看是否还出现云查杀。

在常规设置中关闭云的全部选项，仍然出现云引擎的报法威胁。

常规设置里关闭云，显示未连接到云安全中心，运行扫描五百个样本。


查杀出331个样本威胁，其中部分威胁是云引擎报法。


断网以后重新扫描这些样本，查杀为318个威胁，之前被云报的威胁已经不报了。


通过两次测试，问题依然存在，不管是关闭云查杀还是关闭云防御，可一旦联网的话，仍然出现云查杀报的威胁，断网以后不在报，这足以确定是瑞星本身的BUG。

问题反馈时间为2013年11月13日 16:30

第四节-饭友反馈：

饭友反馈问题是热心卡饭会员在本帖反馈的问题，本人仅仅是传达而已。感谢各位会员的热心反馈，谢谢！

①：会员hez2010
自我保护：（这个问题以前没有）现在可以直接用任务管理器（驭龙注系统为Windows 8.1 32位）以及其他各种软件结束瑞星进程，貌似自我保护对进程和服务这方面防御失效了。。。
文件监控：
步骤1、运行一个瑞星可以杀掉的病毒，提示“函数不正确”，瑞星提示发现病毒病清除成功，但是病毒没有被处理，瑞星隔离区里面也没有。
步骤2、第二次运行这个文件时瑞星不再提示，但是每次运行都提示函数不正确，直到你手动扫描才会处理这个病毒。。。或者你把这个病毒文件移动到另一个地方再次运行，现象同步骤1，然后步骤二仍然有效。。。

这是个有趣的BUG，文件监控的这个BUG自从V16发布以来就有，2012及以前版本都没有，而自我保护这个BUG是自从瑞星升级了新引擎以后出现的。你可以反馈一下.
反馈链接：http://bbs.kafan.cn/forum.php?mo ... &fromuid=335301

②：会员STCn1000
在BUG里面添加一条与坦克世界游戏冲突。会导致坦克世界游戏崩溃（win8.1 X64环境）
反馈链接：http://bbs.kafan.cn/forum.php?mo ... &fromuid=335301

③：会员STCn1000
V16+在我的8.1上有一定概率开机。。托盘显示正常。。但是调出主界面就告诉我所有防护都没打开。。然后只能在托盘右键来回开关防护才能正常。
反馈链接：http://bbs.kafan.cn/forum.php?mo ... &fromuid=335301

第五节-重磅BUG之云监控：

云监控发现的威胁，在启动智能监控的状态下无法运行样本，同时无威胁警报。

首先我们确认一下184个仅被云杀的样本，基础引擎和基因引擎都不报的样本。

关闭文件监控，扫描发现183个云查杀样本，一个没有杀，我们不清理样本。


开启文件监控，同时关闭智能监控，使用最大监控效果。


监控把能够扫描到的样本全部杀掉，只剩下一个不杀的样本。


我将不杀的样本删除，在从隔离区还原几十个样本，当然不添加白名单，仅仅是还原文件。


启动智能监控功能，双击还原的样本，瑞星没有提示威胁，也没有响应，仅仅是系统Windows 7 32位提示函数不正确，全部样本都是如此。


由此可见，运行的样本全部都提示函数不正确，瑞星无任何拦截提示，也没有删除样本，但是关闭文件监控，威胁样本可以正常运行，不是样本问题，是瑞星本身没有提示。

问题反馈时间为2013年11月14日 14:40

第六节-重磅BUG之监控漏报：

常规的蠕虫病毒，扫描被瑞星基础引擎杀掉，但是，病毒仍然可以正常运行系统加固提示威胁修改系统。

那一个可以被扫描的蠕虫病毒，扫描一下，断网情况下报了。


智能监控开启的状态下，双击这个被扫描的威胁，威胁正常运行，释放威胁衍生物。


衍生物添加启动项。


运行其他的不是蠕虫的病毒，瑞星正常拦截。


由此可见，在一些特殊的样本运行的时候，威胁样本可以正常运行，瑞星本身没有拦截。注：本问题是在测试其他问题的时候无意间发现的，明天详细测试

问题反馈时间为2013年11月14日 19:40

第七节-重磅BUG之监控漏报2：

联网和断网情况下，某些样本仍然可以正常运行，系统加固提示威胁修改系统。

联网状态下，关闭仅扫描流行病毒，双击样本测试，部分样本拦截，右键扫描时全部样本被云报，之后双击样本有漏报。


断网状态下，关闭仅扫描流行病毒，双击样本测试，部分样本拦截，右键扫描时全部样本被本地和云缓存的RDM报，之后双击样本有漏报（仍然是124(3)这个样本）。


由此可见，在一些特殊的样本运行的时候，威胁样本可以正常运行，瑞星本身没有拦截。

注：本问题仍在继续测试，下次更换最新样本测试。

问题反馈时间为2013年11月16日 09:20

第八节-BUG之监控怪事：

首先声明，智能监控就是阻止病毒运行的，本问题不影响安全性。

在开启智能监控的情况下，双击病毒样本，瑞星提示拦截，同时说清理威胁，但我运行的样本依然在桌面上，但是将样本名称修改，样本就会被瑞星删除，同样是资源管理器的触发，改名的时候，威胁被删除，运行却不删除，这有一点不正常，具体操作看图。


问题反馈时间为2013年11月15日 09:00

第九节-BUG之监控怪事2：

首先声明，智能监控就是阻止病毒运行的，本问题不影响安全性，仅仅是没有提示框而已。

在开启智能监控的情况下，双击病毒样本，瑞星提示拦截，单独运行一个样本，瑞星会有提示框，但是同时选择两个样本运行，就没有提示框，之后再双击一个样本也不会有提示框，但有时候会重新出现提示框，可运行多个样本就又不提示，具体操作看图。


注：由于附件大小限制，动态图的一些帧数被删除，所以动态图连贯性不是很好，但我绝没有做手脚。

问题反馈时间为2013年11月15日 19:10

第十节-重磅BUG之致命蠕虫：

联网和断网情况下，多种蠕虫样本仍然可以正常运行，且实时监控已经关闭仅扫描流行病毒，系统加固提示威胁修改系统。

首先从海量样本的隔离区随机恢复一些被本地引擎报的蠕虫病毒，联网以后确认样本被云报，双击测试样本，样本一各个成功运行，瑞星无一阻止，只有系统加固弹几个框而已，具体情况如图所示。


接下来不可思议的事情将要发生，这些样本是从隔离区恢复的，可现在断网以后，无论是改名还是扫描，本地引擎不报了，之前是报的，具体见图。


上图中，这些样本是不被杀的，可这些样本在之前的测试中是被本地引擎杀的，因此重新启动虚拟机系统（重启以后，系统已经报销，被蠕虫攻陷，手动修复），重新扫描样本，果然本地引擎重新报了。

断网扫描，只可惜报五个。


联网扫描，报七个样本。


断网再扫描，还是报五个。


在一些特殊的蠕虫样本运行的时候，威胁样本可以正常运行，瑞星本身没有拦截，看起来是引擎和实时监控的逻辑有问题，当然也不排除是虚拟机问题（还好是虚拟机，不然我的系统要重装了），但是，我已经多次发现瑞星的监控漏报蠕虫病毒，我想不是测试问题，希望官方可以多测试一下，样本我会发在反馈样本的楼层。

注：本问题将继续测试，下次继续更换最新样本测试。

问题反馈时间为2013年11月18日 19:30

第十一节-网购保护漏提示：

访问大多数购物网站时，瑞星会有网购保护的提示，但是访问一号店和京东商城时没有提示，可能是漏掉保护地址。

通过瑞星导航测试。浏览器是Windows 7 默认的IE 8。

访问天猫，有网购保护提示。


访问淘宝首页，有网购保护提示。


访问淘宝皇冠店，无网购保护提示，可域名却是淘宝的，瑞星竟无提示。


从瑞星导航访问京东商城，无网购保护提示。


地址栏直接输入京东商城域名，仍然无网购保护提示。


访问一号店，无网购保护提示。


由此可见，网购保护的提示在访问一些著名网购网站时，没有提示，不知是漏报提示，还是网购保护不保护这些网站？

问题反馈时间为2013年11月20日 20:20

第十二节-致命SSDT：

今天开始在Windows 8.1专业版 32位系统下测试瑞星V16Plus，首先发现的是致命问题，以及自我保护消失的原因之一，那就是ShadowSSDT钩子和SSDT钩子失效

在Windows 8.1的系统中，瑞星V16 Plus的自我保护消失，没有自我保护效果。


ShadowSSDT和SSDT钩子无效化，且不是PC Hunter和虚拟机的关系，因为PC Hunter的ShadowSSDT钩子可以被检测，因此不是无法检测到SSDT钩子。


我曾经在Windows 7的实机中测试，在安全模式中，瑞星没有挂钩SSDT，也没有自我保护，猜测瑞星是使用SSDT作为自我保护身段，将钩子驱动禁用以后，重新启动至正常模式，瑞星仍然没有自我保护，强烈建议修改自我保护机制。

问题反馈时间为2013年11月21日 20:50

驭龙

第七章-瑞星虚拟：

第一节-测试简要：

本楼在虚拟机环境中测试瑞星V16Plus版的动态防御体系（不定期测试），以及瑞星的虚拟化引擎，是否能够保护操作系统免受漏报威胁的破坏。

注意：本测试是在完全断网的情况下测试，要不然无法测试木马防御和内核加固。本测试仅供参考。

测试的系统是Windows 8.1 32位专业版，瑞星的保护监控设置如下：

第二节-双击第一波：

五十个断网不杀的样本，逐一双击运行样本。


双击完成以后，除了内核加固的部分提示以外，没有木马防御或者动态启发什么的提示。

通过PC Hunter查看系统，启动项一大串


病毒和调用的系统进程一大堆，系统任务管理器无法启动，系统报销了。


内核加固的日志报告。

第三节-双击第二波：

系统改用Windows 7 32位旗舰版，设置与之前相同。

随机选择五十个断网不杀的样本，逐一双击运行样本。


双击过程中只有内核加固的提示，没有木马防御提示。


双击完成以后，除了内核加固的部分提示以外，木马防御或者动态启发什么的提示依然不见踪影。


系统一大堆进程被病毒注入。


启动项又是一大串。


系统重新启动以后，内核加固报个不停。

内核加固的日子报告。

第四节-双击第三波：

之前的双击是断网测试，今天选取62个联网不杀的样本，进行联网双击测试，看看木马防御是否有效。


衍生物被实时监控解决。


运行的样本触发监控发现其他样本。



双击结束，仍然没有木马防御的出现，木马防御哪里去了，我这可是Windows 7 32位系统，又不是新系统，为啥没有呢？


系统一大堆病毒进程。


一大串启动项。


内核加固日志报告。

第五节-瑞星虚拟总结：

传说中的木马防御哪里去了？动态防御呢？难道是测试方法错误？还是样本类型不对？

为什么我双击一两百个样本，没有见到一个动态防御或者木马防御报的威胁？看来瑞星的主防确实是还要提升一下。

我真的怀疑木马防御是摆设，我两天双击一两百个样本，没有一个触发木马防御，或者是启发什么的，瑞星的虚拟化技术只是扫描提速么？没有诱捕么？

可官方的介绍：

木马防御：基于瑞星虚拟化引擎和“智能云安全”，在操作系统内核运用瑞星动态行为分析技术，实时拦截特种未知木马、后门、病毒等恶意程序。

小道消息，瑞星会在不久的将来开测主防版本，一起期待那一刻的辉煌双击秒杀的到来吧。

驭龙

第八章-探秘V16Plus：

第一节-瑞星监控：

瑞星V16Plus版的监控，是大家非常关心和感兴趣的地方，我就先来说说瑞星的监控方式。

首先说的是瑞星有什么驱动：
瑞星有HyperVM驱动，也就是虚拟化驱动hvm.sys
瑞星的核心驱动，监控核心驱动sysmon.sys
protreg.sys驱动与RSD软件部署有关
辅助核心监控驱动的rsndisp.sys驱动
以及我不知道是干什么的驱动rsutils.sys


通过PC-Hunter工具，看一下瑞星驱动在某些位置。

系统回调有sysmon.sys和rsndisp.sys、protreg.sys驱动。


过滤驱动中的tdx过滤驱动有sysmon.sys。


SSDT Hook钩子技术？


ShadowSSDT Hook 钩子技术？大家先不要急着下结论，看后面的内容。


看到SSDT Hook技术，大家一定会觉得瑞星的监控很土，居然是这种老掉牙的技术吗？大家不要着急，实际上瑞星的SSDT Hook技术只不过是辅助监控的技术，真正执行文件监控的是File System Filter Driver，也就是FS Filter 技术，中文名可以称为文件系统筛选驱动技术。

PC-Hunter查看过滤器为sysmon.sys驱动。


通过系统自带的系统信息检测，sysmon.sys驱动的类型，的的确确是File System Driver，而且启动级别是引导，很高的启动顺序哟。


由此可见，瑞星的监控系统，使用了两种监控方式，正好弥补了监控的不足之处，这只能说瑞星的监控技术并不落后，这已经很让人欣慰了。

第二节-瑞星监控2：

说到监控，那就不能不说说瑞星的独特之处，这就是有时候一个威胁有时报有时不报的原因，实际上还是都会报的，只是机制策略不一样。

瑞星依托sysmon.sys和其他四个驱动，建立起来的监控系统，是受控于filemon.dll和smarttrt.dll两个动态链接库。


其中filemon.dll为主控文件，主管文件监控的策略。


而smarttrt.dll则通过内部函数，调整监控的处理方式，也就是智能监控的核心。


如果大家觉得瑞星的监控不灵敏，请不要抱怨瑞星，先将设置中监控的智能监控关闭，再试一试，如果还觉得不灵敏，那时候再去找官方也不迟。

瑞星的监控是智能化的机制，如果关闭智能监控，虽然灵敏度会大大提升，但对系统性能还是稍微有一点点影响，正常情况下，开启智能监控还是不错的选择，系统性能会比关闭智能监控时好不少。

第三节-瑞星监控3：

很多人认为瑞星V16Plus版的监控不灵敏，有时候报样本，有时候不报，实际上这与瑞星的本质监控没关系，而是因为监控机制的智能化监控，导致在某些没有危险的情况下，优化监控，实际上并不会给安全带来隐患，尽管如此，我们还是应该来测试一下，实际情况是否是如此。

在关闭智能监控的情况下，访问一个存在威胁样本的文件夹，实时监控报毒。


启动智能监控的情况下，再一次访问威胁样本所在文件夹，实时监控没有响应。


运行扫描，确认一下，是否是云连接问题，样本被报，不是云问题。


关闭智能监控，再一次访问威胁样本所在的文件夹，这次实时监控立刻报威胁样本。


我其实不建议各位关闭智能监控，这样对系统性能，可能稍微有一点点影响，甚至是卡系统，所以不建议关闭智能监控，实际上智能监控不会对安全有影响，大家完全不必担心这种问题，因此我建议，如果对安全要求高的用户，还是关闭智能监控吧，如果对安全要求不是太高，默认即可，无需关闭智能监控，这样系统更流畅。

第四节-自我保护：

我在Windows 7 SP1 32位系统上测试一下，瑞星V16 Plus版的产品自我保护，当然是简单的测试，不是代码级别的攻击，那种东西，我这种菜鸟是不可能会的，只是使用任务管理器和进程浏览器以及PC Hunter测试一下。

首先任务管理器结束监控核心进程，瑞星提示可疑行为结束进程。


任务管理器结束瑞星软件部署核心进程，瑞星提示可疑行为结束进程。


再试一下结束用户系统托盘进程，瑞星自我保护，依然提示。


使用进程浏览器，来试一下结束瑞星的监控核心进程，瑞星提示可疑行为结束进程。


由于瑞星进程的保护强度差不多，就不使用进程浏览器逐一测试。

现在我们来通过程序删除一下，瑞星软件的文件，自我保护提示可疑行为删除。


通过记事本在瑞星软件的文件夹，创建一个文件，自我保护提示可疑行为创建。


通过记事本修改瑞星软件的配置文件，自我保护提示可疑行为写方式打开。


最后到PC Hunter出手了，结果不出所料，瑞星被结束，不过这没什么好奇怪的，PC Hunter几乎可以结束绝大部分的安全软件自我保护，这真的是不足为奇。

本测试不是为了证明瑞星的自我保护有多强大，而是测试在Windows 7系统下是否工作正常，因为瑞星V16Plus似乎在Windows 8.1系统上，自我保护缺失严重，所以本测试想确认一下瑞星V16Plus在Windows 7系统下，自我保护是否正常工作，目前情况看，瑞星V16Plus的自我保护在Windows 7系统上一切正常。

第五节-自我保护2：

我们接着来说瑞星的自我保护，实际上完全不用担心类似于PC Hunter这样拥有结束瑞星进程的威胁，大多数情况下，瑞星是不会放过未知程序的可疑行为，现在我们简单的测试一下。

首先系统加固为低级别，运行PC Hunter，瑞星毫无反应。


系统加固为中级别，再运行PC Hunter，瑞星仍然毫无反应


系统加固调整到高级别，继续运行PC Hunter，这次瑞星才有一点反应，但PC Hunter还是可以运行。


瑞星之所以不拦截PC Hunter 是因为最新版PC Hunter有数字签名，如果我们将系统加固的默认放过含厂商数字签名的程序以后，再次运行PC Hunter。

这一次运行PC Hunter，瑞星系统加固高级别，提示PC Hunter挂钩系统。


如果阻止PC Hunter挂钩，那么PC Hunter将无法运行。


由此可见，实际上我们完全不用担心有东西能够关闭瑞星，因为一旦系统加固开高级别，任何未知文件想要挂钩，并不是一件容易的事情。

即使是系统加固被过，瑞星核心监控进程也不会被轻易结束，因为ravmond是无限次重新启动的进程，该方式是利用系统服务无限次在ravmond结束后重新启动。


尽管ravmond服务无限次重启，也可以被破，但大多数情况下，我们的瑞星是安全的，毕竟防御手段还是不少的，能够应付一些普通的威胁关闭瑞星。

第六节-内存占用：

简简单单通过查看进程的资源占用，是无法看出安全软件的资源占用情况的，因此在安装瑞星V16Plus之前，我就已经在系统空闲的状态下，记录了资源占用情况。

没有安装瑞星杀毒软件V16Plus的情况下，系统资源占用情况，内存356M。


安装瑞星杀毒软件V16Plus以后的系统资源占用情况，内存404M。增加接近50M，这应该是瑞星的空闲状态，内存占用情况。


而瑞星的四个进程ravmond、rstray、RsMgrSvc、popwndexe，在任务管理器中显示的数值，加在一起也就大约25M，这是看不出真正的资源占用。


在内存占用方面，瑞星杀毒软件V16Plus的真实占用是50M左右，是十分优秀的资源占用杀毒软件。

第七节-内存占用2：

现在让我们看看瑞星扫描的时候，对系统的资源占用是什么样子，是不是依然十分优秀呢？让人期待呀。

启动瑞星杀毒软件V16Plus，运行全盘扫描，资源占用情况。


通过上图，可以看到内存占用是二百多M，这已经相当不错了，但并不是非常理想，还需优化。

全盘扫描的时候，瑞星的进程资源占用，仅仅显示为一百多M，这种成绩是相当不错。


停止全盘扫描以后，系统的资源占用，下降一百多M，资源占用差不多恢复到静态水平。


值得注意的是，内存的占用是浮动的，不要把本测试当作真理，有时候系统本身也会多占一点内存，有时候瑞星也会多占一点内存，瑞星杀毒软件V16Plus的静态内存占用，大概是40M~100M之间。

第八节-安全模式：

有些威胁是十分顽固，需要在安全模式下删除，那么瑞星可以在安全模式下监控和杀毒么？我们进入安全模式，一探究竟吧。

在安全模式下，瑞星的五个驱动仅加载了两个，分别是sysmon.sys和rsndisp.sys两个驱动。


尽管sysmon.sys监控核心驱动已经被加载，但是，并没有SSDT挂钩。


通过双击瑞星的快捷方式，启动瑞星主界面，可以正常运行扫描。


瑞星的监控核心是已用户模式运行，而不是服务的System模式运行。


瑞星显示文件监控可以开启，但实际上是不能监控。


在安全模式下，瑞星可以杀毒，扫描一切正常，但监控是不可能有效的。


瑞星可以在安全模式下杀毒，还是很不错的，虽然没有强大的云和RDM，但还是一个很不错的特性。

第九节-完美兼容8.1：

瑞星V16Plus在Windows 8.1系统中，之前是一直没有自我保护的，因为SSDT钩子在8.1系统中消失了，今天2013.11.25的更新，版本号为24.00.12.01，其中更新了核心驱动sysmon.sys以及rsutils.sys驱动，同时更新文件监控filemon.dll动态连接库。

在Windows 8.1系统中的瑞星V16Plus自我保护已经修复，因为SSDT钩子和ShadowSSDT钩子功能已经恢复。


瑞星V16Plus的自我保护已经完全恢复正常，任务管理器已经无法结束瑞星的进程。


实时监控也做了等级调整，相信之前的监控BUG应该也已经修复了，稍后测试。


由此可见，瑞星的修复BUG效率是十分不错的，这足以证明瑞星对个人版的重视，期待着雄狮的再一次怒吼。

第十节-监控等级：

瑞星V16Plus在升级版本号为24.00.12.01以后，更新了核心驱动sysmon.sys以及rsutils.sys驱动，同时更新文件监控filemon.dll动态连接库，等等一系列的文件，调整了监控功能，智能监控被实时监控等级取代，实时监控分为初级、中级、高级三个级别。

值得注意的是，之前双击已知威胁的时候，在同时双击两个威胁时，瑞星没有威胁提示框，但是更新以后，现在已经修复BUG，凡是双击就会有威胁提示框出现，瑞星的修复BUG速度真的好快。

默认中级实时监控，双击已知威胁，无论同时激活多个还是单个威胁，威胁提示框始终出现。


调整到高级实时监控，双击已知威胁，文件夹内的全部威胁都会自动被实时监控删除，同时出现威胁提示框。


调整初级实时监控，修改样本名称，没有出发实时监控，在中级时，样本会直接被删除，初级不会在修改时触发实时监控，只有双击威胁，才会触发实时监控。


通过简单的测试，初步确定实时监控等级的功能，大概是初级仅拦截运行时威胁、中级拦截运行威胁和写入以及修改文件、高级是全方位监控包括读写和修改以及运行等等操作。

第十一节-探秘总结：

瑞星V16Plus的探秘过程中，实际上并不完整，很多东西我并没有说，因为个人技术有限，对于静态反编译的研究仅仅是皮毛，因此有些深度的内容，我也不敢多少，毕竟不是专业人士，在这里表示一下歉意。

若以后还有机会，我会以更深入的探秘，为各位饭友解读瑞星的技术核心，在我看来，我国产的安全软件，在架构方面并不输给国外安全软件，只是起步较晚，相信以后的国产安软一定会有所突破。

尽管在本地查杀引擎的算法和驱动技术方面，国产安全软件略显不足，但我相信随着一点点的日积月累，总有一天会有一个充满前景的未来，我等待着那一天的到来，在此之前，希望瑞星在内核技术方面能取得突破，然后就是新时代开启的时刻。

驭龙

第九章-引擎与设置：

第一节-获得新引擎：

大家安装瑞星杀毒软件V16Plus以后，是不会直接获得决策引擎和基因引擎，两个全新的引擎，需要一步步的升级，接下来，我简单的介绍一下步骤。

我下载的安装包是11月7号打包的安装程序。


运行安装程序。


安装程序正在安装瑞星杀毒软件V16Plus。


安装完成以后，出现瑞星软件部署的两个进程，用户进程popwndexe和核心进程RsMgrSvc，以及瑞星杀毒软件的两个进程，监控核心进程ravmond和用户系统托盘进程rstray。


瑞星的主界面，有一点点丑么？我觉得不是非常丑，不过确实是不漂亮。


通过瑞星主界面升级，版本从11.76升级到11.80了。


升级过程中，瑞星自我关闭，提示正在升级。


升级完成以后，主界面左下方，出现立即体验。


点击立即体验，主界面进入查杀状态，提示瑞星病毒库版本过旧，建议升级。


点击立即更新以后，开始更新特征库和新引擎。


更新完成，已经获得全新的引擎，决策引擎（RDM）


还有另一个新引擎，基因引擎。


实际上不仅仅是这两个新引擎，之前的本地引擎和云引擎，也全部都更新了，瑞星杀毒软件的病毒库从24版本，直接升级到25版本，这是一个全新的开始，新引擎的体验即将开始。

第二节-设置推荐：

简单说一下，如何设置瑞星杀毒软件V16Plus的方法，当然这是我个人推荐的方法，也可以根据个人需要修改设置，我推荐的设置仅供参考。

常规设置，个人推荐取消“在登录界面显示瑞星保护状态”的勾选，该选项稍微影响登陆界面的响应速度，当然高端机可以忽略。
我非常喜欢卡卡，但是有时候卡卡影响视线，个人是将卡卡取消启动的。


扫描设置，如果是高端计算机，建议关闭变频杀毒功能，提升查杀速度。但是我这种老爷机还是开变频杀毒比较好。
将发现威胁的处理方式，修改为“手动处理”，这样瑞星就不会在我们无操作的情况下删除威胁。


实时监控，为保持最大的流畅性，建议大家保持默认，当然这种情况下会出现病毒时报时不报的情况，如果想达到最佳监控效果，可以将智能监控功能关闭，这样监控会非常灵敏，但性能会有一点点影响，老爷机的话，还是启动智能监控功能。


系统加固，我推荐将级别调整到最高，安全度会有很大的提升，同时弹开并不会很多，因为瑞星默认是放行可信厂商的数字签名，因此系统做什么，瑞星不会拦截，除非是未知文件的操作，瑞星才会弹框，如果想要高安全，就开启高级别的系统加固。如果仍然讨厌弹框，可选择中级别。


主动防御，真的是没什么需要设置的地方，还是默认吧，避免影响安全性。


白名单和任务计划，我就不啰嗦了，大家都这是做什么的，所以我不多做介绍。

产品升级设置，几乎也无需设置，不过可以用来测试网络的连接状态，确认是否可以正常升级。


其他设置，其中“文件未能正常备份到隔离区时不进行后续的杀毒操作”默认是关闭的，我强烈建议开启这个功能，这样就不会出现杀掉威胁以后，不能在隔离区找到的问题，避免误删文件，但是这样瑞星的删除能力会有影响，毕竟不能备份到隔离区的威胁，瑞星是不会删除的。
是否开启这个功能，还是看自己的实际情况选择。


通过刚刚的设置推荐，我们不难发现，瑞星还是一款无需过多设置的安全软件，适合大多数用户使用，当然，高级用户还可以根据自己的实际需要写系统加固的规则，瑞星是适合各种用户群的杀毒软件，只可惜没有全功能版的V16Plus版，真的是一大遗憾。

第三节-窥探引擎：

官方说基本引擎和云引擎也更新了，这应该是云端和特征库方面的改进吧，我们就不多说这方面的问题，我们主要说的是新旧引擎的文件查看，至于内核反编译级别的窥探，我就不在这里丢人现眼了，只是简单的说一说版本情况。

上一节说安装瑞星V16Plus以后，点击立即体验，才更新新引擎的特征库和相关文件，那么更新了什么？


上图中选取的三个文件，是新引擎的特征库和相关文件，当然还有其他文件，这里就不多说了。

注：上面的三个文件并非是更新的特征库文件，在特征库文件夹下的Malware.rmd文件才是更新的核心特征库文件。

这里是瑞星杀毒软件的传统特征库。


全新一代的基础引擎与基因引擎和决策引擎，都在下图的左侧，右侧为传统的基础引擎和云引擎。


在左侧的部分新基础引擎的文件，会替换掉右侧的相同名称的旧版本，达到改进基础引擎查杀的效果。

本次瑞星杀毒软件V16Plus的新引擎版本号全部以25为新版本号，之前V16添加的云查杀引擎是24版本号，基础引擎仍然是相对旧一些的23版本号，也就是当年瑞星全功能安全软件2011时发布的引擎。


现在瑞星的特征库和引擎架构已经步入25版本时代，相信不久的将来瑞星V17也会横空出世，将之前的23版本架构取代，迎来全新的未来。


大家不难看出决策引擎和基因引擎的架构完全是全新的25版本，全新的Rising Anti-Malware Engine 必然会有相对应的25版本软件架构，会不会就是以后的瑞星V17呢，真的让我很期待与全新引擎相对应的软件架构，快一点问世。

第四节-大测新引擎：

我很想知道瑞星V16Plus的增强基础引擎和全新决策引擎、基因引擎的效果如何？怎么办呢？我想到了我的擅长功夫，大卸八块，我将瑞星的25版本引擎全部删掉，然后使用旧的24版本引擎查杀，保存剩余的样本，恢复25版本引擎，扫描剩余的样本，全过程断网测试，这样就会知道新引擎的威力了，是吧？

第一次扫描样本的时候，忘记截图，这是我之后补拍的删除新引擎的扫描图，注意，新引擎是灰色没有启动的哟。


无新引擎的扫描成绩：236/500=47.20


剩余的样本去除被修复样本为264。

恢复瑞星V16Plus的25版本新引擎，扫描剩余的264个样本。


使用25版本的新引擎，查杀24版本引擎查杀后的剩余样本，成绩为：87/264=32.95（两个未处理，不算。）


这样的25版本新引擎的威力，真的是让我感到惊讶，没想到会是如此的强悍，居然达到百分之三十左右的提升，好强大呀。当然一次测试说明不了什么，仅供参考而已。

值得注意的是全过程没有见到一个RDM，也就是决策引擎的报法威胁样本，只有改进基础引擎报法1和基因引擎报法6，始终未见RDM 5的报法，个人猜测RDM需要网络才能发威。

第五节-大测新引擎2：

之前的测试猜测是RDM需要联网才能发挥效果，官方的瑞星工程师也确认如此，可有些情况下，断网仍然可以见到RDM的报法，因此我再做一个测试，来确认一下情况。

首先感谢卡饭的大病毒测试组，他们提供了优质的样本，比我那种高危的样本好太多了，好像我那种样本就是娱乐样本，没有什么质量可言啊。

在常规设置中关闭云查杀选项，扫描毒组的26个样本。


注意上图云引擎和决策引擎是灰色，没有启用的哟。

扫描列表显示五个威胁，可瑞星报告九个威胁，实际删除的威胁样本是7个，属于19个样本。


接下来在常规设置中恢复云查杀，但是断网测试，扫描剩余的19个样本。


上图中已经显示云引擎和决策引擎已经启动，但是没有连接到云安全中心，因此没有发现威胁。


现在我们连接互联网，再次查杀断网时未报的19个样本，这次杀掉3个样本，其中两个是RDM即决策引擎报的威胁。


我不清理这三个威胁，断网重新扫描，看看RDM有没有云缓存，结果瑞星在断网以后，没有再报三个样本中的两个RDM报法的威胁。


看来决策引擎真的是跟云在一起工作，之前的测试并没有错误。

不过其他人的测试中断网确实是出现RDM，因此个人推测决策引擎在断网情况下效果不能说没有，只是效果不明显，并不是像测试那样不联网就无效果，决策引擎在本地还是有一些效果的，我将继续探秘。

第六节-大测新引擎3：

现在我们再测试一下RDM的云缓存和云引擎之间的关系，当然这次的小测试仅供参考，一两个样本，证明不了什么，大家应该理想对待。

首先我拿一个特殊的样本，断网扫描。


断网扫描结果是未发现威胁。


现在联网扫描威胁样本，被云报了。


我们再次断网，首先使用右键扫描，呀，刚刚云报的威胁，现在被右键扫描报RDM啦，可值得注意的是主界面自定义扫描，没有报，这说明RDM真的依赖云缓存，不过云缓存并不是全局的。


为证实RDM依赖的云缓存不是全局，我将样本名称尾部的0删除，再次使用调用云缓存的右键扫描方式，扫描样本，这次样本没有被报，足以确定，云缓存应该是临时且是记录路径的，并不是国外云安全软件的那种云缓存。


注意本测试是简单的云缓存测试，不能代表一切，仅供参考，说不定也是个人系统环境的原因。

另外大家注意到没有，联网的时候瑞星报的是云，断网的云缓存报的是RDM，这可能表示云引擎的优先级高于RDM，本地的RDM利用云的一点点缓存，就可以识别威胁，因此本地必然有RDM效果，只是依赖于一些云的查询信息。当然这是个人猜测而已。

第七节-小探新引擎：

联网的时候瑞星报的是云和RDM，而病毒名中generic是云端报的，代表瑞星有样本，如果有RDM字样代表决策引擎报的。

报RDM是瑞星还没拿到样本或者是尚未入库的威胁，换句话说是决策引擎自我学习分析出的威胁。

断网的RDM，存在两种可能，一种是云缓存，这种修改样本路径以后，就不会在报。

另一种是本地RDM自我学习能力，可以识别威胁，因此本地必然有RDM效果，当然RDM只有与云连接的情况下，查询云端自我学习信息，才能发挥最大的效果，以下是一个简单的测试。

首先我从隔离区恢复十八个被决策引擎报RDM的样本，联网测试，扫描出17个RDM，这是云端调整原因，所以不稳定。


断网重新扫描十八个RDM报的样本，结果跟之前一样是17个RDM，这就是云缓存的效果。


当我将样本名称修改以后，重新断网扫描，云缓存效果消失，RDM本地自我学习效果发威，断网识别出9个RDM，注意是同一个类型的RDM。


重新连接到网络，让瑞星联网再扫描这已经改名的十八个样本，这一次全部被RDM调用云端信息，全部杀掉。


通过上面的测试，简单的证明了RDM的本地自我学习能力，以及RDM的云缓存效果，更证明了RDM与云端的联动效果。

第八节-引擎总结：

瑞星这次的新引擎，是一种自我学习类型的查杀引擎，随着时间的推移，自我学习的不断完善，数据的收集越来越多，强悍的查杀将逐渐显现，到那时对付未知病毒将不完全依赖于云查杀引擎，而是拥有自我学习能力的RDM引擎，也就是决策引擎。

在对付未知威胁的时候，决策引擎会通过之前的自我学习积累的数据，通过算法分析比对未知威胁与已知威胁的方式，确定未知的新文件是否为威胁，大大的节省了人工分析威胁样本的劳动力，能够让工程师有更多的时间研发新功能和新技术，是未来安全软件必不可少的技术，通过云运算，可以达到更好的效果。

虽然决策引擎有很大的发展空间，可我个人认为有一个不足和缺点，那就是断网环境下几乎无太大的作为，需要通过云运算才能发挥最大效果，这真的是不足之处，但这也还是有优势的，数据在云端的话，要想研究出绕过决策引擎的方法，是比本地难很多的，毕竟不能反编译数据，分析算法，绕过决策引擎也就更难了。

如何弥补断网的不足，或许只能依靠全新的25版本基础引擎和基因引擎的威力，当然25版的基础引擎确实是已经很强大，有了明显的进步，期待着瑞星V17的再一次进化，期待着雄狮的一声震天狂吼！

驭龙

第十章-评测分析＋全文总结：

第一节-评测分析：

这才的评测并不完美，很多测试都十分匆忙，尤其是扫描测试的样本问题，这是让本次评测不完美的地方，之前完全没想到瑞星会与国外的病毒源发放网站有合作，使得后期竟无毒包可测，在这里先说一声不好意思，下次若有机会，我将尽可能的收集病毒包，进行测试。

在本次的评测中的引擎部分有一处错误，那就是在首次更新引擎的时候，更新的文件并不是nvlib.def文件，而是在特征库文件夹下的Malware.rmd文件才是首次扫描时提示更新的文件，它才是更新的特征库文件，因此这也是本帖中的不足之处。

或许其他的地方仍然可能存在错误，但绝大部分的内容应该还是正确的，本帖彻底将瑞星的内在美，展现给各位网友，希望让大家更好的了解瑞星，虽然有一些内容不完整，但我个人觉得本帖还是值得一读的佳作。

在双击测试的过程中，由于样本量太大，并没有逐一记录病毒的行为，同时也没有记录具体的拦截截图，这也是美中不足的地方，以后若还有机会，将进行更完整的测试，只可惜，瑞星的动态防御不是很强，因此没有更加深入的测试，期待着以后的主防版本吧。

其实本次评测并不完整，实际上应该测试在威胁环境中瑞星的修复和对抗能力，但是这一次的评测没有这种测试，是一种不足，希望下一次有机会添加类似的测试。

关于本帖中的一些建议，仅仅是个人想法，但这也是有一些道理，很多人认为本地主防必然臃肿，或者是漏洞百出，不如云主防效果好，本地主防要么误报高要么白名单太多，其实这并不是问题，今年的DrWeb新行为分析技术DrWeb Process Heuristic 中文名大蜘蛛进程启发分析技术，就很好的权衡了一切，有了强悍的防御能力和低误报的动态启发行为分析。

当然我更建议做云主防单步拦截＋多步动态启发行为分析，这样的混合型主动防御才是比较好的发展方向，例如诺顿的Insight技术＋SONAR技术，就是比较成功的，只是Symantec并没有把二者发挥到极致而已，我希望瑞星能拥有与云端信誉联动的混合型主动防御。

本次的文章在更新过程中使得一些朋友看着有一点累，我真的是深表歉意，但是由于测试周期比较长，因此帖子只能以这种方式更新，不过完整性不受影响，只需要在文章完成各项更新以后，各位网友就可以细细品读本篇文章。

第二节-全文总结：

本评测今天终于是接近尾声了，感谢各位饭友在过去的一个月里，对驭龙的支持，我非常感谢各位兄弟的支持，在这里说一声谢谢。

现在终于是接近尾声，作品差不多已经完成，虽然这篇文章，不一定是我最大的文章，但也绝对算得上是我的倾力大作，是我非常满意的篇章，虽然略有不足，可还是可以算得上是一篇难得的力作，希望本篇文章可以让更多的朋友重新认识和了解全新的瑞星。

我虽然一直在关注国外的安全产品，可我并没有反感和瞧不起国产安全软件，甚至在我看来，国内的安全软件，在技术上并不比国外的安全软件差多少，我也一直在关注国产安全软件的发展，虽然不是某一款安全软件的忠实粉丝，但对每一款国产安全软件都有一定的了解，其实有些人认为国产安全软件很弱，那可能是并不是十分了解国产安全软件的内在。

说心里话，我不喜欢国产安全软件的原因，是广告和体验不好，所以我很少在国内区出现，但我不是反感国产安全软件，只是在使用国产安全软件的时候，不小心就安装上不需要的软件，或者屏幕右下角的弹框广告，这些情况让我很少使用国产安全软件，我喜欢的是全自动化无干扰的安全产品，所以我希望国产安全软件再接再厉。

这篇文章，全部实事求是的写了真实的内容，并没有吹捧和贬低瑞星的想法，确实是我个人的真实测试结果，如果有人认为我是在讨好瑞星，那我无话可说，大家不妨看看双击测试，如果我是讨好瑞星的话，我会把事实写出来么？

本次的评测，我确实是没有倾注全力，因为我没有在我工作的系统上测试瑞星V16Plus，并不是我不尽心尽力的测试，而是担心瑞星的卸载问题，我的Windows 8.1系统是新装的，所以我不想再重新安装系统，其实瑞星并不一定难卸载，只是我2010年的时候，有阴影了，所以这次没有使用我的新机做测试，只能使用我的老爷机测试。

很多人一定奇怪在我的测试中大多数是虚拟机系统和老爷机的Windows 7系统，为何不使用真机系统？是不是我根本瞧不起瑞星，连实机都不想装瑞星？这里我解释一下，除了我之前说的担心卸载和新系统问题，我并没有不信任瑞星，真的只是如上的小原因。

我现在可能是有洁癖，不希望在系统上折腾安全软件，所以测试中没有我的新实机系统，大家千万不要因此而认为我不喜欢瑞星，或者是瑞星不好，这只是我个人的系统洁癖问题，与瑞星的产品毫无关系，大家千万不要误会哦。

好了，对我个人的总结已经说的差不多了，现在开始说说瑞星，瑞星的软件架构还是不错的，我很喜欢，但是，我觉得这样的架构还是有一点小问题，那就是基础引擎的模块分得太多了，如果按这种引擎模块算，瑞星的本地引擎真的是好多好多，但这样的架构必然会影响性能，如果未来能把引擎模块整合一下，那瑞星软件的整体性能必然会有不小的提升。

瑞星是曾经的行业强者，应该有足够的经验和技术积累，虽然人员流失严重，但我相信经验和技术还是有的，瑞星应当把握住这几年最后的发展机会，要不然真的危险了，争取在短时间内完成惊艳的产品，完成一次全新的蜕变，期待着瑞星的破茧成蝶。

我个人觉得瑞星不要单单的盯着桌面安全软件，也应该考虑移动产品，包括手机和平板，未来几年也会产生巨大的安全问题，希望瑞星能够在这方面发力，如果获得用户支持和好评，那样桌面安全产品的发展也会好转许多。

如果不能很好的尊重用户的想法，那始终会失去用户的心，要想成功就必须尊重用户的想法和意见，用户不会给一个产品太多的机会，千万不要使用某些让用户反感的方式推广产品，那样即使是短期内装机量上去了，也不会长久，应该以优秀的用户体验和强大的技术，来捕获用户的心，这样才能获得更大的用户群。

最后真的祝愿瑞星能够完成蜕变，让沉睡的雄狮苏醒吧，大狮子一直睡在危机四伏的环境中，是时候睁开双眼，震慑四方之敌，重振当年的霸气雄风，雄狮的一声怒吼，最终能否吼声震天？让我们一起等待雄狮的苏醒！

第三节-鸣谢：

最后感谢各位饭友的支持和鼓励，谢谢各位的支持，本篇文章到此结束，有机会我们下次再见！

Baby丶小曦

支持驭龙  

反病毒测试员

我表示 一定仔细阅读 期待楼主的继续测试和宇中之神你俩的大作