【新增微点】10大杀软本地主防测试—对抗勒索软件【参测杀软中含无本地主防的杀软】

ysj963

文件偷偷安装怎么用HIPS拦截？

jiangz1234

houtiancheng 发表于 2017-1-5 10:29
额额，这个地方不要引用我的话啊……
上次说的，只是我的个人的定义，是一种外延定义，而非内涵定义。 ...

谢谢你的解答，又学习了一些知识，这些私货很有用，很受启发。
1.自动抉择，无需人工干预
2. 报毒，而不是报行为
即使用户手动调成“遇到可疑行为自动隔离”，在日志中你还是可以看到，HIPS是报行为之后隔离的。
第一点意味着主防必定是评分型的，一旦分数超过阈值，就会报毒。
而因为是评分型，所以符合此定义的主防应当是多步的，不然何来分数累加的过程呢？（当然，这不排除某一个单独的行为就能超过阈值，比如试图结束杀软进程之类的，蜘蛛的注入防护可能也是这种）
也正是因为其是多步的，所以它报毒的依据是多个行为加起来的效应，理论上其报毒的时候应该报告是哪些行为加在一起使得它报毒，而不会报某一个行为（定义关键2.）。
然而，可能由于增加病毒制作者过主防的难度、保密性或用户友好性等缘由，目前有主防的杀软都是通过一个别名来称呼这一系列动作，例如AVG的“IDP.XXX"。

jiangz1234

小小瞻 发表于 2017-1-5 07:38
我原本不想理睬你，可当我看见你用家伙来称呼别人的时候，就更加不想理你了。

你不理我，我理你啊。“家伙”只不过是开玩笑的称谓罢了。看了这多么大神的解释，我也学习到了不少。
当时自已对主防与HIPS定义理解有误呵呵。

jiangz1234

linzh 发表于 2017-1-6 05:33
别误导人啦，ESET不行？ESET好歹也是一个一线杀软
你倒是说说怎么不行？只是没有主防不是非常的优秀罢了 ...

。。。。别激动，我没说ESET杀毒不行，意思和你表达的一样。
只是没有主防不是非常的优秀罢了！

尘梦幽然

小小瞻 发表于 2017-1-6 01:39
这句话是你对我说的。

测试不需要理由。想测就测嘛。测试仅包含本地检测不代表着这个软件的功能就有优劣，只能说明它的设计倾向是不一样的。
我觉得去争这个没有意义。

zfc234

猪头无双 发表于 2017-1-5 10:42
但是FS现在矫枉过正了，连DG的规则都主要靠云端判断了。尤其是最新的个人测试版

所以是不是可以理解为F-secure的主防正在朝云端方向迁移，本地全权交由几个引擎负责已知威胁，云端主防负责查看未知信誉和行为？

qftest

houtiancheng 发表于 2017-1-6 14:30
光是这个我觉得挺难说明它有主防呢……
就好像BD、趋势的勒索防护，AVG、费尔的文件保管箱，这一种每有 ...

这个问题提得很好啊，你可以针对这个疑问去测试下，比如使用加密软件去手动加密文档看是否误报、或者改md5是否漏报等等，我也很想知道测试结果
但就Emsisoft官方而言这个弹窗就已经可以证明BB含有行为分析，虽然如下图还有别的弹窗可以证明——如果按照惯常的分别，HIPS将分析交给用户、主防将分析交给软件的话——并不是单纯的HIPS，或者说是所谓的古典HIPS

小小瞻

( 十）微点主动防御软件：没有被样本加密
        微点的这个测试是由@a445441进行的，下面的文字描述以及图片亦由其提供，在这里表示感谢。
        操作系统：Windows  XP


1)MRCR1: 样本运行后提示联网放行后，等了几分钟没有反应，文件也没有被加密




2）样本Virlock：拦截成功 （笔者注：这个样本被微点启发检测出了）




3）DeriaLock：运行后报错，不是有效WIN32位程序




4）样本virus-encoder ransomware：拦截成功




5）样本AdamLocker：拦截成功




6）Slimhem：样本运行后提示联网放行，等了几分钟没有反应，文件也没有被加密




7）Sage：拦截成功

347636681

小小瞻 发表于 2017-1-6 19:15
( 十）微点主动防御软件：没有被样本加密
        微点的这个测试是由@a445441进行的，下面的文字描述以及 ...

国产的微点还是很厉害的

torpedoo

据我了解，有些杀软反勒索功能断网后就不工作的，人家本身设计就如此，不涉及到能力的问题吧。