杀毒软件“退居”用户态？微软 Ignite 2025 带来的安全架构巨变

wwwab

隔山打空气 发表于 2025-11-28 21:48
操作系统在不久的将来将直接通过标准化的用户态 API 提供高质量、全覆盖的遥测数据。

微软你最好把RPC/A ...

让阿三工程师写出来”高质量“、”全覆盖“的代码，也是为难他们了

隔山打空气

wwwab 发表于 2025-11-28 21:52
让阿三工程师写出来”高质量“、”全覆盖“的代码，也是为难他们了

那只好啊ki库里猴亚猴奔了

00006666

隔山打空气 发表于 2025-11-28 21:48
操作系统在不久的将来将直接通过标准化的用户态 API 提供高质量、全覆盖的遥测数据。

微软你最好把RPC/A ...

就目前而言，如果杀软没有驱动，光靠ETW数据这种东西，能不能保护自己都难说，谈什么保护用户，怕不是马上会被病毒干掉。

00006666

就比如Sysmon这种的吧，都是有延后的，等杀软被病毒干掉再来溯源攻击吗？

隔山打空气

00006666 发表于 2025-11-28 22:06
就目前而言，如果杀软没有驱动，光靠ETW数据这种东西，能不能保护自己都难说，谈什么保护用户，怕不是马 ...

Elastic就这样的呗 基本上除了内核回调之外全是异步ETW数据源 对内存操作检测粒度非常细 效果很好 但遇到被加漏洞驱动的盯上多半就要死 除了祈祷行为威胁防护提早拦截之外就只剩yara规则点对点检测了

卡巴 BEST S1这种是会给对面驱动上附加设备拦截IOCTL的 现在的利用ZwTerminateProcess的BYOVD即便加载成功也会在发IOCTL准备k杀软的时候被截断反杀

00006666

隔山打空气 发表于 2025-11-28 22:29
Elastic就这样的呗 基本上除了内核回调之外全是异步ETW数据源 对内存操作检测粒度非常细 效果很好 但遇到 ...

不关是对面不讲武德用驱动，一个杀软没自保驱动是会被R3干掉的，这几年被很多人研究出来了不少R3 kill杀软的方法，有不少能让杀软进程退出，自己崩溃等等方法，很多没驱动拦不住的。

隔山打空气

00006666 发表于 2025-11-28 22:32
不关是对面不讲武德用驱动，一个杀软没自保驱动是会被R3干掉的，这几年被很多人研究出来了不少R3 kill杀 ...

那之后看看用漏洞防护技术能不能解决一部分R3 k杀软问题 反正如果微软强制执行全局KCET的话其实已经能拦下不少漏洞驱动了

gsgaosheng

CrowdStrike蓝屏的锅需要‘巨硬’来背？其他杀软怎么没蓝屏？
不适应这个操作系统环境就被市场优胜劣汰，‘巨硬’喜好当救世主？
另外，那些企业主选择不合适的杀软，决策失误也需要担责。
‘巨硬’开始大包大揽，真的软了？

iscomodo

驭龙 发表于 2025-11-28 19:53
预告了这么久，终于开始有所行动了，这下子主防类的安全软件不好混了，反而是Avira和ESET以及McAfee（就一 ...

我跟着驭龙哥你的脚步用上F-Secure了

驭龙

iscomodo 发表于 2025-11-29 19:19
我跟着驭龙哥你的脚步用上F-Secure了

等一下，我啥时候用FSP了？我自己都不知道，我好像已经不关注ta了，因为ta把我的授权取消了