阿信戎码一生，终归故里，愿以余生坐镇天关，守护身后众人【奇安云镜新UI版体验】

驭龙

     

前言：

     最近无意间看到奇安信天守SAAS官方网站有个新版尝鲜BETA，我就点了一下，注册以后直接有了天守10.0 BETA版本的一个月试用期，于是乎就有了本帖，但我先说明情况，我之前是没玩过天守EDR版的，这个版本据说是戎码翼龙高级威胁防御系统的皮肤，我并不清楚这个版本使用的翼龙是否跟本次的BETA相同，所以本帖不做横评，只是以天守10.0为本，来体验一下该版本的效果和功能，以及与旧版本6.X系的天守有何不同。
重点是这个也被称为奇安云镜，但早期版本的奇安云镜就是戎码翼龙，至于算不算今天本帖提到的天守10.0 beta，目前我并没有去确认，所以本帖后续说的产品都是天守 10.0 BETA版本，不含其他天守产品。

    本测试帖提到的内容仅供参考，因为笔者我是个安全软件爱好者，仅此而已，作为门外汉，本帖有错误在所难免，所以有错误的地方还请大家多多包涵，简而言之，本帖内容仅供参考和娱乐，切勿当真，因本帖引发的任何问题，本人概不负责。

     

第一章：UI与控制台

     通过上方地址点击新版尝鲜BETA以后，会跳转到https://ts-console.zboundary.com/main/login
完成注册以后就可以下载到这个天守10.0 beta版本，接下来就是体验天守beta的UI部分。


刚刚完成安装以后，除了设置界面以外，什么都没有开放，只有简单的语言选择。


待后台处理完成以后，在云控制台创建全局规则和安全防护中的各项规则，天守主界面就可以启用了。
实际上跟奇安云镜版戎码没啥区别。
杀毒选项卡主界面。


合规选项卡界面。


漏洞选项卡界面。


管家就是通过控制台分发各种软件的软件管家，就不细说了。

上述基本上就是天守beta本地客户端的一切了，几乎没有什么可玩性和设置选项。

接下来，我们来到云端控制台的安全防护页面，该分支有病毒查杀勒索防护和漏洞修复以及合规，四个功能分类，新用户的账号是没有规则的，需要自己创建规则策略，根据实际情况来设置启用的功能。

我在病毒查杀的设置规则策略中是开启了QOWL引擎，也就是猫头鹰引擎的实时防护功能，这是QAX的精髓了，国内为数不多的本地传统特征基因引擎，奇安信猫头鹰引擎简称为OWL引擎。
实时防护开启OWL引擎。


勒索防护，创建新的规则，就可以选择开启定时备份、文件加密、文件系统访问防护、阻止异常文件活动、阻止程序删除系统卷影备份，这五个防御勒索软件的功能。
我是把勒索防护的功能全部开启。


漏洞检测的话，由于我是虚拟机测试，所以直接关闭，没有启用漏洞修复功能。
全部取消勾选。


至于合规的规则，那是企业用户的刚需，我们用处不大，我就不啰嗦了。

终端管理页面的功能分支还是不少的，包括防火墙、上网管控、软件管理、外设控制、文件分发、广告拦截、节能管理，这些功能就没必要继续详细说明情况。
终端管理。


接下来是全局设置，来到配置中心→安全设置，我根据我的实际情况，进行的设置。
设置如下。




而威胁检测与响应（EDR）的策略中，有默认的几条策略规则，开启时需要先进行一次短信验证码的验证身份，最后才能完成对内置规则的启用。


内网行为洞察，涵盖的功能是不是还可以。


本章就到此结束，接下来是关键内容，其中包括戎码和天守合体的相关内容。

第二章：天守戎码合体

     标题和第一章已经说了此次天守10.0 beta是戎码翼龙与天守也就是QAX技术的合体版本，以前的天守EDR和戎码翼龙，我没玩过不清楚，但是天守beta的情况是以戎码翼龙的架构接入了奇安信引以为傲的特征引擎QOWL即猫头鹰引擎，并且可用于实时防护，是补全了原版戎码翼龙本地短板的合并，查杀方面也是有所提升。

OWL猫头鹰引擎就是lib开头的DLL模块，被戎码新建立的AV引擎进程rm_av_service加载，当然也加载了戎码自己的一些模块。


猫头鹰的特征库和引擎位置位于C:\Program Files\rooma\rmroot\program\av_engines\
猫头鹰特征库在def文件夹，特征大小接近190MB，比较完整的本地特征引擎，算是比较好的传统引擎。


这是本地引擎的机学报法，应该就是入监控的猫头鹰引擎的报法，与旧版本天守的报法完全相同。


之前有个传闻说戎码翼龙逆天的技能是它的用户层服务进程和用户权限进程都被禁止以后，依然可以阻止本地能识别的威胁，这究竟是怎么回事呢？毕竟想当年的赛门铁克驱动级AV引擎都做不到这个程度，因为赛门铁克的AV引擎虽然是驱动级SYS格式，但特征库不是SYS驱动级。

先来看，戎码翼龙的架构有两个驱动，一个是提供网络功能支持的rmdivert.sys驱动，以及安全核心的传感器内核驱动rmkernel.sys


这两个驱动只有不足900KB的大小，为什么会具有驱动层独立拦截威胁的能力呢？


这就要提到一个特别的驱动rmdb50.sys驱动，它不是作为模块被system加载的，但是它却被system作为handles句柄使用的，所以无法被打开，我没有进一步研究，暂时没有看到它内部情况。
rmdb50被system使用中。


而这个不可思议的是体积高达256MB的大小，比一个最大的NV驱动还大很多很多。


并且rmdb50是被戎码核心的内核传感器驱动rmkernel.sys调用的


因此，我推测是戎码将本地特征数据存入rmdb50，然后被rmkernel.sys读取调用，从而获得在内核驱动层的闭环，不依赖于用户层R3，即可完成威胁识别，进而阻止威胁。

不过上述暂时只是推测，因为我安装两天天守beta，猫头鹰特征库并没有更新，rmdb50的访问时间也是安装的时间，所以并不能完全证明上述猜测是准确无误的，如有错误，还请见谅。

按照实际情况，我猜测rmdb50是创建一个内存区域，在内存中加载特征库数据，然后被rmkernel读取调用，rmdb50本身并不会反复重新写入新的数据。

关于戎码内核级的闭环监控，后续第三章会有进一步的测试，本章来说一下天守10.0 BETA版本戎码和奇安信技术的分布情况，以及融合进度。

这个天守BETA的基础架构平台是以戎码为基础的架构，不要看C:\Program Files\rooma位置的文件夹有1G大小，实际上是包含340多MB的安装包备份镜像，因此，戎码架构实际上只有七百多MB，算上不动产rmdb50的256MB，也不足1G，要知道这是包含200多MB猫头鹰引擎和特征的体积，并不是臃肿的架构。
C:\Program Files\rooma
文件夹总大小。


C:\Program Files\rooma\rmroot\data\back位置的安装包镜像备份。


前面说到过这个天守BETA跟奇安云镜关系复杂，奇安云镜被称为SASE，全称为Secure Access Service Edge

而这个天守BETA的用户层交互UI使用的就是SASE体系界面，这是奇安信依托于chromium内核做的浏览器架构UI，现在有好几款安全软件都这样搞UI，包括诺顿、avast、McAfee等。
C:\Program Files\rooma\rmroot\program\sase_client


漏洞的检测和修复功能的技术是奇安信提供的，跟天守6.X版本使用的漏洞修复模块基本一致。
C:\Program Files\rooma\rmroot\program\leakfix


外设管理功能也是使用的奇安信天擎的驱动模块
C:\Program Files\rooma\rmroot\program\qcm


这是天守10.0 BETA常驻进程的数量和资源占用情况，因为我启用了实时防护的内存缓存技术，使用的内存会增加40~50MB，但即便如此，七个进程加一起的物理内存占用也没有到达100MB，且CPU使用率更是微乎其微，非常流畅也不占资源。


本章结束，今天太晚了，明天晚上会更新后续的第三章内容，以及可能会有第四章或者第五章的吐槽，敬请期待。

第三章：戎码架构优势

     在第二章的时候已经提及过，戎码最大的优势和特色就是不依赖R3层，可在脱离R3层交互的情况下，以R0层的内核模式完成保护，传闻是如此，那作为戎码和天守合体的天守10.0 BETA是否也具备这个具有很强对抗能力的功能呢？本章就简单的来测试一下，但不搞那些代码分析和技术原理的解读，就是简单的实际测试，这除了因为我比较懒不愿意分析之外，还有一个原因就是我不想透露太多没公开的内容，比如说我在某软件的分析中说过某个驱动的情况，这驱动就被利用了，因此作为国产安全软件的支持者，我有一些细节就不公开说了。

     废话不多说，我们首先强力禁用天守的全部服务进程和用户进程，反复禁用三次，因为首次禁用以后，天守会2分钟会复活，但只是复活两次，所以三次禁用过后，除非手动启用rm_service.exe服务，不然天守是不会再重新复活。

彻底禁用天守在用户模式的进程和服务，运行一个样本区新鲜出炉的样本，直接无法运行。


云端控制台的报告中显示是ASR防护规则阻止的威胁。


且在狩猎日志中也有相关文件的操作记录，是EDR提供的检测。


重新复活天守以后，再次运行该样本，报法确实是未知文件，也就是ASR防护规则阻止的威胁运行。


     上述简单测试过后，可以确认戎码确实是有脱离用户模式后，仅依靠内核模式就能提供保护的强悍功能，这种在EDR对抗上是很强的功能，也是戎码最大的特色之一，看来传闻不假，戎码内核模式可自主闭环的完成保护功能。

     接下来，我在完全禁用天守的情况下，运行两个天守不杀的样本，看看戎码内核能不能与云端控制台建立日志连接。
L选手成功运行。


N选手成功运行。（废话，天守不能检测的样本不能运行才怪）


来到云端控制台的狩猎日志中，可以明确看到L和N选手启动时触发的ATT&CK规则，也就是说戎码架构没有依赖用户模式的情况下，仅通过内核模式可完成EDR监控和反馈。
L选手的日志记录。（仅举例，行为日志太长了。）


N选手的日志记录。


那么，问题来了，戎码架构是不是可以完全不依赖于用户模式？完全在内核模式中提供保护？先说结果，并不是的，没有用户模式的戎码架构是无法提供完整保护，很多功能还是要依赖于服务进程和用户权限进程，其中包括特征库和引擎的加载和使用。

首先在天守正常运行的情况下，运行一个天守引擎识别的样本，且被天守正常阻止运行，也就是说天守能正常保护设备。
样本H选手被天守引擎识别为威胁。


但是，当结束天守rm_service.exe服务进程，以及负责加载猫头鹰引擎的AV核心服务进程rm_av_service等全部用户模式进程，结果就是天守没有阻止H选手的运行。
H选手成功运行。


     因为H选手是被天守云机器学习识别的云杀，所以失去用户模式下加载的引擎模块，就没云查杀识别能力？当然也可能是为了稳定，设计上就是这个样子的，而非是必定依赖用户模式，可不管怎么说天守10.0 BETA确实是需要用户模式下的服务和进程，来提供完整的保护。
H选手是云机器学习识别的云杀样本。


但是有趣的是，由于监控模式我没有选择最高强度，所以恢复天守运行以后，由于有缓存效果，样本依然可以运行。


只有手动扫描才能重新识别威胁，这是监控模式的原因。


    至此已经确认天守的戎码架构在纯内核模式下是无法调用云查杀功能，那基于上述测试的推测，因为没有rm_av_service服务进程来加载猫头鹰引擎，那在纯内核模式下也无法通过本地特征识别威胁，是不是真的这样呢？我翻了个老古董样本，终于在断网的情况下触发本地特征引擎，也就是猫头鹰识别威胁。

天守在断网状态下，解压的样本，没有缓存影响，本地特征识别这个威胁了，而本地只有猫头鹰引擎，所以必然是猫头鹰引擎杀。


彻底禁用天守以后，运行样本，没有跑起来，因为缺少运行环境，但之前是能被猫头鹰阻止的，所以理论上确实是跟之前的推测一样，纯内核模式无法调用特征引擎，当然也不排除是缓存导致的，如果有时间我再拿其他样本测试。（这几天肝星穹铁道，没太多时间反复测试）
样本没有被纯内核模式的天守阻止。


恢复天守以后，手动扫描，依然是猫头鹰识别威胁，所以纯内核模式大概率是真的无法调用特征引擎识别威胁。


连接到网络，将jjj样本改名为jjjj，运行样本，是ASR防护规则阻止，但扫描是猫头鹰杀，因此ASR防护规则优先级高于本地特征引擎。


联网状态下，再次禁用天守，以jjjj样本运行，因为ASR防护规则优先级更高，所以纯内核模式下戎码架构调用ASR防护规则，成功阻止jjjj运行。


将jjjj的md5修改一下，文件的SHA1也会变更，再运行一下，修改文件指纹的jjjj也被阻止运行，也就是说戎码架构的纯内核模式是真的有不错的防护效果，修改文件指纹是无法绕过天守防御。


就这样也侧面证明测试jjj的时候，与样本行为有没有跑起来无关，就是纯内核模式下无法调用特征引擎，毕竟ASR防护规则也是阻止了jjjj的运行，足以证明相关问题。

     经过一系列的测试，我们初步获得的结果是戎码架构在纯内核模式下是可以与云端控制台保持通讯，并且具备接收云端命令执行保护效果，也就是EDR功能完全可以在纯内核模式下完成，并且通过ASR防护规则以及云端控制台命令获得不错的保护效果。

     但是，纯内核模式下的天守是只能完成EDR功能，在没有用户模式加载引擎和特征的情况下，纯内核模式的天守是无法提供完整的EPP功能，不过，因为ASR防护规则优先级比较高，也就是说在联网环境中，就算天守戎码架构的用户模式服务进程被KO了，依靠纯内核模式的ASR防护规则还是有一战之力，这是天守戎码架构最牛的地方，也是最大的特色之一。


     第三章就先到这里了，本帖还会有第四章和第五章的更新，具体时间我不确定，但更新以后我会顶帖和修改标题，敬请期待。

第四章：云控制台与AI

     抱歉抱歉，这一章拖了好几天也没更新，不单单是因为我去肝星铁了，也因为我有一点偷懒，昨天本应该更新的，但我却跑去安装卡巴，以及测试Avira 2604了，而后天就是星铁周年庆版本更新的日子，过几天就更没时间填这个坑了，所以今天就简单的把第四章写完吧，但由于我的业余时间有限，所以就把第四章和第五章简单的写完吧，但内容可能严重缩水。

     在云端控制台的威胁检测与响应的威胁事件选项里，是记录检测到的威胁处理和未处理事件
威胁检测与响应，检测到我测试的部分威胁事件。


但是不意味着，你测十个样本就出现十条报告，通常情况下在一个设备的一个时间段内多次威胁检测，天守威胁事件只会显示第一个被确认的威胁，其余的样本报告都会被分配在这个报告内。
在这个报告中就含有我后续在一段时间内测试的几个样本，都被分配在第一个报告的后续日志中。


威胁事件中的日志还会介绍威胁的详细情报。


点击威胁检测和响应的事件右上角AI报告，控制台就会根据检测到的信息，包括‌ATT&CK‌（Adversarial Tactics, Techniques, and Common Knowledge）的技术映射，恶意软件行为分析，Ioc
（入侵指标），系统上下文，四个分类详细说明运行的威胁样本行为。


还可以看进程数的这种可视化报告。


并且给出完整的解决方案。


要想处理威胁，可以选择威胁响应，威胁响应分为自动响应和人工响应，自动响应就是创建规则策略，保存以后，再遇到同类威胁会自动按照设定的策略执行操作。人工响应就是需要你自己选择解决方案，由你来决定是结束威胁进程还是隔离威胁。
自动响应的策略设置。


人工响应的选择比较多，且没有批量处理方法。


比较蛋疼的是人工响应和自动响应的策略创建，都需要短信验证码，才能完成相关操作。


威胁检测与响应的总览页面，统计的各种信息，十分方便查看。


     实际上云控制台上的设置和选项还是有很多的，这里就不逐一介绍了，大多数的操作是给管理员分析安全事件的，所以可玩性并不高，不适合普通用户折腾，我就不废话水帖了，不过天守10.0 beta的EDR部分，也就是戎码翼龙的EDR AI是真的很强，分析能力不错，大幅减轻了管理员的分析负担。

第五章：总结报告和吐槽

     第五章就是纯文本内容了，所以长度有限，先来说说天守戎码架构的优点吧，讲真的一开始我也不太觉得天守戎码架构有多强，但经过几天的严谨测试以后，发现戎码架构是真的可以在驱动层完成EDR功能，同时还能提供ASR防护规则的防御力，这真的是让我惊叹，也就是说只要天守10.0 BETA正常连接到服务器，那就算R3用户态全部被KO了，天守戎码内核也可以通过R0内核态获得ASR防护规则的保护，应该也可以获得控制台管理员下发的操作，彻底解决威胁，因为EDR传感器是可将本地行为日志上传同步到云控制台，这是很多EDR产品做不到的事情，也是我觉得天守戎码很强的重要原因。

     作为客观的评价，天守10.0 BETA是真的有很多改进，与戎码翼龙相比，有完整的本地UI（虽然没什么操作性和设置选项），与旧版本的天守6.XX相比，那流畅性可以说是天壤之别，更重要的是天守10.0 BETA是二者的完全融合体，有戎码翼龙的EDR和内核传感器架构，有天守6的本地猫头鹰引擎和特征库，以及接入云端的QDE海狮引擎以及QCE云引擎，这是真的一加一大于二的方案，各方面都不差。但是也有一些无奈的地方，那就是天守6是有本地QDE人工智能海狮引擎的，而天守10.0就没有本地QDE引擎了，也没有了QAX的安全防御架构，以及非完整版的天狗漏洞攻击防护引擎，这算是天守10.0的美中不足了，但话又说回来，QAX的安全架构和天狗引擎，就是天守6卡的根源，不取消的话，是不会有流畅体验，再加上有了戎码的内核防御体系，自然应该放弃QAX防御体系。

     当然，天守10.0 BETA也不是尽善尽美的完美产品，首先是EDR部分对管理员的技术水平要求不算太低，因为很多单一行为，不会自动生成报告，需要管理员没事就去扒EDR日志，才能查到一些东西，当然大部分时候还是会触发EDR报告的，只是人工响应的操作还是有一点繁琐，体验上真的没有MDB的EDR功能AIR好用。

     吐槽也是不能少的，虽然本地有QOWL猫头鹰引擎和特征库，但是，猫头鹰特征库不是天天更新特征库，应该是周期性更新，这就导致天守10.0 beta很依赖网络，这是我不太喜欢的地方，还有就是虽然天守10.0 BETA也有行为分析功能，也就是HIPS，但是，架构不是QAX的安全防御架构，也没有了天狗引擎，虽然天守6的天狗不是天擎的完整版天狗可依然很强，所以现在的天守10.0 BETA在主动防御方面算是退步的，这就是安全与流畅二选一的必然结果。

     目前来看，天守10.0 BETA是不适合普通用户使用的，毕竟人家本身就是给中小企业设计的SAAS产品，控制台的操作不适合没有安全技术基础知识的普通用户使用，不过，该产品是真的强大，我个人观点是不输国际一线EDR产品，绝对是国内安全软件天花板产品之一，不能说它是最强的一个，但也是最强的几个之一，反正我是非常看好天守戎码合体的架构。

     如果天守戎码架构未来推出个人版，那无论个人版多少钱，哪怕是比卡巴、ESET、Norton个人版都贵很多，我也会直接买正版，目前天守戎码架构是我最看好的国内安全软件架构之一，如果出个人版，哪怕删除EDR能力，只保留ASR防护规则的内核态防御，也是值得拥有的。

     好了，本帖到此结束，虽然原本打算测试和写更多内容的，但由于我太懒了，加上赶上了星铁送周年庆纪念画册，所以我去肝任务，以及其他一些原因，就导致本帖草草结束了，如果有天守个人版10.0的一天，我要是还有时间，那时，我们再来聊聊天守吧。

第六章：新功能体验

     本以为本帖应该完结了，我的天守10.0 beta授权，明天就过期了，然而意想不到的是天守戎码10.0 beta二连更，版本更新到10.0.0.1161，云控制台更是更新了一波新功能，最大的变化之一就是之前无法注册安全中心，导致MD与天守共存的情况，现在已经不存在了，天守小版本更新以后，提供了关闭MD选项，也就是在安全中心注册自己的存在。

     在云端控制台→安全防护→病毒查杀→查杀设置，有了关闭MD的设置选项，之前是没有这个功能的。
MD关闭选项。


控制台上设置禁用MD以后，在本地的MD确实是关闭了，进程也不存在了，更重要的是在安全中心不但注册了反病毒功能，防火墙也被注册了，不过只是注册一下，并没有替代WDF防火墙。


     这下子好了，天守戎码不单单可以跟MD组合使用，也可以单独使用了，这真的是一大进步，更重要的是有设置选项，可以根据个人需要选择是否双开安全软件，这功能我是真的非常喜欢。

     接下来，重点新功能是狩猎规则自定义和官方规则推荐，这更是个逆天的新功能，高级管理员可以自定义EDR狩猎规则，不会设置规则的管理员也不需要担心，官方提供了14个狩猎规则，只需要点几下，添加到我的规则中，并且启用规则，就可以获得相关规则的防御效果，目前狩猎规则只能有三十条，不支持扩展更多的狩猎规则。
威胁检测与响应→威胁狩猎→狩猎规则→推荐规则，就可以选择官方预设的规则，添加到我的规则中启用。


在我的规则中启用之前添加的狩猎规则，才能真正起效，添加以后不启用是没有防御效果的哟。


     其他变化也是有的，资产管理中的终端管理，也是有很多变化的，其中就有详细的威胁检测日志，不需要去翻找信息量巨大的EDR日志。


     再说一个重点新功能，性能监控，这功能不单单是简单的性能监控，更是个分析端点安全环境的全新利刃，性能监控中不但有内存和CPU使用率的监控，更有个进程监控，这是具备分析能力的功能，点击对应进程的分析，就可以对该进程的线程和模块进行分析，这是极为有用的分析功能。
进程检测信息。


线程分析，还提供了安全性检测。


模块列表，这个应该是检测注入威胁的利器了吧。


     短短的一个月时间内，天守10.0 Beta更新了这么多新功能和改进，真的是很不错了，我越来越期待天守10.0正式版发布了，但可惜的是我的试用期已经到了，不能再持续更新天守Beta的最新进展，所以理论上这个帖子不会再进行有后续更新，当然，如果天守有什么重大的新功能上线，我应该会发新的帖子，总结一下，天守戎码架构真的是在不断完善，期待着有更多的新功能实装吧，天守戎码确实是很不错的国产安全软件。

第七章：奇安云镜非EDR版体验

    原本我的天守beta版本授权过期了，但我去注册了奇安云镜，获得三十天的授权，而且依旧是戎码架构的QAX SaaS产品，不过我这云镜是标准版，不包含EDR体验包的，属于能简单续费和使用的版本，带EDR的版本有授权限制，天守那边是不卖非企业用户的，云镜虽然个人可用，但是带EDR的是有续费和端点数量限制的，所以普通用户只能玩标准版云镜。
奇安云镜标准版，无EDR功能包的授权账户。


        由于标准版没有了EDR功能，那么戎码架构引以为傲的纯内核级EDR通讯和监控是否还在呢？毕竟没有了EDR功能，还能不能触发ASR防护规则呢？如果不能，那云镜就没有最大的优势了，我自己最近有一点忙，还有在测试新的路由器，所以拖拖拉拉到现在才测试云镜标准版有没有ASR防护规则。

       先说结论，前两天戎码架构的QAX SaaS更新到10.0.0.2001的全新界面，而在全新的UI界面下方显示云规则引擎，这是不是就是ASR防护规则引擎呢？让我们来实际测试一下吧。
2001新界面我是挺喜欢的。


我比较懒，而且不是为了测查杀效果，所以我就不自己抓毒，而是使用样本区：“卡饭病毒样本包 20260612 第286期”样本包来测试标准版能不能触发ASR防护规则吧。

逐个双击，排除掉非ASR防护规则识别的样本，仅记录几个ASR防护规则阻止运行，并且没有因为引擎联动删除的样本。






上述测试已经证明在用户模式正常运行的情况下，奇安云镜标准版是可以触发ASR防护规则的，并不依赖EDR功能，那么，纯内核模式下是否保留了EDR级别的纯内核级监控呢？

强制结束奇安云镜的进程，让奇安云镜只剩下内核驱动还在工作，没有用户模式的参与。

现在运行排除掉触发ASR防护规则后因引擎联动删除的样本，直接运行样本。






      由此可见，奇安云镜标准版，在没有EDR功能加持下，依然保留了无与伦比的内核级监控，可调用ASR防护规则，阻止未知文件的运行，实际效果也非常可观，同时ASR触发的阻止会与其他引擎联动，甚至是直接删除确认为威胁的样本，也就是说如果个人版天守启用戎码架构，那么没有EDR的云控制台和规则，依然能有强大的ASR防护规则保护，这绝对是一大喜事，当然就算天守个人版不更新，奇安云镜也是非常好的选择，国内顶级的安全软件了，而且没有复杂的EDR后台日志和狩猎，简单好用。

      当然如果想获得最佳的ASR防护规则效果，需要在云端控制台的安全规则设置中，将动态行为防御中的强力查杀风险来源文件和检测到低信誉程序启动，设置为启用，也就是阻止，才能获得最佳的ASR防御规则效果。


     好了，这第七章的更新就到这里了，基本上可以确认QAX正在逐步融合戎码架构，这真的是大好事啊，我越来越期待会有天守个人版10.0产品了，真的会非常强悍，毕竟本地有猫头鹰，云有海狮和人工智能以及ASR防护规则，确实是不输国外一线的安全软件了，当然前提是有天守个人版10.0发布，没有的话，只能曲线救国的用奇安云镜了。
     最后说一句，本帖内容仅供参考，对天守10.0 BETA的评价仅是笔者我的个人主观评价，不可当真，参考可以，但是不要完全相信，笔者对该产品的评价有个人因素，所以公正性和正确性无法保证，请大家客观看待笔者对天守10.0 BETA的评价，切勿当真！

神龟Turmi

这个控制台UI类似于天擎EDR先锋版了，至少该改成蓝色的地方都改了
天守EDR纯净版那个戎码风（甚至可以说CrowdStrike风）的红色UI太出戏了
我就想看看奇安信能拿这几个东西排列组合出多少产品来（

驭龙

神龟Turmi 发表于 2026-4-12 08:11
这个控制台UI类似于天擎EDR先锋版了，至少该改成蓝色的地方都改了
天守EDR纯净版那个戎码风（甚至可以说Cr ...

其实这个天守10.0虽然很强，是戎码和QAX的合体，但给我的感觉是个半成品，不算很好用，希望可以进一步完善吧，如果天守个人版也用这个架构，那我真的会用。

另外先说个重点，主防不是QAX主防架构，也没有天狗，所以主防方面是真降级了

DisaPDB

戎码已经 结束嘞
已经是（）（）（）的形状了
其实说白了戎码被拔了用户态进程之后依然能够检测到是因为他内核也有一套实现方法……

klub

驭龙 发表于 2026-4-12 09:03
其实这个天守10.0虽然很强，是戎码和QAX的合体，但给我的感觉是个半成品，不算很好用，希望可以进一步完 ...

真心支持龙大的感受，如果个人版也是这套架构，一定购买支持奇安信

驭龙

感谢各位的支持，先说一声抱歉，今天无法如期更新了，我需要进一步观察几个情况

再加上为了拿星穹铁道三周年的纪念画册，我还要肝星铁的任务和剧情，所以第三章的内容可能要明后天才能更新，抱歉抱歉

电瓶车李某

驭龙 发表于 2026-4-12 23:28
感谢各位的支持，先说一声抱歉，今天无法如期更新了，我需要进一步观察几个情况

再加上为了拿星穹铁道三 ...

米忽悠做的局

00006666

也算是一种奇技淫巧，为了对抗而对抗，把对抗推到内核怕不是也没有好处，比如蓝屏了对企业也没有好处，当然自保会比一般的EDR高很多。

awsl10000次

可以进个人版吗？个人版有这个强度，那还真可以放弃卡巴/eset了

驭龙

00006666 发表于 2026-4-13 11:04
也算是一种奇技淫巧，为了对抗而对抗，把对抗推到内核怕不是也没有好处，比如蓝屏了对企业也没有好处，当然 ...

其实并没有那么神奇的，我还在确认，感觉它这种能力也没啥用