如何理解杀软的启发 / 什么是启发式？

Atlantis祭司

RT

启发式这个词是接触杀软就一定会听说的一个词。虽然经常听说，耳边几乎每天都可以听到“启发”。那到底什么是启发呢？或者该如何理解杀软的启发呢？

每款杀软的启发都是不一样的，那么它们各自的启发又有什么区别呢？

望高手能够做个深入浅出的适合小白理解的解答。谢谢了。

maozi778631

　　启发式：简化虚拟机和简化行为判断引擎的结合
　　Heuristic(启发式技术=启发式扫描+启发式监控)
　　重点在于特征值识别技术上的更新、解决单一特征码比对的缺陷。目的不在于检测所有的未知病毒，只是对特征值扫描技术的补充。
　　主要针对：木马、间谍、后门、下载者、已知病毒(PE病毒)的变种。
　　启发式技术是基于特征值扫描技术上的升级，与传统反病毒特征值扫描技术相比，优点在于对未知病毒的防御。是特征值识别技术质的飞跃。
详见http://baike.baidu.com/view/1139897.htm

syfwxmh

启发有很多种启发

1、动态启发
主要是利用虚拟机，进行脱壳，并根据混合库进行比对，这也是大部分厂商用到的，但是由于其消耗大量资源很多厂商都放弃了这种方式。

现在主要运用这个方式的有ESET，卡巴等

2、静态启发
这个主要是通过单一混合库进行启发，或者是广谱特征码（不同于gen）的一种查杀方法。这样可以省去很多系统资源，但是效果不如动态启发来的好。

还有很多种启发方式，这只是其中比较常见，还有一些不在这里说了。总之启发技术是主动防御里的一部分：）

syfwxmh

自己补充一下，动态+静态都是混合用的，卡巴ESET两种技术都用了，其中ESET在控制资源上和定位上做的很优秀：）

IllusionWing

说白了就是杀软检测未收录特定病毒的一种方式

aerbeisi

5楼说的通俗易懂，赞一个！

hum

本主题由 shenrenrenren 于 2009/2/2 19:50 移动



移动到样本区
[:08:] [:08:] [:08:]




就是通过某种技术手段来检测位置病毒的方法........

淡青呀有

说白了..启发就是拿来对付未知的.也就是病毒特征库没有的病毒的..

q534880003

这种贴怎么移动到样本区呢？真搞不懂。

allinwonderi

好像移动错了，怎么跑到样本区了