Norton360 V3，试用感受~！

jpzy

上次试用NIS2009，我用了一个标题“没有想象中华丽”，结果招来了不少人的反对。这次我老老实实的写了四个字“试用感受”，没有用我想好的标题“没有想象中强大”。呵呵

安装，设置的图，我看到已经有人截了。我就不说废话了。直接切入正题。

试用感受首先就是流畅性和资源占用。

NIS09最大的变化其实就在资源占用上。无论是铁壳玩了小花样也好，还是增加了自动释放内存也好，铁壳的新版资源占用同比大幅下降是个不争的事实。N360既然集成了09的核心，自然表现也不俗。在我的512M的虚拟机上，未安装N360以前，开机PF70M，安装了N360以后，开机PF是150M（稳定后），做为一个带有反病毒，防火墙，自动整理和备份功能的安软套装来说，80M PF（注：不是物理内存80M）的资源占用不能说合理，应该算是惊艳了~！



开机速度也相比V2版本有了较大的提升。从我重启到重启完成，一共只有1分钟时间。唯一一点可以算作是缺点的恐怕就是开机的PF要比稳定后稍高。开机完成以后（桌面和托盘的所有图标均出现，进入可以进行任意操作的状态），一段时间内（大概2~3分钟），N360的两个进程的内存占用从50M一路下降，最终会稳定在两个进程加起来占用4~6M的状态。这段时间的CPU曲线也不够稳定。不过不影响流畅性和用户的任何操作！

其次，相比V2，V3版的铁壳发生了一些小小的变化。我没有找到后台扫描的选项，PC自动整理也可以在调度任务里关掉，我保留了windows临时文件清理这个功能，使用中感觉不到后台有任务运行。N360还是保持了这一系列的一贯作风。简洁，简单，易用。基本上看不到专业的设置项目。不过唯一让人不爽的就是升级仍然只有个进度条在跑，看不出下载了多少数据，升级进行到了哪一个步骤！

扫描的速度还算合理。虚拟机8G的硬盘，实际使用空间不到一半。大概2~3万个文件吧。扫描了10分46秒！

安全性方面，我进行了几个小测试。首先是网页测试。毒网区找了三个挂马网页依次登上去，第一个页面没反应……汗；第二个页面Norton的工具条报了不安全……囧；第三个终于看到了提示信息，自动防护阻止了downloader。点击查看详细信息，发现一共阻止了8个……呵呵。

接下来是特征码测试，选择了kafan.Virlist.2009.03.29样本包，一共134个样本，解压缩以后，铁壳自动开始清除。一共杀剩了16个文件。检出率88%。算是正常水平吧。

因为铁壳带有行为分析模块Sonar。所以我想测一测Sonar的能力。首先是运行了一个毒网分析区（http://bbs.kafan.cn/thread-451162-1-1.html）帖子里面的样本bb.css，其实这个bb是个exe，用文本文件打开就能看出来。修改后缀成exe，然后双击运行。什么反应也没有……汗~~~~打开历史记录一看，bb.exe提示是低威胁，行为不多，主要是修改注册表，添加了N多个IFEO项目。手动结束了bb.exe的进程后，用Autoruns清理注册表IFEO项目的时候发现，居然没有添加ccshstsvc.exe………我是该高兴呢，还是……(注：后面发现的ini文件应该是这个bb.exe生成的。bb.exe本身应该是个下载者，如果是在网页上，估计很有可能能够被铁壳拦截，本地运行的话就…………)

继续测试Sonar。刚才扫描样本包剩下了16个。于是选择了一个样本，运行瞬间报了Suspicious.MH690.A，估计是生成物被干掉了。另外选择了一个样本（20090329-2-3.exe），运行，没反应！看日志，这个样本释放了几个文件，还添加了两个启动项……汗~~~~手动停止了进程中可疑的东东。隔了一会儿，N360弹出提示“Sonar发现威胁20090329-2-3.exe”，“Sonar自动阻止威胁”，然后Norton弹出提示框要求重启。从此，陷入噩梦……，每次重启，都是同样的提示：“Sonar发现威胁20090329-2-3.exe”，“Sonar自动阻止威胁”，要求重启…………重启到第三次。我终于崩溃了。解压缩了一个Wsyscheck，结果解压缩完成瞬间，Wsyscheck被杀了，提示是Trojan Horse。无语……找冰刃…………用冰刃强制删除了两个可疑进程的文件，然后用Autoruns检查了启动项目。重启，居然还有。看来没杀干净。又做了一遍，然后重启，终于清净了，任务管理器也恢复了正常显示。

打开日志查看了一下。发现了可能的原因。一开始运行20090329-2-3.exe的时候，Norton提示低威胁，然后日志显示统计提交，应该是通过网络提交给了Norton，很快日志里面出现了提交反馈，提交反馈看不出什么东西。但是从提交反馈回来以后，Sonar开始报了。但是此时病毒已经运行了，释放文件，添加启动项等工作都已经完成了。这个病毒还是个双进程互相守护的病毒，挺不容易干掉的。所以后来每次重启Norton都提示发现了病毒但是都杀不掉！因为杀掉了20090329-2-3.exe，但是它释放的守护进程，Norton没有检查到，所以每次重启，守护进程都会自动恢复这个病毒本体。

由此可见，Sonar本身还是无法与微点，TF等行为分析工具相比的。甚至跟NAB比也还有差距。微点，TF的最大特点就是生成物也完全在监控之中。一旦发现问题，本体和生成物都会被隔离。TF甚至会追杀到释放病毒本体的winrar等工具。而Sonar这次显然漏掉了生成物，每次都杀本体的结果就是完全杀不掉这个病毒！

后续基本上没有细致的测试了。运行过某个样本以后（不确定是哪个了），我的system32路径下多了一个ini文件，里面是个下载列表。一共四个样本。下载下来以后，其中两个可以被特征码查杀，一个运行的时候报了生成物，另外一个1.exe运行后Sonar报警，手动结束它的进程后，Sonar完美的杀掉了！

仔细查看了一下1.exe的日志。有点小崩溃……运行后1.exe以后，首先Norton仍然报低威胁，修改启动项，主页和联网都被允许。然后病毒自动下载了一个alg.exe到windows的某个路径下。报低威胁后，又是一个统计提交，在统计提交和提交反馈之间，1.exe的联网行为被防火墙放行了。显示防火墙自动创建了1.exe的规则。在统计提交回来以后，1.exe下载的alg.exe被报为Hacktool，并且又是一次统计提交。这次提交反馈回来以后，Sonar才报了1.exe为高威胁。并且开始清除！



上一张图吧。从运行1.exe开始，到1.exe被Sonar拦截的全部日志。



再补一张图。这张图上的时间和上一张图的可以对比。这个就是提交1.exe到Norton社区的详细日志。

很显然，Norton的Sonar是要联网才会发挥作用的（此处为猜测）。并且在统计提交以后到反馈之间这段时间，病毒的所有行为是被允许的。这一点无疑很可怕。如果是一个恶性的病毒，这点时间已经够加驱干掉铁壳了（如果特意针对铁壳的话）。

我的测试暂时就到这里了！没有继续测下去！Norton360 V3相比它的上一代产品V2，应该说还是有进步的。界面功能设置的小小调整，更加的人性化了。日志也可以查看了。后台任务可以很容易的关闭。后台扫描任务应该是去掉了。资源占用跟NIS09一样惊艳。流畅性和易用性相当的优秀。至于安全性，访问毒网下来，无论报警与否，机器都无异常。所以应该算是成功防护了。特征码检出率也能保持在主流的水准上，算上行为分析，应该能有90%以上的检出率。

缺点呢，Sonar行为模块并没有想象中那么强大。昨天一个朋友测试了NIS09的Sonar，据他说，他运行了11个行为特征比较典型的样本，NIS09的Sonar只拦截了1个（不知道他是不是没有联网）。而我今天的测试，虽然Sonar没有那么糟糕，但是也不是想象中那么完美。希望铁壳能够在这方面继续努力，让产品的防护效果能够达到更高的水准！

jpzy

码字好累！不知不觉写了这么长！不知道有几个人能有耐心的把它看完！补了两张图~！好累啊~~~~

swp2000

应该给你加分 写的挺认真啊

残缺的唯美

11个病毒 报1个..  明确的告诉你 联网了

zachary1202

看完了，极品职员同志辛苦了，一如既往的客观

wudiwusuowei

我已经看完,写的还算中立,世界上没有完美的东西,只有使用者平时的细心,才能
达到事半功倍的效果.

嘁。不稀罕~

做为一个带有反病毒，防火墙，自动整理和备份功能的安软套装来说，80M的资源占用不能说合理，应该算是惊艳了~！

误区误区。。。很多人都认为，功能增多，资源增大这是常理，所以你认为以诺顿360的功能来说，资源占用很“惊艳”，但你忽略了，很多功能不是常驻的，而是即用即开。360开机加载的与NIS一样，都只是安全方面的组件（当然版本不同略有差异）。

nickhuang

我看完了。呵呵

jpzy

原帖由 嘁。不稀罕~ 于 2009-3-31 18:19 发表


误区误区。。。很多人都认为，功能增多，资源增大这是常理，所以你认为以诺顿360的功能来说，资源占用很“惊艳”，但你忽略了，很多功能不是常驻的，而是即用即开。360开机加载的与NIS一样，都只是安全方面的组件 ...

不管怎么说，阿贝版主可以对比一下很多纯反病毒和套装的资源占用。我之前测试的咖啡2009 3in1套装的占用大概是开机180M PF！即使只考虑反病毒和防火墙两个模块，应该也算是惊艳了吧！1

ikimi

原帖由 jpzy 于 2009-3-31 18:09 发表
上次试用NIS2009，我用了一个标题“没有想象中华丽”，结果招来了不少人的反对。这次我老老实实的写了四个字“试用感受”，没有用我想好的标题“没有想象中强大”。呵呵

安装，设置的图，我看到已经有人截了。我就 ...

楼主的帖子怎么出现两个


[ 本帖最后由 jpzy 于 2009-3-31 18:19 编辑 ]

[ 本帖最后由 jpzy 于 2009-3-31 18:26 编辑 ]

纳闷一下