原来2010的sonar 依靠的真的是社区云

weater

早上发了sonar 的误报，经过jp 的跟踪，发现没有什么值得注意的地方。
才我又试了sonar  对于社区云没有资料的软件，终于有了一个惊人的发现，
看附件图
第一张是我第一次运行时 ，sonar 报警，我点了允许运行，看记录有NCW的信息，第二张图。
我马上换系统（双系统），在另一系统下，再次运行此程序，第三张图，发现sonar没警告，只是记录允许运行。
在此基础上，运行了几个，同样如此。 可见sonar 是依靠社区云的。
猜测sonar 的工作原理是这样，再过特征扫描的情况下，sonar开启，监控运行的程序，首先肯定是验证数字签名等类似的东西，没有的话重点跟踪注册表、启动项、联网活动等地方 ，依靠社区资料，如果无则给让用户判断，默认是阻止隔离。有则分两种情况：一种是大部分人选择的同一运行，则允许运行，一种是给出警告，直接隔离。本人水平很低，靠猜测，希望大大们验证下。不知道JP 可否实验下。

[ 本帖最后由 weater 于 2009-9-15 16:06 编辑 ]

MySince

很好很强大。
  沙发

我们曾经是战士

怎么楼主的图好像是
凑得
有中文也有鸟语

jpzy

断网的情况下是依赖本地的。
社区的意义就在于，可以丰富白名单。估计多数人点击允许的软件，就会自动被允许。

这个测试比较麻烦，我就不做了~~~

TurnRight

不知道它除了收集文件的hash之外，还收集了哪些东西，不过当初装测试版时候，就很讨厌这个功能

weater

双系统  XP是英文版的NAV   7是中文NIS

weater

哦

gzy_hao

不对
第一次SONAR提示你是因为这个文件很可疑，NCW的信息只是给你一个提示到底拦不拦截
而第二幅图的NCW信息是你获取这个文件后，Norton从特征码分析觉得有点可疑，所以To NCW，我解压Kafan Virlist后（没运行），看NCW的记录，也有这么一大堆的feedback

再一个，你最后的猜测是不对的，即使有社区资料，SONAR认定为威胁后，社区资料里只要不是大多数人信任，就清除，而认定为可以后，如果社区资料里是大多数人信任，就通过，如果不是，问用户

jpzy

联网情况下，还原了好几次LZ给的电子书，死活就是过不了Sonar。

右键选择Norton智能文件分析，将文件设置成信任，一运行照样被干掉。

gzy_hao

看来只有社区彻底信任才行
自己信任不行（自己信任只管扫描）