【原创】浅谈高级启发和主动防御

qwe1q2w

好用就可以了！

Mr.L

         学习了

   其实ESET还是相当强大的说

蝉鸣时

那个比喻有错误呢...

XMonster

支持原创，不错

songdehao

学习了

143152

回复 1楼 chenpatrick  的帖子


    基本没看懂  LZ要说什么     但偶知道      threatsense.net（国内所谓的云查杀）   是普遍特征 当然nod中也包括启发   和国内的云完全不同    行文分析对病毒库的依赖不是很大的   总结  高启不如行为分析

colorzheng

好像楼主所说的高启发指的是红伞的静态启发吧？
nod的启发不是虚拟机技术么？
ldeyw 发表于 2010.7.22 17:21

恩，我刚开始也这么觉得.......但是lz后面的比喻中 有关于nod的启发是基于虚拟技术的描写。

jefffire

查了2天资料，高启发就是针对病毒的编译代码，只要病毒含有带有威胁性的代码，就报毒，那个最明显的例子，拿 ...
chenpatrick 发表于 2010.7.21 23:24

硬伤太多了。

比如：1、“毕竟病毒分析员不是神，不可能想到所有的免杀手段，这就是为什么会有误杀”
                这个应该指的是漏杀

      2、“加了壳后，杀毒软件先要把壳给卸载了，再让病毒在虚拟机中运行。看看是不是符合病毒库里的病毒行为。”  
         明显原理概念不清。脱壳的方法很多。如果是由杀毒软件发起脱壳不外乎静态和动态两种，而你所谓的虚拟机其实就是属于动态脱壳范畴。
      

       3、“高级启发不用依靠病毒库，依靠的是NOD32独特有的threatsense.net（国内所谓的云查杀）系统。主动防御就是要依靠病毒库，依靠病毒库的大量特征码和行为代码。”
          首次听到如此高论。完全颠覆了我的常识。恰恰相反，启发才是基于病毒库的，而主防却是完全不需要病毒库的。

xin520

卡巴斯基的主动防御和eset的高启发天下无敌

jefffire

查了2天资料，高启发就是针对病毒的编译代码，只要病毒含有带有威胁性的代码，就报毒，那个最明显的例子，拿 ...
chenpatrick 发表于 2010.7.21 23:24

LZ把最最关键的一些东西给搞糊涂了。关键在于启发不需要病毒样本虚拟运行或真正运行，基于的是数据挖掘对比。
而主防是样本真正运行起来后根据实际的行为来判定的，因此完全不需要考虑脱壳之类的东西。