问一个问题，没有主防启发情况下的防御是怎样进行的？

q4585406

回复 40楼 jobking2006 的帖子

但是沙箱会限制程序的一些动作，加载驱动什么的不让...启发还是扫描上用到吧？防御上还怎么虚拟。

jobking2006

q4585406 发表于 2011-1-9 19:58
回复 40楼 jobking2006 的帖子

但是沙箱会限制程序的一些动作，加载驱动什么的不让...启发还是扫描上用到吧 ...

这是对主动防御的一种误解。所谓“防御”，进攻也是一种防御。启发的主动防御含义在于主动诱发病毒发作并干掉他。启发也可以用在监控上，这一点和传统的杀软引擎监控方式类同。没有主动防御之前，杀软不都靠监控过日子么？传统监控的缺点是可能干掉了内存中的病毒，但是没有阻止它的行为。但是监控中代入启发的话，拥有虚拟缓冲区，还是有一定能力阻止它的行为的。

q4585406

回复 42楼 jobking2006 的帖子

就是用杀毒引擎扫描运行中的文件吧，文件运行一次就扫描一下？

jobking2006

q4585406 发表于 2011-1-9 20:32
回复 42楼 jobking2006 的帖子

就是用杀毒引擎扫描运行中的文件吧，文件运行一次就扫描一下？

动态启发应该算制造虚拟缓冲区诱使本来还不会发作的病毒发作，怎么算是文件运行一次就扫描一下呢？而且现在启发技术里带有行为分析规则的，你说这不是主防是什么

q4585406

回复 44楼 jobking2006 的帖子

那程序要执行的代码且不是得先挂起延迟了，让启发先测试下？

opera2011

路过。学习了

jobking2006

q4585406 发表于 2011-1-9 21:03
回复 44楼 jobking2006 的帖子

那程序要执行的代码且不是得先挂起延迟了，让启发先测试下？

不会啊。应该是不影响执行的。因为虚拟缓冲区也是个虚拟环境，就好像沙箱一样，无论是安全还是不安全的程序都可以执行。但是如果有病毒发作，启发会干掉病毒，而病毒产生的作用也只是在虚拟环境中不影响系统环境。而安全的程序的影响则会被正常转移。我理解的就是这样，但貌似虚拟缓冲区只是局部的，不像沙箱那样几乎完全模拟真实系统环境了，所以容易突破吧。而且这样的动态启发很占用资源的，不能作为一种主动防御的发展趋势。个人觉得还是复合型智能主防才是发展趋势，像诺顿的sonar一样。hips太死板了，难以普及，而且怎么样都不会有百分百的拦截规则存在的。

q4585406

回复 47楼 jobking2006 的帖子

在沙盒中运行不影响系统，但是如果要注入真实系统的程序（比如某些修改器）那不就是被拦截了？nod32就是以启发防毒和扫描，而且一点也不卡系统。

jobking2006

q4585406 发表于 2011-1-9 21:53
回复 47楼 jobking2006 的帖子

在沙盒中运行不影响系统，但是如果要注入真实系统的程序（比如某些修改器） ...

我印象里沙箱只是会把这些改动重定向。比如修改器修改了某个游戏，你看到的确实是这个游戏被修改生效了。但是一旦关闭沙箱里的进程，这些修改就被还原了。但这个东西还真没试过。不同的沙箱的功效不一样。如果是sandboxie，我认为应该是会在沙箱里生成一个新的被注入的进程。和外界的进程不搭嘎。但如果是bufferzone的话，应该就是关闭沙箱里的进程后会还原被修改的操作。沙箱玩得不够多，还不能完全解答。

q4585406

回复 49楼 jobking2006 的帖子

你觉得哪个沙盘比较好用？