科技行者

行者学院 转型私董会 科技行者专题报道 网红大战科技行者

知识库

知识库 安全导航

至顶网网络频道金山毒霸技术总监陈睿:清除木马比病毒难数倍

金山毒霸技术总监陈睿:清除木马比病毒难数倍

  • 扫一扫
    分享文章到微信

  • 扫一扫
    关注官方公众号
    至顶头条

近日,在"2008反病毒技术发展趋势研讨会"上,金山毒霸技术总监陈睿向记者表示,"木马已经成为现代网络安全的主要威胁,但由于目前多数杀毒厂商仍使用反病毒的成熟技术来反木马,导致木马的清除难度是传统电脑病毒的数倍。"

作者:论坛整理 来源:zdnet网络安全 2008年2月27日

关键字: 杀毒软件 木马 反病毒 病毒防范 防病毒 病毒

  • 评论
  • 分享微博
  • 分享邮件

近日,在"2008反病毒技术发展趋势研讨会"上,金山毒霸技术总监陈睿向记者表示,"木马已经成为现代网络安全的主要威胁,但由于目前多数杀毒厂商仍使用反病毒的成熟技术来反木马,导致木马的清除难度是传统电脑病毒的数倍。"

陈睿指出,为什么现在很多用户仍然抱怨病毒杀不掉,因为用户并不明白,并非病毒杀不掉,而是木马杀不掉,或者是流氓软件清理不干净。陈睿表示,对木马的防御技术现在远远不如反病毒技术成熟。其实任何工作都是这样做,一个新的需求出现后,一般先采用成熟的技术进行应对,现在木马正处于这样一个阶段,现在所有厂商试图用反病毒成熟技术查杀脱壳木马,它对于木马的效果远远不如病毒。陈睿从三个方面剖析了木马为何比病毒更难清除:

第一个特征码对木马作用非常小,因为木马传播是手工投放,手工投放会经常改程序,强调的是小范围多次入侵。今天投放完了以后,明天可以把程序改一改再投放,特征码作为一种静态识别技术对于改程序适应面很窄。

第二个启发式搜索对木马作用也不大,因为它更多是基于人工智能分类,举个例子,虽然不知道你是不是病毒,他觉得你像,为什么觉得你像,是类似于推理觉得像,基于过去对病毒数据的分析,这个就要求我们查杀对象技术具有相似性,但是木马没有固定的技术特点,因为木马的共性主要是在社会工程学,它欺骗伪装,这些都不能用一个很固定的技术特点来界定,所以启发式搜索对木马识别率较低。

第三个给我们造成巨大困扰的就是木马作者很"勤奋",因为他们有巨大的商业利益驱动,一个木马传播一次收回来十几万,再传播一次就二十万,所以木马的更新非常快。"犯罪的利润要比抓贼的利润高"。

随着互联网应用的发展木马的比例越来越高,但是反病毒厂商对木马的防御能力一直在徘徊中前进,随着木马的发展和木马的比例包括木马对用户的危害越来越高,各大杀毒厂商均推出了以"防御"为主的解决方案。

以金山毒霸为例,金山毒霸2008在原有数据流杀毒的基础上,提出了全新的"病毒库+主动防御+互联网可信认证技术"为一体的"三维互联网防御体系",即在病毒库和主动防御的基础上,采用了全新的"互联网可信认证"技术,近而大大提高了对未知木马病毒防御能力。

陈睿指出,在现有技术水平下要提升木马的防御能力只能提高两个关键点,第一个是特征码的识别率,第二个是如何减少恶意识别对用户的骚扰,尽可能做到自动判定。金山毒霸2008提出的"三维互联网防御体系"即在"病毒库+主动防御"的基础上,增加了"可信认证技术",当用户的系统遇到无法准确判断其性质的可疑行为时,即链接金山毒霸的服务器,通过"毒霸互联网可信认证中心"瞬间即可完成判断以及后续的处理工作,大大提高了对木马的识别能力,因而一方面避免了对普通用户的困扰,又能够有效地堵塞安全漏洞,进而增强对木马的查杀能力,也提升了对未知木马病毒的响应速度。

而作为金山毒霸的"互联网可信认证中心",首先通过"网络蜘蛛"的技术,将互联网上每秒钟内刚生成的可执行文件全部"抓"回来,然后通过自动以及人工的分析,以秒为单位对服务端的可信认证中心及病毒库进行刷新;一旦在客户端遇到可疑行为,依据特征码不能够判定的,马上链接至服务端进行判定。这样一来不但提升了杀毒软件对新病毒的响应速度,而且也增强了杀毒软件的查杀病毒的能力,可以说是一举两得。

    • 评论
    • 分享微博
    • 分享邮件
    邮件订阅

    如果您非常迫切的想了解IT领域最新产品与技术信息,那么订阅至顶网技术邮件将是您的最佳途径之一。

    重磅专题
    往期文章
    最新文章