病毒防治技术的前沿地带.ppt

病毒防治技术的前沿地带 瑞星公司 谈文明 计算机病毒的历史渊源病毒防治技术的现状病毒防治技术的趋势前瞻国内外病毒防治技术的发展态势 1 计算机病毒的历史渊源 1 计算机病毒的定义 所谓计算机病毒 是指隐藏在计算机系统的数据资源中的 利用系统数据资源进行繁殖并生存 能影响计算机系统正常运行并通过系统数据共享途径进行感染的程序 2 计算机病毒的特征 破坏性传染性隐蔽性寄生性触发性 3 计算机病毒的历史渊源 DOS时代的AIDS病毒 Windows95 98时代大名鼎鼎的CIH病毒 CIH作者陈盈豪 WindowsNT时代的白雪公主病毒 巨大的黑白螺旋占据了屏幕位置 使计算机使用者无法进行任何操作 席卷全球的NIMDA病毒 4 人类为防治病毒所做出的努力及结论 网络安全网络版单机版防病毒卡 结论 人类将与病毒长期共存 2 病毒防治技术的现状 1 目前广泛应用的3种技术 特征码扫描法 特征码扫描法是分析出病毒的特征病毒码并集中存放于病毒代码库文件中 在扫描时将扫描对象与特征代码库比较 如有吻合则判断为染上病毒 该技术实现简单有效 安全彻底 但查杀病毒滞后 并且庞大的特征码库会造成查毒速度下降 虚拟执行技术 该技术通过虚拟执行方法查杀病毒 可以对付加密 变形 异型及病毒生产机生产的病毒 具有如下特点 在查杀病毒时在机器虚拟内存中模拟出一个 指令执行虚拟机器 在虚拟机环境中虚拟执行 不会被实际执行 可疑带毒文件在执行过程中 从虚拟机环境内截获文件数据 如果含有可疑病毒代码 则杀毒后将其还原到原文件中 从而实现对各类可执行文件内病毒的查杀 文件实时监控技术 通过利用操作系统底层接口技术 对系统中的所有类型文件或指定类型的文件进行实时的行为监控 一旦有病毒传染或发作时就及时报警 从而实现了对病毒的实时 永久 自动监控 这种技术能够有效控制病毒的传播途径 但是这种技术的实现难度较大 系统资源的占用率也会有所降低 2 病毒的新特点 病毒与其他技术相融合 某些病毒及普通病毒 蠕虫 木马和黑客等技术于一身 具有混合型特征 破坏性极强 传播途径多 扩散速度快 很多病毒与internet和intranet紧密结合 通过系统漏洞 局域网 网页 邮件等方式进行传播 扩散速度极快 目前此类病毒已有2000种之多 欺骗性强 很多病毒利用人们的好奇心理 往往具有很强的诱惑性和欺骗性 使得它更容易传染 如 库尔尼科娃 病毒即是利用网坛美女库尔尼科娃的魅力 大量消耗系统与网络资源 计算机感染了REDCODE等病毒后 病毒会不断遍历磁盘 分配内存 导致系统资源很快被消耗殆尽 最终使得计算机速度越来越慢或网络阻塞 病毒出现频度高 病毒生成工具多 早期的计算机病毒都是编程高手制作的 编写病毒是为了显示自己的技术 但库尔尼科娃病毒的设计者只是修改了下载的VBS蠕虫孵化器变生成了该病毒 这种工具在网络上很容易就可以获得 因此新病毒的出现频度超出以往的任何时候 智能引擎技术 智能引擎技术发展了特征码扫描法的优点 改进了其弊端 使得病毒扫描速度不随病毒库的增大而减慢 刚刚面世的瑞星杀毒软件2003版即采用了此项技术 使病毒扫描速度比2002版提高了一倍之多 3 魔高一尺 道高一丈 反病毒技术也随着病毒的发展而发展 新技术包括 计算机监控技术 文件实时监控内存实时监控脚本实时监控邮件实时监控注册表实时监控 嵌入式杀毒技术 嵌入式杀毒技术是对病毒经常攻击的应用程序或对象提供重点保护的技术 它利用操作系统或应用程序提供的内部接口来实现 它对使用频度高 使用范围广的主要的应用软件提供被动式的防护 如对MS Office Outlook IE Winzip NetAnt等应用软件进行被动式杀毒 未知病毒查杀技术 未知病毒技术是继虚拟执行技术后的又一大技术突破 它结合了虚拟技术和人工智能技术 实现了对未知病毒的准确查杀 压缩智能还原技术 世界上的压缩工具 打包工具 加 壳 工具多不胜数 病毒如果被这样的工具处理后被层层包裹起来 对于防病毒软件来说 就是一个噩梦 为了使用统一的方法来解决这个问题 反病毒专家们发明了未知解压技术 它可以对所有的这类文件在内存中还原 从而使得病毒完全暴露出来 多层防御 集中管理技术 反病毒要以网为本 从网络系统的角度设计反病毒解决方案 只有这样才能有效地查杀网络上的计算机病毒 在网络上 软件的安装和管理方式是十分关键的 它不仅关系到网络维护和管理的效率和质量 而且涉及到网络的安全性 好的杀毒软件需要能在几分钟之内便可轻松地安装到组织里的每一个NT服务器上 并可下载和散布到所有的目的机器上 由网络管理员集中设置和管理 它会与操作系统及其它安全措施紧密地结合在一起 成为网络安全管理的一部分 并且自动提供最佳的网络病毒防御措施 病毒免疫技术 病毒免疫技术一直是反病毒专家研究的热点 它通过加强自主访问控制和设置磁盘禁写保护区来实现病毒免疫的基本构想 实际上 最近出现的软件安全认证技术也应属于此技术的范畴 由于用户应用软件的多样性和环境的复杂性 病毒免疫技术到广泛使用还有一段距离 3 病毒防治技术的趋势前瞻 加强对未知病毒的查杀能力 加强对未知病毒的查杀能力是反病毒行业的持久课题 目前国内外多家公司都宣布自己的产品可以对未知病毒进行查杀 但据我们研究 国内外的产品只有少数可以对同一家族的病毒进行预警 不能清除 目前瑞星公司已经在这一领域取得了突破性的进展 可以对未知DOS病毒 未知PE病毒 未知宏病毒进行防范 其中对未知DOS病毒能查到90 以上 并能准确清除其中的80 未知PE病毒能查到70 以上 未知宏病毒能实现查杀90 防杀针对掌上型移动通讯工具和PDA的病毒 随着掌上型移动通讯工具和PDA的广泛使用 针对这类系统的病毒已经开始出现 并且威胁将会越来越大 反病毒公司将投入更多的力量来加强此类病毒的防范 介绍六种面向手机电话等便携式信息设备的 EPOC 上运行的病毒 EPOC ALARM 持续发出警告声音 虽无大害 但很烦人 EPOC BANDINFO A 发作时将用户信息并为 Somefoolownthis EPOC FAKE A 会在手机的屏幕上显示格式化内置硬盘的画面 但实际上并不会执行格式化操作 EPOC GHOST A 会在画面上显示 Everyonehatesyou EPOC ALIGHT A 会使背景灯持续闪烁 EPOC ALONE A 可使键盘操作功能丧失 可及时输入 Leavemealone 来解除病毒常驻 兼容性病毒的防杀 目前已经发现可以同时在微软WINDOWS和日益普及的LINUX两种不同操作系统内运作的病毒 此类病毒将会给人们带来更多的麻烦 促使反病毒公司加强防杀此类病毒 蠕虫病毒和脚本病毒的防杀不容忽视 蠕虫病毒是一种能自我复制的程序 驻留内存并通过计算机网络复制自己 它通过大量消耗系统资源 最后导致系统瘫痪 给人们带来了巨大的危害 脚本病毒因为其编写相对容易正成为另一种趋势 这两类病毒的危害性使人们丝毫不能忽视对其的防杀 网络病毒将大肆传播 互联网为广大用户打开了神奇万千的世界 同时也打开了潘多拉的盒子 因其通过网络进行传播而具有传播速度快 危害性极大而给人们造成了巨大损失 早期的 美丽杀 曾使美国300多家大型公司的服务器瘫痪 近期的NIMDA在美国出现之初就有15万台PC受感染 造成5 3亿美元的损失 我们将加强网络病毒的防杀能力 4 目前国内外防病毒技术的发展态势 国内外反病毒公司在反病毒领域各有所长 国内外产品竞争激烈 随着中国加入WTO 多家国际反病毒公司均加大了对中国市场的力度 国内以瑞星为首的反病毒公司不仅在积极拓展巩固国内市场 而且正逐步推向国际市场 国内反病毒企业发展势头强劲 单机版市场国内产品占有绝对优势 网络版市场国内企业也丝毫不逊