反病毒方法现状.挑战与改进(下).pdfVIP

第 10 卷  第5 期  2014 年 5 月 ＊ 反病毒方法的现状、挑战与改进（下） 肖新光 安天实验室 关键词 ：高级持续性威胁　黑白名单　归一化　沙箱 特邀专栏作家 基本方法的再解读与 样本的采集反而更有针对性、也 单机制有其历史必然性，这也是 APT场景下的新思考 能形成一定的覆盖率 ； 在当时的计算机场景条件下，逐 第三 ，DOS 时代的可执行 个淘汰选择出的唯一可行方法。 文件格式非常简单，设计可执行 但今天的反病毒技术也并非 黑与白：关于识别模型 文件时未考虑签名与验证问题， 一个纯黑的机制，也有多个技术 黑名单与白名单的模式选择 如DOS_ COM 甚至没有一个固 点使用了白名单机制。而检测位 对于恶意代码的检测和防护 定的文件头部的标识，这就导致 置有基于客户端的，也有基于云 问题，长期以来无休止的争论是， 其不可能基于一套证书签名验证 的，其作用是误报的快速解除、 以黑名单还是以白名单为主导更 机制来实现可靠的文件验证，而 未知检测方法的检出能力与误报 为合理。由于反病毒技术从特征 当时的网络发展也不具备建立一 率的合理平衡、文件上报前的消 到行为的识别模式可以视为一套 套动态的CA(certificate authority) 重等。 以黑名单为主的机制，而这套机 认证体系的条件 ； 在2006 年前后，反病毒的 制看起来更容易被绕过，也容易 第四 ，在没有数字签名机制 模式也已经从简单的黑、白思想 遭到白名单技术倡导者的诟病。 的情况下，必然要采用以 “一文 转为信誉模型。信誉模式综合 但如果回到反病毒产品发 件一全文HASH”的机制来建立白 考虑了一些轻度的安全威胁，以 展的起点，即1986 年个人电脑 名单。而病毒检测恰恰相反，一 及同样的文件出现在不同的场 病毒出现之后的DOS 操作系统， 条高质量的规则能检测多个样本， 景中可能有不同的安全结论。很 我们就会注意到以下事实 ： 在当时正常软件的文件数量远多 多安全产品在初次安装时，将主 第一 ，绝大部分软件是以磁 于病毒种类的情况下，必然导致 机现有的可执行文件建立为安全 盘为发布介质的商业收费软件， 正常文件HASH 数将远多于反病 基线，而对于新出现的文件，则 加之没有广泛覆盖的网络通讯条 毒规则的条数。在当时内存和计 在首次执行时会进行沙箱执行分 件，所以广泛搜集这些软件用以 算资源非常有限的情况下，一个 析，以及向云端提交，同时对终 形成白名单本身就非常困难 ； 安全软件如果使用了过多的内存 端的信誉评级也会影响到文件的 [1] 第二 ，恰成对比的是，当时 资源，用户肯定是不能接受的。 采集策略。卡巴斯基的K SN 、 的病毒多数是主动传播的，病毒 因此，反病毒技术选择黑名 赛门铁克的Insight [2] 等都是代表 * “反病毒方法的现状、挑战与改进 （上）”一文见CCCF 20 14年第4期P40 。 57 专栏 第 10