从追杀到"主动防御" 从瑞星2008看安全行业变革

　　10月16日瑞星公司正式发布瑞星杀毒软件2008版新品。年年岁岁花相似，信息安全厂商惯例的年度新品发布，无非是增加了新技术、新功能，或者在查杀性能、服务水平上进行了改进。而此次瑞星2008新品的发布，却受到广大用户乃至整个安全行业超出常规的关注。

从数月前的新品公测开始，众多媒体连篇累牍的报道，各个技术论坛上，也充满了用户对瑞星新品的讨论和试用感受。

　　瑞星副总裁毛一丁表示，引起如此热烈的关注是预期中的，因为这款新品完全不同于以往的的反病毒产品，无论对瑞星还是对整个信息安全领域来说，都是一次巨大的变革。“变革当然有风险“，毛总告诉记者，从08版的产品定位、整体策略到开发，瑞星的工程师们都面临着巨大的挑战和压力——创新的步子是不是迈得太大，产品的实际应用效果如何，广大普通用户能不能适应这种改变，能不能很快上手使用。

　　值得欣慰的是，上千万用户数个月的试用效果证明，这款新品性能稳定、操作简单，更重要的是，完全实现了当初的设计思路——先防御后查杀，“主动防御”和“特征码查杀”相结合，实现对未知木马病毒和恶意程序的有效防范，完成防杀木马病毒、保护用户网上财产这一安全产品当前最重要的任务。

　　安全厂商的困境和希望

　　记者安装了瑞星2008新品后发现，软件界面完全不同于瑞星以往的产品，也迥异于其它杀毒软件，除了“杀毒”、“监控”等传统功能外，增加了“防御”、“安检”等新的功能模块，难怪在论坛上许多参加试用体验的用户大呼“看不懂”。

　　据介绍，瑞星2008新品最大的变化是，“主动防御”成为和查杀毒相并列的主要核心功能。“主动防御”是HIPS（Host Intrusion Prevent System，基于主机的入侵防御系统技术）、恶意行为分析、隐藏进程检测等多种技术的统称，是全球信息安全技术的主要发展方向之一。

　　该技术通过对电脑系统进行预先加固，对容易遭到攻击的注册表键值、系统关键位置进行监控，从根本上防止未知新病毒的感染和偷窃等行为；还通过智能恶意行为判定引擎，对未知病毒进行判定，从技术上阻止未知病毒对系统的侵袭。也就是说，即使用户被杀毒软件还未截获、无法查杀的新病毒感染，这些病毒也难以对用户造成侵害。

　　“主动防御”最初的萌芽，是安全工程师们试图弥补传统“特征码查杀”技术的致命弱点——过分依赖对新病毒的截获能力和速度。目前反病毒主流技术依然是沿袭多年的“特征码查杀”技术，其工作流程是“截获-处理-升级”。虽然这种技术已经非常成熟可靠，但是它总是滞后于病毒的传播，也就是说，当反病毒厂商截获新病毒的时候，已经有部分用户被病毒侵害。

　　放眼整个安全行业，没有哪个公司能保证截获所有病毒。与此对应的严峻形势是，新病毒数量疯狂增长，06年瑞星截获各类病毒23万，07年上半年截获新病毒13万，近一、两年出现的新病毒是过去二十年所有病毒数量的总和。

　　“主动防御”说着容易做着难

　　从2005年开始，瑞星和少数国外安全公司就尝试在产品中加入HIPS等“主动防御”技术，虽然这些技术的应用效果很好，但是对用户操作技能的要求比较高，一旦操作不慎，会引起许多应用软件不能正常使用，甚至影响整个电脑系统的运行。

　　除了对核心技术的不断精进之外，如何在有效性和易用性之间找到平衡，成了这些公司的最大难题。事实上到目前为止，真正在产品中全面应用“主动防御”技术的杀毒软件，目前在全球范围内还寥寥无几。

　　瑞星的研发人员介绍，为了解决易用性的问题，瑞星专家在经过对数十万病毒的危险行为特征分析，同时结合大量中毒用户的案例分析，把大量规则预先设置到瑞星2008新品的主动防御模块中，使得大量普通用户不必自己去设置规则，甚至无需做任何操作，就能享受到“主动防御”系统的基础保护功能。

　　基于“主动防御”技术的“账号保险柜”，则是瑞星在“主动防御”反病毒产品中的独创功能，它的作用是保护各种客户端软件，用户只需将网游等各种软件客户端设置到“账号保险柜”中，就可以有效阻止未知木马病毒的攻击和偷窃。同时瑞星“账号保险柜”还主动预设了大量常用软件的保护，用户无需进行任何操作，就可放心使用默认被保护的百余款流行软件，其中包括传奇、征途等70多款热门网游，QQ、MSN等常用聊天工具，以及招行网上银行和30多种股票软件。

　　以对MSN的保护为例，瑞星“账号保险柜”不但能防止病毒通过注入DLL、篡改内存、读取内存、发送消息等方式窃取账号、密码，还可以防止病毒模拟键盘信息发送消息，从根本上阻止病毒的传播感染。简单说来就是，即使这些病毒感染了用户电脑，但是它们既不能搞破坏、窃取账号密码，也不能通过MSN传染其他用户。

　　保得住、杀得尽才算是攻防兼备

　　如果说“主动防御”是“盾”，那么对新病毒的查杀能力就是“矛”。在目前情况下衡量杀毒产品的“矛”是否锋利，主要是看其对木马病毒的查杀能力。

　　以往人们将电脑病毒分为木马、后门、蠕虫等等，但随着病毒技术的发展，各类病毒之间逐渐呈现出相互融合的态势。特别是近年来，很多木马病毒同时具有蠕虫的特征，感染性很强，有的则直接和蠕虫病毒等捆绑，形成复杂的混合型病毒。譬如07上半年毒王“帕虫（Worm.pabug）”，其分类上属于蠕虫，但是它侵入用户电脑后，会从网上下载数十个木马病毒，窃取网游、网银等账号。

　　瑞星上半年共截获83119个木马病毒，占同期总病毒数的62%，而具有木马行为特征的病毒，占病毒总量的80%以上。根据瑞星工程师的统计和分析，目前整个木马类病毒约有70万种之多。目前互联网上的最大顽疾就是这些混合型的木马病毒，不光破坏能力强，并且难以清除。

　　如何能快速截获并彻底清除这些顽固木马，是反病毒厂商面临的又一难题，瑞星反病毒工程师表示，部分安全工具类软件，只是通过扫描病毒文件名、MD5值等简单手段查杀木马，只能对付小部分简单的木马病毒，约占木马病毒总量的14%左右。

　　在分析数十万木马样本的基础上，瑞星在2008新品中推出了“木马病毒强杀”技术，结合“病毒DNA识别”、“主动防御”、“恶意行为检测”等大量核心技术，瑞星2008版可以有效地查杀多达70万种木马病毒，包括目前常见的各种加壳木马、混合型木马和家族式木马。

　　综上所述我们可以看出，目前整个安全行业正由传统的追杀病毒，向“攻防兼备”转化，越来越多的反病毒产品将会应用“主动防御”技术，同时针对新型的木马病毒，继续不断地改进传统的“特征码查杀”技术。

　　新的威胁层出不穷，与之相应的是安全产品的不断变革创新。从瑞星2008新品中我们看到，除了技术创新之外，厂商们将会更重视用户的实际使用效果，和其它IT行业一样，“用户体验第一”的意识在不断地加强，瑞星新品的“账号保险柜”功能就是一个典型的范例。我们相信其他厂商也会紧随行业领头羊的步伐，在新产品中加入“主动防御”技术，并将之改进、优化成所有用户都能够轻松体验到的实际应用效果。

　　安全行业的竞争依然聚焦在创新上，不论是新理念、新功能、新技术的突破，还是传统技术和服务手段的创新改造，都是为了保障用户的信息安全。