反病毒技術概述反病毒技術概述第1頁反病毒技術剖析反病毒技術概述病毒診療技術反病毒引擎技術剖析瑞星信息安全技術培訓–反病毒技術概述反病毒技術概述Agenda反病毒技術概述第2頁反病毒技術概述瑞星信息安全技術培訓–反病毒技術概述反病毒技術概述反病毒技術概述第3頁病毒疫苗舉例：“漂亮莎”病毒修改Windows注冊表項：HKEY_CURRENT_RSER\Software\Microsoft\Office,增加表項：Melissa并賦值為byKwyjibo瑞星信息安全技術培訓–反病毒技術概述反病毒技術概述反病毒技術概述第4頁反病毒技術剖析反病毒技術概述病毒診療技術反病毒引擎技術剖析瑞星信息安全技術培訓–反病毒技術概述Agenda病毒診療技術反病毒技術概述第5頁病毒診療技術計算機病毒比較法診療原理計算機病毒校驗法診療原理計算機病毒掃描法診療原理計算機病毒行為監(jiān)測法診療原理計算機病毒行為感染試驗法診療原理計算機病毒行為軟件模擬法診療原理計算機病毒分析法診療原理瑞星信息安全技術培訓–反病毒技術概述病毒診療技術反病毒技術概述第6頁病毒診療技術－計算機病毒比較法瑞星信息安全技術培訓–反病毒技術概述病毒診療技術反病毒技術概述第7頁病毒診療技術－計算機病毒比較法瑞星信息安全技術培訓–反病毒技術概述病毒診療技術反病毒技術概述第8頁病毒診療技術－計算機病毒比較法瑞星信息安全技術培訓–反病毒技術概述病毒診療技術反病毒技術概述第9頁病毒診療技術－計算機病毒比較法瑞星信息安全技術培訓–反病毒技術概述病毒診療技術反病毒技術概述第10頁病毒診療技術－計算機病毒比較法瑞星信息安全技術培訓–反病毒技術概述病毒診療技術反病毒技術概述第11頁病毒診療技術計算機病毒比較法診療原理計算機病毒校驗法診療原理計算機病毒掃描法診療原理計算機病毒行為監(jiān)測法診療原理計算機病毒行為感染試驗法診療原理計算機病毒行為軟件模擬法診療原理計算機病毒分析法診療原理瑞星信息安全技術培訓–反病毒技術概述病毒診療技術反病毒技術概述第12頁病毒診療技術－計算機病毒掃描法瑞星信息安全技術培訓–反病毒技術概述病毒診療技術掃描法是用每一個病毒體含有特定字符串對被檢測對象進行掃描。假如在被檢測對象內(nèi)部發(fā)覺了某一個特定字符串，就表明發(fā)覺了該字符串所代表病毒。 特征代碼掃描法 特征字掃描法反病毒技術概述第13頁瑞星信息安全技術培訓–反病毒技術概述病毒診療技術－計算機病毒掃描法特征代碼掃描法病毒掃描軟件由兩個別組成：一個別是病毒代碼庫，含有經(jīng)過尤其選定各種計算機病毒代碼串；另一個別是利用該代碼庫進行掃描掃描程序。

病毒診療技術反病毒技術概述第14頁病毒診療技術－計算機病毒掃描法選擇代碼串規(guī)則是：代表性避開數(shù)據(jù)區(qū)。盡可能使特征代碼長度簡短區(qū)分于其它病毒及其變種將病毒與正常非病毒程序區(qū)分開瑞星信息安全技術培訓–反病毒技術概述反病毒技術反病毒技術概述第15頁瑞星信息安全技術培訓–反病毒技術概述反病毒技術病毒診療技術－計算機病毒掃描法比如給定特征串：“E97C0010?37CB”“E97C00102737CB”“E97C00109C37CB”又比如：“E97C37CB”“E97C0037CB”“E97C001137CB”“E97C00112237CB”“E97C001122334437CB”（不匹配）

反病毒技術概述第16頁瑞星信息安全技術培訓–反病毒技術概述反病毒技術病毒診療技術－計算機病毒掃描法反病毒技術概述第17頁病毒診療技術－計算機病毒掃描法特征字掃描法速度更加快、誤報警更少，但依然存在特征代碼掃描法所含有一些缺點。只需從病毒體內(nèi)抽取極少幾個關鍵特征字組成特征字庫。需要處理字節(jié)極少，而又無須進行串匹配，加緊了識別速度。瑞星信息安全技術培訓–反病毒技術概述反病毒技術反病毒技術概述第18頁病毒診療技術－行為監(jiān)測法診療原理檢測行為包含占用INT13H修改DOS系統(tǒng)數(shù)據(jù)區(qū)內(nèi)存總量以COM和EXE文件做寫入動作病毒程序與宿主程序切換瑞星信息安全技術培訓–反病毒技術概述反病毒技術反病毒技術概述第19頁病毒診療技術－行為感染試驗法行為感染試驗法感染試驗是一個簡單實用檢測病毒方法。當病毒檢測工具不能發(fā)覺病毒時，使用感染試驗法。能夠檢測出病毒檢測工具不認識新病毒，擺脫對檢測工具依賴，檢測可疑新病毒瑞星信息安全技術培訓–反病毒技術概述反病毒技術DEMO反病毒技術概述第20頁病毒診療技術－行為軟件模擬法行為軟件模擬法針對多太性病毒檢測與查殺虛擬軟件法與特征代碼法相結合瑞星信息安全技術培訓–反病毒技術概述反病毒技術反病毒技術概述第21頁病毒診療技術－計算機病毒分析法計算機病毒分析法確認磁盤引導區(qū)和程序中是否含有病毒確認病毒類型和種類，判定是否是新病毒搞清楚病毒體大致結構，提取特征識別用字符串或特征字詳細分析病毒代碼，為制訂對應反病毒辦法制訂方案瑞星信息安全技術培訓–反病毒技術概述反病毒技術反病毒技術概述第22頁瑞星信息安全技術培訓–反病毒技術概述反病毒技術病毒診療技術－計算機病毒分析法反病毒技術概述第23頁反病毒技術剖析反病毒技術概述病毒診療技術反病毒引擎技術剖析瑞星信息安全技術培訓–反病毒技術概述Agenda反病毒技術概述第24頁病毒診療技術－計算機病毒分析法反病毒軟件組成瑞星信息安全技術培訓–反病毒技術概述反病毒引擎技術反病毒技術概述第25頁應用程序包含各種平臺各種應用和監(jiān)控程序?qū)ο蠊芾沓绦蛞嬷骺貙ο蟛《編旃芾韺ο髴贸绦蚍床《疽娌闅⒍疽鎻秃衔募鸱謱ο蟛《編煳募鹦切畔踩夹g培訓–反病毒技術概述反病毒引擎技術引擎在反病毒軟件中位置反病毒技術概述第26頁瑞星信息安全技術培訓–反病毒技術概述反病毒引擎技術對各種平臺提供支持支持各種平臺反病毒引擎是引擎技術發(fā)展方向，常見有支持Dos、Windows、Linuxforintel、Unixforintel、Freebsdforintel、Novell等各種平臺以及在此基礎上開發(fā)針對不一樣用戶群不一樣應用。反病毒技術概述第27頁DOS殺毒引擎宏病毒查殺引擎—特征碼匹配腳本病毒引擎、郵件、郵箱、壓縮包拆分引擎、反病毒虛擬機—運行特征匹配未知病毒行為判定技術和虛擬脫殼技術瑞星信息安全技術培訓–反病毒技術概述反病毒引擎技術引擎查殺毒技術發(fā)展歷程反病毒技術概述第28頁引擎體系架構變遷模塊化設計方式年面向?qū)ο笤O計方式，基于C++設計思想增強了引擎可靠性和易維護性；年將com組件設計思想引入了引擎設計中，實現(xiàn)了引擎對象化和組建化，增強了引擎易用性、擴展性、維護性和移植方便性瑞星信息安全技術培訓–反病毒技術概述反病毒引擎技術反病毒引擎體系架構反病毒技術概述第29頁瑞星信息安全技術培訓–反病毒技術概述反病毒引擎技術引擎體系構架反病毒技術概述第30頁瑞星信息安全技術培訓–反病毒技術概述反病毒引擎技術反病毒引擎技術特征反病毒技術概述第31頁引擎郵件、郵箱、壓縮包對象在引擎中統(tǒng)稱為復合文件對象，在最新引擎復合文件對象中采取了虛擬文件系統(tǒng)技術及將復合文件對象看成一個文件系統(tǒng)（也能夠了解為一個目錄），采取這種方式能夠便捷地對郵件、郵箱、壓縮包進行管理，處理方式愈加靈活。瑞星信息安全技術培訓–反病毒技術概述反病毒引擎技術反病毒引擎技術特征郵件、郵箱、壓縮包拆分技術反病毒技術概述第32頁利用虛擬機對程序進行虛擬執(zhí)行，經(jīng)過返回結果判定文件是否被加殼。真實脫殼是對加殼算法進行分析后生成脫殼算法。瑞星信息安全技術培訓–反病毒技術概述反病毒引擎技術反病毒引擎技術特征虛擬與真實相結合脫殼技術反病毒技術概述第33頁利用智能代碼分析技術（即基于對經(jīng)典病毒代碼特征和執(zhí)行流程進行分析，提取經(jīng)典病毒經(jīng)典代碼特征和邏輯特征并作為查殺病毒特征串）可對木馬程序提取指紋信息。經(jīng)過指紋，引擎能夠快速地排除正常文件。瑞星信息安全技術培訓–反病毒技術概述反病毒引擎技術反病毒引擎技術特征木馬指紋特征技術反病毒技術概述第34頁查殺病毒時在機器虛擬內(nèi)存中模擬出一個“指令執(zhí)行虛擬機”；在虛擬機環(huán)境中虛擬執(zhí)行（不會被實際執(zhí)行）帶毒文件；在執(zhí)行過程中，從虛擬機環(huán)境內(nèi)截獲文件數(shù)據(jù)，假如含有可疑病毒代碼，則殺毒后將其還原到文件中，從而實現(xiàn)對各類可執(zhí)行文件內(nèi)病毒查殺。采取這種方法能夠?qū)Ω都用苄?、變形型、程序自壓縮文件內(nèi)病毒。瑞星信息安全