《防病毒技术》由会员分享，可在线阅读，更多相关《防病毒技术（20页珍藏版）》请在金锄头文库上搜索。
1、防病毒技术 CPU内嵌的防病毒技术是一种硬件防病毒技术，与操作系统相配合，可以防范大部分针对缓冲区溢出(buffer overrun)漏洞的攻击(大部分是病毒)。Intel的防病毒技术是EDB(Excute Disable Bit)，AMD的防病毒技术是EVP(Ehanced Virus Protection)，但不管叫什么，它们的原理都是大同小异的。严格来说，目前各个CPU厂商在CPU内部集成的防病毒技术不能称之为硬件防毒。基本信息中文名称防病毒技术外文名称Anti virus technology范 畴计算机安全技术 分 类硬件防毒、软件防毒杀毒软件金山毒霸，卡巴斯基，瑞星，诺顿作 用预防
2、、检测、清除病毒目录1基本概述2产生原因3基本方法4发展方向5基本信息6防范方法7主要内容8防病毒技术9常见防毒介绍折叠编辑本段基本概述从反病毒产品对计算机病毒的作用来讲，防毒技术可以直观地分为:病毒预防技术、病毒检测技术及病毒清除技术。折叠计算机病毒的预防技术计算机病毒的预防技术就是通过一定的技术手段防止计算机病毒对系统的传染和破坏。实际上这是一种动态判定技术，即一种行为规则判定技术。也就是说，计算机病毒的预防是采用对病毒的规则进行分类处理，而后在程序运作中凡有类似的规则出现则认定是计算机病毒。具体来说，计算机病毒的预防是通过阻止计算机病毒进入系统内存或阻止计算机病毒对磁盘的操作，尤其是写操
3、作。杀毒软件杀毒软件预防病毒技术包括:磁盘引导区保护、加密可执行程序、读写控制技术、系统监控技术等。例如，大家所熟悉的防病毒卡，其主要功能是对磁盘提供写保护，监视在计算机和驱动器之间产生的信号。以及可能造成危害的写命令，并且判断磁盘当前所处的状态:哪一个磁盘将要进行写操作，是否正在进行写操作，磁盘是否处于写保护等，来确定病毒是否将要发作。计算机病毒的预防应用包括对已知病毒的预防和对未知病毒的预防两个部分。目前，对已知病毒的预防可以采用特征判定技术或静态判定技术，而对未知病毒的预防则是一种行为规则的判定技术，即动态判定技术。折叠检测病毒技术计算机病毒的检测技术是指通过一定的技术手段判定出特定计算
4、机病毒的一种技术。它有两种:一种是根据计算机病毒的关键字、特征程序段内容、病毒特征及传染方式、文件长度的变化，在特征分类的基础上建立的病毒检测技术。另一种是不针对具体病毒程序的自身校验技术。即对某个文件或数据段进行检验和计算并保存其结果，以后定期或不定期地以保存的结果对该文件或数据段进行检验，若出现差异，即表示该文件或数据段完整性已遭到破坏，感染上了病毒，从而检测到病毒的存在。折叠清除病毒技术计算机病毒的清除技术是计算机病毒检测技术发展的必然结果，是计算机病毒传染程序的一种逆过程。目前，清除病毒大都是在某种病毒出现后，通过对其进行分析研究而研制出来的具有相应解毒功能的软件。这类软件技术发展往往
5、是被动的，带有滞后性。而且由于计算机软件所要求的精确性，解毒软件有其局限性，对有些变种病毒的清除无能为力。目前市场上流行的Intel公司的PC_CILLIN、CentralPoint公司的CPAV，及我国的LANClear和Kill89等产品均采用上述三种防病毒技术。折叠编辑本段产生原因现今市场上流行的单机防病毒产品种类繁多，性能各异。各防病毒产品之间的竞争也异常激烈，各开发商频频使出变招争夺这一庞大的市场。无论这些反病毒产品性能多么优越，下面两个致命弱点则明显地暴露出其不足之处，使反病毒产品一度走入低谷。(1)防病毒产品均以单机为防病毒对象，不能有效地防止病毒在网上蔓延。而在网络上，病毒正是
6、以网络服务器为传播源，通过服务器，病毒迅速地在网络上传播，直到感染整个网络，使网络彻底瘫痪。(2)一机一卡所带来的缺陷。开发商从市场角度考虑，将防病毒卡与产品加密合二为一，但却给用户带来了许多不便:占用硬件资源(如扩充槽口、I/O口或中断资源);增加内存开销，易发生防病毒系统与其它应用系统的软硬件冲突;影响计算机执行速度。因为防病毒软件要实现实时监控，就一定要占用CPU时间，这必然会使计算机执行速度下降。有鉴于此，需要彻底改变现有的防病毒产品模式，需要和单机防病毒技术有本质区别的网络防病毒技术。折叠编辑本段基本方法在网络环境下，防范病毒问题显得尤其重要。这有两方面的原因:首先是网络病毒具有更大
7、破坏力。其次是遭到病毒破坏的网络要进行恢复非常麻烦，而且有时恢复几乎不可能。因此采用高效的网络防病毒方法和技术是一件非常重要的事情。网络大都采用Client-Server的工作模式，需要从服务器和工作站两个结合方面解决防范病毒的问题。在网络上对付病毒有以下四种基本方法:折叠基于网络目录和文件安全性方法以NetWare为例，在NetWare中，提供了目录和文件访问权限与属性两种安全性措施。访问权限有:防问控制权、建立权、删除权、文件扫描权、修改权、读权、写权和管理权。属性有:需归档、拷贝禁止、删除禁止、仅执行、隐含、索引、清洗、读审记、写审记、只读、读写、改名禁止、可共享、系统和交易。属性优先于
8、访问权限。根据用户对目录和文件的操作能力，分配不同的访问权限和属性。例如，对于公用目录中的系统文件和工具软件，应该只设置只读属性，系统程序所在的目录不要授予修改权和管理权。这样，病毒就无法对系统程序实施感染和寄生，其它用户也就不会感染病毒。由此可见，网络上公用目录或共享目录的安全性措施，对于防止病毒在网上传播起到积极作用。至于网络用户的私人目录，由于其限于个别使用，病毒很难传播给其它用户。采用基于网络目录和文件安全性的方法对防止病毒起到了一定作用，但是这种方法毕竟是基于网络操作系统的安全性的设计，存在着局限性。现在市场上还没有一种能够完全抵御计算机病毒侵染的网络操作系统，从网络安全性措施角度来
9、看，在网络上也是无法防止带毒文件的入侵。折叠采用工作站防病毒芯片这种方法是将防病毒功能集成在一个芯片上，安装在网络工作站上，以便经常性地保护工作站及其通往服务器的路径。工作站是网络的门户，只要将这扇门户关好，就能有效地防止病毒的入侵。将工作站存取控制与病毒保护能力合二为一插在网卡的EPROM槽内，用户也可以免除许多繁琐的管理工作。Trend Micro Devices公司解决的办法是基于网络上每个工作站都要求安装网络接口卡网络接口卡上有一个Boot Rom芯片，因为多数网卡的Boot Rom并没有充分利用，都会剩余一些使用空间，所以如果安全程序够小的话，就可以把它安装在网络的Boot Rom的
10、剩余空间内，而不必另插一块芯片。市场上Chipway防病毒芯片就是采用了这种网络防病毒技术。在工作站DOS引导过程中，ROMBIOS，Extended BIOS装入后，Partition Table装入之前，Chipway获得控制权，这样可以防止引导型病毒。Chipway的特点是:不占主板插槽，避免了冲突;遵循网络上国际标准，兼容性好;具有他工作站防毒产品的优点。但目前，Chipway对防止网络上广为传播的文件型病毒能力还十分有限。折叠采用StationLock网络防毒方法Station Lock是著名防病毒产品开发商Trend Micro Devices公司的新一代网络防病毒产品。其防毒概念
11、是建立在病毒必须执行有限数量的程序之后，才会产生感染效力的基础之上。例如，病毒是一个不具自我辨别能力的小程序，在病毒传染过程中至少必须拦截一个DOS中断请求，而且必须试图改变程序指针，以便让系统优先执行病毒程序从而获得系统控制权。引导型病毒必须使用系统的BIOS功能调用，文件型病毒必须将自己所有的程序代码拷贝到另一个系统执行文件时才能复制感染。混合型病毒和多形体病毒在实施感染之前也必须获取系统控制权，才能运行病毒体程序而实施感染。Station Lock就是通过这些特点，用间接方法观察，精确地预测病毒的攻击行为。其作用对象包括多型体病毒和未来型病毒。Station Lock也能处理一些基本的网
12、络安全性问题，例如存取控制、预放未授权拷贝以及在一个点对点网络环境下限制工作站资源相互存取等。Station Lock能根据病毒活动辩别可能的病毒攻击意图，并在它造成任何破坏之前予以拦截。由于Station Lock是在启动系统开始之前，就接管了工作站上的硬件和软件，所以病毒攻击Station Lock是很困难的。Station Lock是目前网络环境下防治病毒比较有效的方法。折叠基于服务器的防毒技术服务器是网络的核心，一旦服务器被病毒感染，就会使服务器无法启动，整个网络陷于瘫痪，造成灾难性后果。目前基于服务器的防治病毒方法大都采用了NLM(NetWare Load Module)技术以NLM
13、模块方式进行程序设计，以服务器为基础，提供实时扫描病毒能力。市场上的产品如Central Point公司的AntiVirus for Networks，Intel公司的LANdesk Virus Protect以及南京威尔德电脑公司的Lanclear for NetWare等都是采用了以服务器为基础的防病毒技术。这些产品的目的都是保护服务器，使服务器不被感染。这样，病毒也就失去了传播途径，因而从根本上杜绝了病毒在网上蔓延。(1)对服务器中所有文件扫描这一方法是对服务器的所有文件进行集中检查看其是否带毒，若有带毒文件，则提供给网络管理员几种处理方法。允许用户清除病毒，或删除带毒文件，或更改带毒文
14、件名成为不可执行文件名并隔离到一个特定的病毒文件目录中。(2)实时在线扫描网络防病毒技术必须保持全天24小时监控网络是否有带毒文件进入服务器。为了保证病毒监测实时性，通常采用多线索的设计方法，让检测程序作为一个随时可以激活的功能模块，且在NetWare运行环境中，不影响其它线索的运行。这往往是设计一个NLM最重要的部分，即多线索的调度。实时在线扫描能非常及时地追踪病毒的活动，及时告之网络管理员和工作站用户。(3)服务器扫描选择该功能允许网络管理员定期检查服务器中是否带毒，例如可按每月、每星期、每天集中扫描一下网络服务器，这样就使网络用户拥有极大的操作选择余地。(4)自动报告功能及病毒存档当网络
15、用户将带毒文件有意或无意地拷入服务器中时，网络防病毒系统必须立即通知网络管理员，或涉嫌病毒的使用者，同时自己记入病毒档案。病毒档案一般包括:病毒类型、病毒名称、带毒文件所存的目录及工作站标识等，另外，记录对病毒文件处理方法。(5)工作站扫描考虑到基于服务器的防病毒软件不能保护本地工作站的硬盘，有效的方法是在服务器上安装防毒软件，同时在上网的工作站内存中调入一个常驻扫毒程序，实时检测在工作站中运行的程序。如LANdesk Virus Protect采用Lpscan，而LANClear for NetWare采用world程序等。(6)对用户开放的病毒特征接口大家知道病毒及其变种层出不穷。据有关资料报道，截止1994年2月25日，全世界流传的MSDOS病毒达2700多种。如何使防病毒系统能对付不断出现的新病毒?这要求开发商能够使自己的产品具有自动升级功能，也就是真正交给网络用户防治病毒的一把金钥匙。其典型的做法是开放病毒特征数据库。用户随时将遇到的带毒文件，经过病毒特征分析程序，自动将病毒特征加入特征库，以随时增强抗毒能力。当然这一工作难度极大，需要不懈的努力。在上述四种网络防毒技术中，Station Lock是一种针对病毒行为的防治方法，StationLock目前已能提供Intel以太网络接口卡支持，而且未来还将支持各种普
