东方微点-yb体育官方

  yb体育官方  
yb体育官方-yb亚博全站首页  |  微点新闻  |  业界动态  |  安全资讯  |   |   |  网络版yb亚博全站首页
 |   |   |   |   |   |  各地代理商
 

刘旭:反病毒之路将向何处去?
来源:51cto  2008-04-28 12:21:01

反病毒之路将向何处去?

刘旭在“第九届中国信息安全大会”的讲话

刘旭 : 大家对病毒和防病毒应该都是非常熟悉了,在病毒出现10多年来,大家现在也广泛在应用防病毒产品,我想全国几乎绝大部分的用户都配备了杀毒软件,那么既然大家配备了杀毒软件,那么现在病毒的危害性是否有所下降?或者我能否成功遏制这样一些病毒呢?我们看一下现实的情况,首先我跟大家讲,目前病毒的危害情况是相当严峻的。


刘旭 : 国家计算机病毒应急处理中心07年中国计算机病毒疫情调查技术分析报告中显示,我国计算机病毒感染率07年高达91.47%,也就是说10台计算机有9台以上的计算机被感染,是相当高的,而且实际上我们从这张图上可以看出,这张图是国家计算机病毒应急处理中心从2001年到2007年调查的一个曲线图,我们可以看出2007年是高居首位。


刘旭 : 病毒感染三次以上的用户数量达到53.64%。现在计算机病毒一个非常显著的特点就是病毒的数量急剧增加,也就是病毒泛滥。说话看一下国外的情况,在今年的3月20号,美国一家著名的媒体就发布了一篇文章,在这篇文章里面他采访的主要是国外的几家公司,其中一家是德国的防病毒测试实验室,根据它的统计可能新出现的病毒数可能大大超过大家的想象,根据他们的统计,去年新增的病毒超过550万种,这是06年的4倍,是05年的15倍。根据这家公司的统计,今年头两个月他们新发现的病毒数量就超过100万个。而在同一篇文章中还预测了一个数据,现在新增的病毒数量每小时是2000-3000种,这个数量是非常非常可怕的。这个预测图是从1985年开始统计的,可以看出1985年到2003年几乎是在同一水平线上,从04年这条线开始抬头,到06、07年我们看到这条线已经非常非常高了。


刘旭 : 据f-secure介绍,现在每天都能收集到2.5万个左右的恶意软件样本,为历史最高水平,照此下去,各类病毒木马数将在08年底突破1000万。


刘旭 : 我们再看一下卡巴斯基最近的预测,卡巴斯基07年总共发现了222万种新病毒,跟刚才德国那家公司相比的话少了一半,是06年的4倍,这跟德国这家公司是一样的,都说是4倍,根据他的分析师预测,08年新增病毒数将超过2000万种,这个数是07年的10倍,也就是说现在病毒数的增长要快于前几年。


刘旭 : 我们应该来看一下几乎国际上绝大部分防病毒公司都有一致的看法,08年新增的病毒数量将超过1000万种。我们刚才说了病毒数量现在是急剧增加,那么为什么会急剧增加呢?那么我们下面介绍一下病毒的特点。


刘旭 : 病毒的特点最关键的一点,为什么现在比原先大很多,而且还在快速增长,最主要的首要是病毒编写目的不同。以前的病毒是“损人不利己”的,现在的病毒的一个特点,现在绝大部分的病毒或者新出现的病毒大都是以“以盈利为主要目的”的。由于这样的目的不同,所以导致了病毒的特点有很大的不同。


刘旭 : 那么我们来看一下一下现在病毒的第二个特点,叫病毒编写的组织化。以前病毒编写绝大部分是个人行为,现在越来越多的是团伙行为,甚至一些病毒是企业行为。那么我们来看一下,比如说大家熟知的木马软件,也可以把它归为病毒类,把它归为恶意程序类的话,实际上它就是非常典型的企业行为。


刘旭 : 那么另外一个特点,现在的病毒已经形成产业链。病毒上游可能会提供一些加壳工具、免杀工具,下游利用这些工具对病毒进行加工,以逃避杀毒软件的查杀;上游编写病毒,下游销售病毒。

刘旭 : 另外病毒现在有一个非常突出的特点,叫多变种、小批量感染。为什么会这样呢?就是说以前的病毒编写者利用一种病毒感染所有计算机。但是采用这种方式一旦病毒被发现,杀毒软件升级后就可能全部被查杀掉,这样的话,病毒的生存能力就不是很强,而现在,病毒编写者为了避免编写的所有病毒被杀毒软件全部清除,采用不断变种病毒的方式进行感染。即使某些变种病毒被杀毒软件清除,仍然保持相当多的病毒不被清除。这样的话,杀毒软件可能发现其中一些变种,但是它有可能清除不完全。


刘旭 : 变种要需要大量的人力物力,大家知道很著名的熊猫烧香病毒,它在短短的几个月里面编写了几百万个,投入了大量的人力物力,那么这样他们也意识到了这是一个很复杂的过程,所以现在他要进行对病毒编写自动化。以前病毒主要是手工编写,现在已经开始自动化,利用自动加壳机和自动免杀机自动生成。这样就能使得这个病毒有比较好的生存能力。我们国内某些网站被病毒感染,这个网站会每隔59分钟病毒就自动升级。也就是说你头59分钟用户访问这个网站的话,感染的是这个病毒,下一个59分钟感染的是另外一个病毒,之所以选择59分钟,病毒编辑者认为现在的杀毒软件升级再频繁,你升级的间隔至少在1个小时以上,而我相信现在还有很多杀毒软件厂商还没有达到一天24小时,那么这种他就能确保他的病毒不可能被全部清除。


刘旭 : 第六个特点,病毒数量呈几何级数增长。以前的病毒数量非常非常少,以前像06年一年只有几种病毒,后面就变成了几十种。大家使用杀毒软件,最早的时候杀毒软件厂商怎么说呢?要求用户说半年内必须升级,后面说你三个月必须升级,为什么?就是说在这个时间段里面病毒数量增加了很多,而现在要求用户是每天升级,主要原因就是病毒数量在急剧增加,数量太多。
刘旭 : 另外一个特点,病毒的危害性更大,以前病毒主要是破坏计算机信息以及一些数据,那么你如果采取备份的方式就可以避免或者降低损失。那么现在是以商业兴为目的,比如说窃取商业秘密、金融财产、虚拟财产为主,这样直接造成的损失更大,而且这一旦遭受损失,就很难以挽回。以前说的是亡羊补牢,那么亡羊补牢的效果究竟有多少作用?这是一个很大的问题,因为就算你亡羊补牢你还是损失了一些东西。

刘旭 : 90年代初病毒都具有发作时期,而现在的病毒都不再这样。比如说计算机病毒之所以被称为病毒,是因为它与生物病毒有很多类似之处,它也有潜伏期,也有发作期。比如著名cih病毒(1.2版本),发作日为每年4月26日,即使计算机被cih感染,只要将计算机的时钟调过4月26日,病毒也不会发作,也就不会破坏用户的信息。再比如“黑色星期五”病毒,其发作日是十三号同时是星期五的日子。也就是说你跃过这个发作日,即使病毒在你的机器里面也不会发作。那么现在的病毒没有这种说法了,一旦被病毒感染,病毒将随时窃取用户的主要信息和财产,损失可能立即造成。比如说你采取的是qq,机器里存在盗号木马,你刚一使用qq,你的帐号就已经被盗了。

刘旭 : 病毒现在有这么多特点,那么我们看一看作为主要防范病毒的工具,实际上就是杀毒软件,而我认为杀毒软件现在还面临着很大的尴尬。杀毒软件主要的特点是什么?它主要是利用病毒特征码发现病毒,而病毒的特征码是从病毒体里面提取出来的,比如防病毒发现了这是一个病毒,那就从病毒体里面提炼出几段或者一段代码,然后他就跟机器里面的文件做比对,发现相同的就是会报这是病毒。这就注定了杀毒软件只能发现反病毒公司已经收集到的病毒,对于未收集到的病毒没有防范能力。当前,病毒是呈几何级数的增长,因此在任何一个时刻,病毒软件不能防范病毒的数量非常多。
刘旭 : 杀毒软件的尴尬最关键的一点,就是因为它的这种方式是滞后于病毒的,而病毒是在层出不穷的发展的,这已经成为了其致命的缺陷。为什么?也就是你刚提供给用户,你就发现自己已经滞后于病毒了。


刘旭 : 下面介绍一下杀毒软件遏制病毒能力相对下降。另外是杀毒软件保护用户财产能力相对下降。我们说它保护财产的能力已经相对下降了,而现在发现病毒也越来越困难了。
刘旭 : 因为现在有些病毒编写者会招聘一些高精尖专业技术人员,尤其现在杀病毒软件跟操作系统也有兼容性问题,所以通常情况下有很多病毒是不会被杀毒软件发现的。另外杀毒软件处理病毒的能力已经逼近当前电脑的极限,现在病毒库大概就要占到好几个g。


刘旭 : 后面主要介绍主动防御技术,这已经成为了未来反病毒技术的主要方向。也就是说,杀毒软件主要是靠特征值来看的,那么我们能不能从他们的行为中察看到它是一个病毒呢?也就是说病毒分析人员可以分析出这是一个病毒,那能不能把它的识别做到自动化、智能化呢?我们认为是可以的。主动防御技术的三大判定原则,这不是具有监控程序动作就能成为主动防御,一如hips系统就不是主动防御技术,它只是动作报警器。主要防御技术作为下一代反病毒与其他反病毒技术一样,它必须对程序是否有病毒作出明确的结论。


刘旭 : 我们公司发布了主动防御技术,到目前为止我们在网上已经测试了三年,对著名的熊猫烧香病毒,当然这个病毒感染的非常厉害,熊猫烧香病毒是2006年编写、传播的,而我们对它的防御非常好。


刘旭 : 我们认为主动防御技术我们认为是未来防范计算机病毒的出路。我的讲话到此为止,谢谢大家。


 
 

免费体验
下  载

网站地图