防禦能否走在病毒木馬前面 談"免疫防禦"

【賽迪網-技術社區整理】七月份Flash 0 day漏洞爆發了，據相關安全公司統計，僅僅從6月23日至6月30日,有1890453例用戶受到Hack.Exploit.Swf.A病毒的攻擊，由於Adobe漏洞難升級普通用戶很難發覺。這種「亡羊補牢」式的安全方案，已經重複了20年，針對反病毒行業出現的疲於招架的現象，一些業內人士形象地將傳統的病毒防禦軟體比喻成"盾"，這個"盾 "始終處於被動挨打的境地，顯然，再堅強的"盾"也有被攻破的那一天。與其拿著傷痕纍纍的"盾"，不如造一把鋒利的"劍"。 被動殺毒並不是唯一方法，開發出「免疫防禦」概念的產品才是對抗病毒第一波攻擊、防範未知新病毒的有效方式，目前安全廠商已經意識到這一點並已經研發出一些免疫產品。

我們來看一下應用到軟體中四項比較流行的免疫技術：

一.HIPS

HIPS是一種能監控你電腦中文件的運行和文件運用了其他的文件以及文件對註冊表的修改，並向你報告請求允許的軟體。 如果你阻止了，那麼它將無法運行或者更改。比如某不被查殺的木馬利用漏洞下載執行程序時，HIPS軟體跳出來報告而你阻止了，那麼病毒還是沒有運行的。引 用一句話：」病毒天天變種天天出新，使得殺軟可能跟不上病毒的腳步，而HIPS能解決這些問題。」但是HIPS的致命缺陷就是基礎用戶很難分辨當前運行的 程序是病毒或者正常程序，無休止的彈窗提示，讓用戶無比反感，HIPS因此也被稱為高手的玩具。

二.主動防禦

主動防禦是由HIPS演變而來的，可以說是智能HIPS指不需要或者較少需要使用者手工制定的防禦規則，即可對系統實施保護的一類HIPS。通常主動防禦 內置了一定的判斷方法和處理規則定製成黑名單，因此能夠根據程序行為的危險程度進行自動判斷和處理，對於少量難以判斷的程序行為才會提示使用者並由使用者 判斷處理。體現出一定的智能性，也正是主動防禦的智能性，讓黑客有了可乘之機，黑客可以利用黑名單，改變規則，繞過報警，對用戶系統安全造成威脅，但是無 論如何主動防禦確實比傳統HIPS方便了許多。

三.權限控制

比起前面兩項技術權限控制要更安全，首先推出此項技術的為微軟操作系統Vista系統自帶的UAC，但是Windows Vista的UAC可謂是Vista爭議最大的功能之一。微軟官方宣揚的是有了UAC，用戶可以不用安裝殺毒軟體，UAC就能確保系統的安全。原本UAC 是一件防護病毒、木馬的神兵利器,減少用戶每天對於安全問題的困擾。但是，用戶卻不這麼認為，幾乎所有的進程與運行的程序都可以被攔截,尤其對那些試圖使 用管理員權限自動安裝或自動運行的程序效果更是如此，結果用戶被UAC折磨的抓狂，在網上到處找關閉UAC的技巧和方法，微軟的初衷也被徹底的改變。 UAC的失敗讓安全廠商吸取了教訓，同樣利用權限控制技術的墨者安全專家推出的革離術，更注重用戶體驗，能否成功還需要觀察。技術上與微軟競爭，總感覺有 些不自量力。

四.沙箱技術

沙箱英文名sandbox顧名思義可以看作是一種容器，裡面所做的一切都可以推倒重來，軍事上常用沙箱來進行一些戰爭區域的地形模擬，這個你見過吧？不用了可以把沙子推平重來。

我 們所說的沙箱是一種安全軟體，可以將一個程序放入沙箱運行，這樣它所創建修改刪除的所有文件和註冊表都會被虛擬化重定向，也就是說所有操作都是虛擬的，真 實的文件和註冊表不會被改動，這樣可以確保病毒無法對系統關鍵部位進行改動破壞系統。但是當用戶想真正的改變系統設置，以及保存文件時，虛擬系統是無法實 現真正的操作，所以沙盤技術至今可以應用的層面仍然很少。

無論是權限控制，還是HIPS，我們都看到安全廠商由殺到防的轉型，依靠傳統的特徵碼掃瞄的殺軟，對於現今的病毒木馬仍處在一種疲於應付的狀態。無論是個人用戶還是網吧等娛樂場合，機器狗橫行、盜號等更是屢見不鮮。隨著病毒、木馬的急速蔓延，保障安全的難度便進一步擴大。用戶對安全公司的需求，從簡單的需 求演變成為逐漸的依賴，特別是網吧內電腦的安全問題也變成了廣大網吧主最大的一塊心病，安全廠商是否能咬住這塊香餑餑，我們拭目以待。

(