什么是主动防御技术

目前，很多安全厂商在推出新产品时，总是强调该产品具有“主动防御”技术，可以防御未知病毒、未知威胁、零日攻击等。根据安全专家的分析，所谓“主动防御”其实是针对传统的“特征码技术”而言的。

由于传统的基于病毒库扫描的反病毒软件都是很被动的，只能在新病毒出现之后才能有应付措施，一个病毒制造者所编写的病毒很有可能在被杀毒软件厂商截获并添加到产品病毒库之前进入用户电脑。此时，由于该病毒的特征码还未添加到杀毒软件病毒库中，杀毒软件会将病毒认为是正常文件而放过，使得用户电脑被病毒所感染。因此，业界将能够主动检测和拦截未知威胁的防御方法称为“主动防御”。

一般意义上的“主动防御”，就是全程监视进程的行为，一但发现“违规”行为，就通知用户，或者直接终止进程。它类似于警察判断潜在罪犯的技术，在成为一个罪犯之前，大多数人都有一些异常行为，比如“性格孤僻，有暴力倾向，自私自利，对现实不满”等先兆，但是并不是说有这些先兆的人就都会发展为罪犯，或者说罪犯都有这些先兆。

因此“主动防御”并不能100%发现病毒或者攻击，它的成功率大概在60%～80%之间。如果再加上传统的“特征码技术”，则有可能发现100%的恶意程序与攻击行为了。从国外的情况看，诺顿、Kaspersky、McAfee等主流安全厂商，都已经向“主动防御”+“特征码技术”过渡了，可以说这是安全系统的必然发展趋势。

此外，防火墙也是一个运用“主动防御”技术的典型例子。大部分企业都在使用防火墙，很多用户对于防火墙经常询问是否放行一个进程访问网络，或者对有不明连接进入本机而发出警告印象深刻。

其实防火墙就是在全程监视进程的网络行为，一但发现违反规则的行为就发出警告，或者直接根据用户设定拒绝进程访问网络。当然，现在的防火墙一般都把系统网络进程，如Services.exe、Svchost.exe、Lsass.exe记在“受信名单”里，这些进程是默认允许访问网络的。但这也是现在很多病毒和木马都喜欢远程注入这些系统进程，以求突破防火墙而访问网络的原因。

“主动防御”的技术实现

在“主动防御”技术的的实现上，主要是通过函数来进行控制。因为一个程序如果要实现自己的功能，就必须要通过接口调用操作系统提供的功能函数。以前在DOS里几乎所有的系统功能或第三方插件都是通过中断提供的，在Windows里一般是通过DLL里的API提供，也有少数通过INT 2E或SYSENTER提供。一个进程有怎么样的行为，通过看它调用了什么样的API就大概清楚了。比如它要读写文件就必然要调用CreateFile()，OpenFile()，NtOpenFile()，ZwOpenFile()等函数；要访问网络就必然要使用Socket函数。因此只要挂接系统API（尽量挂接RING0层的API，如果挂接RING3层的API将有可能被绕过），就可以知道一个进程将有什么动作，如果有危害系统的动作该怎么样处理等等。例如瑞星反病毒系统，用户可以在它的安装目录里找到几个驱动文件，其实这些驱动就是挂接了ntoskrnl.exe、ndis.sys等系统关键模块里的API，从而对进程的普通行为、网络行为、注册表行为进行监视。

在此基础上，用户可以自己设想一个“主动防御”的操作流程：通过挂接系统建立进程的API，系统就可以在一个进程建立前对进程的代码进行扫描，如果发现SGDT、SIDT、自定位指令，系统就进行提示，如果用户放行，就让进程继续运行；接下来监视进程调用API的情况，如果发现以读写方式打开一个EXE文件，可能进程的线程想要感染PE文件，就会发出警告；如果收发数据违反了规则，就会发出提示；如果进程调用了CreateRemoteThread()，则发出警告（危险的API，木马用得最多）。

可以想象，未来用户在运行程序时可能会被提示多次，访问网络也可能被提示多次，而这正是主动防御的魅力所在！

然而由于主动防御概念，各厂商技术水平不同，其效果悬殊也较大，最显著的弊端就是常常出现大量的误报或误杀主动防御技术，或是将行为监控和病毒特征码监测结合的方式等同于主动防御，虽然病毒运行时其行为监控有警报提示，但就算用户选择“拒绝”操作也无法阻止病毒的运行。

（编辑：南平站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!