反病毒引擎在殺毒軟體中的作用

標籤：

一、反病毒軟體的構成

反病毒軟體由應用程式、反病毒引擎和病毒庫三部分構成。

A)應用程式的主要功能就是把掃描對象提供給引擎進行病毒掃描、提供反病毒軟體與使用者的互動介面。

B)引擎的主要功能就是對應用程式傳入的掃描對象進行格式分析和病毒掃描並將掃描的中間結果通過應用程式回接介面返回給應用程式並根據應用程式的返回結果進行相應的處理。引擎本身還負責病毒庫的載入、管理、遍曆及卸載。

 

二、反病毒引擎的發展曆程

 

引擎查殺毒技術的發展曆程

a) DOS殺毒引擎。

b) 巨集病毒查殺引擎-特徵碼匹配。

c) 指令碼病毒引擎、郵件、郵箱、壓縮包拆分引擎、反病毒虛擬機器-運行特徵匹配。

d) 位置病毒行為判定技術和虛擬脫殼技術。

 

三、反病毒引擎的體系架構

a) 引擎體系架構的變遷

b) 模組化設計方式

c) 01年物件導向設計方式，基於C++的設計思想增強了引擎的可靠性和易維護性

d) 03年將com組件的設計思想引入了引擎設計中，實現了引擎的對象化和組件化，增強了引擎的易用性、擴充性、維護性和移植的方便性。

 

四、反病毒引擎的技術特徵

a) 郵件、郵箱、壓縮包拆分技術

引擎的郵件、郵箱、壓縮包對象在引擎中統稱為複合檔案對象，在最新的引擎 的複合檔案對象中採取了虛擬檔案系統技術及將複合檔案對象看成一個檔案 系統（也可以理解為一個目錄），採用這種方式可以便捷的對郵件、郵箱、壓 縮包進行管理，處理方式更加靈活。

b) 虛擬與真實相結合的脫殼技術

虛擬脫殼技術是一種特殊技術，即利用虛擬機器對程式性進行虛擬執行，通過返 回結果判定檔案是否被加殼。

真實脫殼是對加殼演算法進行分析後生產脫殼演算法。

c) 指令碼引擎token特徵提取技術

以前的指令碼查殺速度非常慢，主要原因是指令碼引擎採用了浮動特徵串匹配的方 式，因此需要對檔案進行全文匹配。隨著病毒記錄的增加，匹配次數也隨之增 加，從而導致速度減慢，新的指令碼引擎根據指令碼病毒的特點，利用編譯原理的  相關技術對指令碼進行詞法分析，從而減少匹配次數。

d) 木馬指紋特徵技術

利用智能程式碼分析技術（即基於對典型病毒的代碼特徵和執行流程進行分析提 取經典病毒的典型代碼特徵和邏輯特徵並作為查殺病毒的特徵串）可對木馬程 序提取指紋資訊。通過指紋，引擎可以快速的排除正常檔案。

e) 利用可執行引擎執行特徵提取技術

特點：

1.查殺病毒時再機器虛擬記憶體中類比出一個“指令執行虛擬機器”。

2.在虛擬機器環境中執行帶毒檔案。

3.在執行過程中，從虛擬機器環境內截獲檔案資料，如果含有可以的病毒代 碼，則殺毒後將其還原到檔案中，從而實現對各類可執行檔內病毒的查 殺。

4.採用這種方法可以對付加密型、變形型、程式自壓縮新檔案內的病毒。

f) 巨集病毒解碼和查殺的相關技術。

利用宏指紋區分不同的宏檔案，縮小病毒碼碼的匹配次數，從而提速殺毒。

g) 記憶體掃描和記憶體監控技術。

h) 未知巨集病毒虛擬執行技術。

i) 未知指令碼病毒指紋特徵判定技術。

j) 行為判定技術

對被檢樣板進行跟蹤和記錄，同時對樣板程式的行為進行識別和判斷。

更接近於人工分析，智能化高，準確性高，但速度慢。

 

五、引擎的發展趨勢

a) 多層面立體防護體系

b) 進一步發展未知病毒的檢測技術

c) 主動修複技術

d) 更可靠的資料備份和災難恢複技術

e) 與其它安全產品的聯動

f) 完善的應急響應系統

反病毒引擎在殺毒軟體中的作用