在80年代末期，诞生了第一个电脑病毒。然后随即就有了清除病毒的工具──反病毒软件。这一时期，病毒所使用的技术还比较简单，从而检测相对容易，最广泛使用的就是特征码匹配的方法。然而为了躲避杀毒软件的查杀，病毒开始了进化，逐渐演变为变形的形式，每感染一次，就对自身变一次形，通过对自身的变形来躲避查杀。
这样一来，同一种病毒的变种病毒大量增加，杀毒软件单纯依靠病毒库和特征码技术已经不能适应如今的网络安全。于是，便出现了广谱特征码的概念，这个技术在一段时间内，对于处理某些变形的病毒提供了一种方法，但是也使误报率大大增加，所以采用广谱特征码的技术目前也不能有效的对新病毒和未知病毒进行查杀，那么，现如今种类繁多的杀毒软件都有哪些新技术和新特征来适应当前的病毒威胁，又是如何实现的呢?
主动防御技术
由于传统的基于病毒库扫描的反病毒软件都是很被动的，只能在新病毒出现之后才能有应付措施，一个病毒制造者所编写的病毒很有可能在被杀毒软件厂商截获并添加到产品病毒库之前进入用户电脑。此时，由于该病毒的特征码还未添加到杀毒软件病毒库中，杀毒软件会将病毒认为是正常文件而放过，使得用户电脑被病毒所感染。因此，业界将能够主动检测和拦截未知威胁的防御方法称为“主动防御”。
杀毒软件具有滞后性，这是业界公认的一个杀毒软件弊端，而主动防御却很好的解决了这个问题。主动防御技术主要是针对未知病毒提出来的病毒防杀技术，在没有病毒样本的情况下，对病毒进行全面而有效的全面防护，阻止病毒的运作，从技术层面上有效应对未知病毒的肆虐，一是在未知病毒和未知程序方面，通过“行为判断”技术识别大部分未被截获的未知病毒和变种。另一方面，通过对漏洞攻击行为进行监测，这样可防止病毒利用系统漏洞对其它计算机进行攻击，从而阻止病毒的爆发。
然而由于主动防御概念，各厂商技术水平不同，其效果悬殊也较大，最显著的弊端就是常常出现大量的误报或误杀，或是将行为监控和病毒特征码监测结合的方式等同于主动防御，虽然病毒运行时其行为监控有警报提示，但就算用户选择“拒绝”操作也无法阻止病毒的运行。
启发式查毒技术
说到主动防御，不得不提起启发式查毒技术，启发式查毒技术属于主动防御的一种，是当前对付未知病毒的主要手段，从工作原理上可分为静态启发和动态启发两种。
启发式指 “自我发现的能力”或“运用某种方式或方法去判定事物的知识和技能”， 是杀毒软件能够分析文件代码的逻辑结构是否含有恶意程序特征，或者通过在一个虚拟的安全环境中前摄性的执行代码来判断其是否有恶意行为。在业界前者被称为静态代码分析，后者被成为动态虚拟机。
静态启发技术指的是在静止状态下通过病毒的典型指令特征识别病毒的方法，是对传统特征码扫描的一种补充。由于病毒程序与正常的应用程序在启动时有很多区别，通常一个应用程序在最初的指令，是检查命令行输入有无参数项、清屏和保存原来屏幕显示等，而病毒程序则通常是最初的指令是直接写盘操作、解码指令，或搜索某路径下的可执行程序等相关操作指令序列。静态启发式就是通过简单的反编译，在不运行病毒程序的情况下，核对病毒头静态指令从而确定病毒的一种技术。
而相比静态启发技术，动态启发技术要复杂和先进很多。动态启发式通过杀软内置的虚拟机技术，给病毒构建一个仿真的运行环境，诱使病毒在杀软的模拟缓冲区中运行，如运行过程中检测到可疑的动作，则判定为危险程序并进行拦截。这种方法更有助于识别未知病毒，对加壳病毒依然有效，但如果控制得不好，会出现较多误报的情况。动态启发因为考虑资源占用的问题，因此目前只能使用比较保守的虚拟机技术。尽管如此，由于动态启发式判断技术具有许多不可替代的优势，因此仍然是目前检测未知病毒最有效、最可靠的方法之一，并在各大杀软产品中得到了广泛的应用。
由于诸多传统技术无法企及的强大优势，必将得到普遍的应用和迅速的发展。纯粹的启发式代码分析技术的应用(不借助任何事先的对于被测目标病毒样本的研究和了解)，已能达到80%以上的病毒检出率，而其误报率极易控制在0.1%之下，这对于仅仅使用传统的基于对已知病毒的研究而抽取“特征字串”的特征扫描技术的查毒软件来说，是不可想象的，启发式杀毒技术代表着未来反病毒技术发展的必然趋势，具备某种人工智能特点的反毒技术，向我们展示了一种通用的、不依赖于升级的病毒检测技术和产品的可能性。
2009年3月1日星期日
还NOD32的清白 高级启发名不虚传
导语：
ESET NOD32 “高级启发式扫描”在业界名声远扬，今日潜水遇见此文，主要讲的是NOD32当年面对“熊猫”可以有效防范，更令人惊讶的是2年前的病毒库，依靠 “高级启发式扫描”竟能防范08年“机器狗”病毒，有幸真正一睹“高级启发式扫描”的风采。
正文：
看了某人的一篇转贴，其实我知道是从哪里转来的，也相信很多人看过，那贴看似权威，其实误导了很多人，作为铁杆的我不得不站出来替NOD32洗刷冤屈了，讲那么多长篇道理有啥意思，主要是以事实说话，写这篇文章的目的只是避免一些人误信谣言，现在不少人都认为当时熊猫来时NOD32被干掉了，我只是告诉大家一个真相。
引用最来气的一句话：
熊猫来袭时，NOD和国产三大一样倒下了，坚挺的是小红伞。（不是倒下那么简单，而是病毒彻底干掉了，破坏了。卡巴当时也不能查杀，但至少没有被病毒破坏自身文件，而后通过快速的升级反应，迅速解决了问题）。
强烈谴责颠倒黑白的人，不懂装懂，熊猫来袭时，NOD32可是最坚挺的！
为了证明这个，今天苦苦寻求了一个2006年4月病毒库的NOD32 2.5，卸载了现在用的ESS，把自己的电脑做试验，来驳斥这一歪理，因为我绝对信任NOD32，所以我不怕。
为使证明更加强有力，熊猫病毒样本取自本人常去的众所周知的深度论坛的病毒样本区，
地址：http://bbs.deepin.org/read.php?tid=467317&fpage=5 文档名是setup.rar
开始测试，大家请看清贴图用红色标注的地方
装好NOD2.5 病毒库20060411
病毒库日期为2006年4月11日
查杀下载了的 熊猫病毒样本
扫描并发现病毒
本地查杀我认为还不足以证明什么,看看网络监视的能力,把病毒样本文件传到新浪共享中心。
提示：无杀毒软件或初学者慎重！
地址:http://ishare.iask.sina.com.cn/cgi-bin/fileid.cgi?fileid=3306269
然后登陆去下载
熊猫烧香被拦截（点击查看大图）
其他的我不想多说了，我相信群众的眼睛是雪亮的，到底谁最坚挺谁都看得出吧。
在深度的样本区看到了机器狗logonDLL.dll穿透还原——2008年系列最新流行病毒查杀报告+样本下载，忍不住一试，
地址：http:/bbs.deepin.org/read.php?tid=555085没想到啊，完美查杀，可见NOD32并不单纯依靠其病毒库，而是靠其强大的高启发技术。
成功拦截
08年新病毒机器狗照样杀
由此看出NOD32防狗能力是很不错的，也由此看出病毒库对NOD32查杀效果并没什么影响，因为人家主要靠的是高启发技术啊，不像一些杀软完全靠病毒库查杀。
所以大家不必每天在意病毒库更新没有，也不要再抱怨什么对付木马完全没有能力，说实话，国内特殊的情况，NOD32对国内一些木马病毒无法警报我们应该理解，我们应该积极上报，让NOD32对付中国本土病毒更加强有力，但是常见的病毒木马NOD32是绝对可以查杀的，所以大家还是继续一起坚挺NOD32吧！
结束语：
虽然作者的收尾阶段描述有点夸张，病毒库用户还是定期更新为好，至此真相已大白。
ESET NOD32 “高级启发式扫描”在业界名声远扬，今日潜水遇见此文，主要讲的是NOD32当年面对“熊猫”可以有效防范，更令人惊讶的是2年前的病毒库，依靠 “高级启发式扫描”竟能防范08年“机器狗”病毒，有幸真正一睹“高级启发式扫描”的风采。
正文：
看了某人的一篇转贴，其实我知道是从哪里转来的，也相信很多人看过，那贴看似权威，其实误导了很多人，作为铁杆的我不得不站出来替NOD32洗刷冤屈了，讲那么多长篇道理有啥意思，主要是以事实说话，写这篇文章的目的只是避免一些人误信谣言，现在不少人都认为当时熊猫来时NOD32被干掉了，我只是告诉大家一个真相。
引用最来气的一句话：
熊猫来袭时，NOD和国产三大一样倒下了，坚挺的是小红伞。（不是倒下那么简单，而是病毒彻底干掉了，破坏了。卡巴当时也不能查杀，但至少没有被病毒破坏自身文件，而后通过快速的升级反应，迅速解决了问题）。
强烈谴责颠倒黑白的人，不懂装懂，熊猫来袭时，NOD32可是最坚挺的！
为了证明这个，今天苦苦寻求了一个2006年4月病毒库的NOD32 2.5，卸载了现在用的ESS，把自己的电脑做试验，来驳斥这一歪理，因为我绝对信任NOD32，所以我不怕。
为使证明更加强有力，熊猫病毒样本取自本人常去的众所周知的深度论坛的病毒样本区，
地址：http://bbs.deepin.org/read.php?tid=467317&fpage=5 文档名是setup.rar
开始测试，大家请看清贴图用红色标注的地方
装好NOD2.5 病毒库20060411
病毒库日期为2006年4月11日
查杀下载了的 熊猫病毒样本
扫描并发现病毒
本地查杀我认为还不足以证明什么,看看网络监视的能力,把病毒样本文件传到新浪共享中心。
提示：无杀毒软件或初学者慎重！
地址:http://ishare.iask.sina.com.cn/cgi-bin/fileid.cgi?fileid=3306269
然后登陆去下载
熊猫烧香被拦截（点击查看大图）
其他的我不想多说了，我相信群众的眼睛是雪亮的，到底谁最坚挺谁都看得出吧。
在深度的样本区看到了机器狗logonDLL.dll穿透还原——2008年系列最新流行病毒查杀报告+样本下载，忍不住一试，
地址：http:/bbs.deepin.org/read.php?tid=555085没想到啊，完美查杀，可见NOD32并不单纯依靠其病毒库，而是靠其强大的高启发技术。
成功拦截
08年新病毒机器狗照样杀
由此看出NOD32防狗能力是很不错的，也由此看出病毒库对NOD32查杀效果并没什么影响，因为人家主要靠的是高启发技术啊，不像一些杀软完全靠病毒库查杀。
所以大家不必每天在意病毒库更新没有，也不要再抱怨什么对付木马完全没有能力，说实话，国内特殊的情况，NOD32对国内一些木马病毒无法警报我们应该理解，我们应该积极上报，让NOD32对付中国本土病毒更加强有力，但是常见的病毒木马NOD32是绝对可以查杀的，所以大家还是继续一起坚挺NOD32吧！
结束语：
虽然作者的收尾阶段描述有点夸张，病毒库用户还是定期更新为好，至此真相已大白。
网友交锋:启发式也有“高低贵贱”
不能把启发式理解成“脱壳引擎的一部分”，因为脱壳有“脱壳引擎”负责，脱壳的事情不可以放在启发式概念的范畴中。
1）
我们假设病毒文件是一个exe文件，这个exe文件没有壳，而且是所有杀毒软件都不认识的，这个时候，对所有杀毒软件来讲，扫描这个样本只需要“病毒库”以及“真正的启发式”，“脱壳引擎”根本不需要工作。我认为从专业的测试杀毒软件启发式的能力上，这样的测试才是有意义的，因为他是"病毒原体结构探测"。
但在日常我们遇到的大量病毒中，加壳是普遍现象，那么怎么理解启发式在面对大量加壳样本时应该付的责任？
我认为，启发式的责任仍然是“病毒原体结构探测”，只检查exe病毒原体的程序语言是否有符合可疑条件的情况。
有些杀毒软件，脱壳引擎方面功能简陋，对大量的壳都无法检查，这个时候他们真的很聪明，既然没能力脱壳，根本看不到exe文件的真面目，只能看见“壳”，那干脆针对“壳的结构进行”研究，最终研究成了一套独有的“启发式”：“探测壳结构”的方法，这样的启发式，我给其评分：“低、贱”
2)
为何说其低贱？因为他很容易被淘汰，需要不断的更新引擎，增加Internet更新数据量。
壳有多少种，多的数不清，每天都在有新的壳诞生，又有老的有bug的壳被淘汰，壳的“淘汰快”的特性，也意味着“探测壳结构”的“启发式”的特性也是如此，会随着壳而不断淘汰。
其次，误报率极高，因为壳再有特点，其特点也非常有限，他的特点远远不可以和“高级语言”编写的病毒的特点相提并论，要针对这么“没特点”的东西非要死心塌地的搞出一点名堂，连“脱壳”都脱不了的公司，也必定做不好，误报率闭眼也知道非常高，要不断的“加入白名单”才可以减少误报的数量，甚至一些软件的官方论坛每个版面都有“误报”之类的帖子，可见杀毒软件公司的一部分精力要投入到解决误报，而不是开发新引擎上面，也直接导致某些反病毒软件现在才有“Anti-root kit”组件功能，比其他二流厂商晚了起码2年的时间。
3)
真正优秀的启发式，并不是用一堆样本去测试，启发越多就越好，启发式的好坏，和用杂乱的样本去测试的结果没有直接关系。
----------------------------------------------------------------------------------------------------------------
一个高质量的“病毒原体结构探测”启发式，配合一个优秀的脱壳引擎，这样才能有非常好的测试结果，非常准确，误报率极低；
一个高质量的“病毒原体结构探测”启发式，配合一个普通的脱壳引擎，这样的测试结果只能说令人满意，非常准确，误报率极低；
一个高质量的“病毒原体结构探测”启发式，配合一个很差的脱壳引擎，这样的测试结果肯定不怎么样，但识别出的病毒，仍然非常准确，误报率极低；
----------------------------------------------------------------------------------------------------------------
可见，初级用户判断启发式是否是“病毒原体结构探测”，就是看其是否具有非常准确，误报率极低的特点。我们知道Norton也有启发式，但是非常无效，但是他非常准确，误报率极低，他也是真正的“病毒原体结构探测”，只不过很烂罢了。
优秀的“病毒原体结构探测”引擎目前常见的有NOD32、Panda、Bitdefender这3家。
----------------------------------------------------------------------------------------------------------------
一个高质量的“探测壳结构”启发式，配合一个优秀的脱壳引擎，测试结果完全依赖于病毒库的大小，当然结果非常准确，误报率极低；
一个高质量的“探测壳结构”启发式，配合一个普通的脱壳引擎，测试结果大部分依赖于病毒库的大小以及对壳结构的启发，结果比较准确，误报率中等；
一个高质量的“探测壳结构”启发式，配合一个很差的脱壳引擎，测试结果很不错，但不准确，误报率偏高；
----------------------------------------------------------------------------------------------------------------
初级用户如何判断自己用的软件是否是“探测壳结构”启发式，最简单的方法就是看其是否符合“不准确，误报率偏高”的特点，如果有这个特点，他的启发式就是“探测壳结构”启发式。
4)
启发式替代脱壳引擎？弥补杀软的不足？
的确是这样，一个脱壳引擎的开发，需要引擎专家几个月甚至几年的时间，当然这个是某些公司专家自己说的话，研究脱壳引擎脱某个壳花费了6个月的时间，但据我所知，这个专家除了周一~周五的每天8小时的工作时间之外，连杀毒软件看都不看，他仅仅当作是“工作而已”，根本没有把全部时间和精力都投入到引擎的开发中，这样“磨洋工”的干6个月，还不如交给尤金这样的专家干1个月，绰绰有余。
脱壳引擎好的软件当然存在，卡巴斯基、Dr.web的引擎就是非常好的例子。
为何到2006年卡巴斯基还没有启发式？因为真正的启发式-“病毒原体结构探测”启发式开发起来非常困难，卡巴斯基面临要开发的启发式，是针对病毒
原体的启发式，因为他自己的脱壳引擎已经足够强大可以脱壳，他们根本不需要研究一个“探测壳结构”的启发式来弥补脱壳引擎的不足，这个开发的
时间、工作量是远大于开发一个“探测壳结构”启发式的开发周期的。
----------------------------------------------------------------------------------------------------------------
这就是为什么没有启发式的卡巴6.0竟然在评测里面和一些有所谓的杀毒软件在同一个档次，因为后者的启发式根本就是“脱壳引擎的低档次替代品”，他也叫做“启发式”，但和传统意义上的“启发式”是完全两回事~，此“启发式”，非彼“启发式”。
“探测壳结构”的“发明”，目前欧洲新崛起的二、三流厂商纷纷效仿，因为开发一个“探测壳结构”的难度比开发脱壳引擎容易的多的多，“误报率高、引擎需要频繁更新以适应新的壳的结构”等等问题接踵而至，绝对不是一个一劳永逸的办法，也不是一个对用户负责任的行为。
总结：搞混启发式，绝对是混淆是非的行为，希望网友能理性看待“启发式”、“报壳”之间的种种联系和关系。
1）
我们假设病毒文件是一个exe文件，这个exe文件没有壳，而且是所有杀毒软件都不认识的，这个时候，对所有杀毒软件来讲，扫描这个样本只需要“病毒库”以及“真正的启发式”，“脱壳引擎”根本不需要工作。我认为从专业的测试杀毒软件启发式的能力上，这样的测试才是有意义的，因为他是"病毒原体结构探测"。
但在日常我们遇到的大量病毒中，加壳是普遍现象，那么怎么理解启发式在面对大量加壳样本时应该付的责任？
我认为，启发式的责任仍然是“病毒原体结构探测”，只检查exe病毒原体的程序语言是否有符合可疑条件的情况。
有些杀毒软件，脱壳引擎方面功能简陋，对大量的壳都无法检查，这个时候他们真的很聪明，既然没能力脱壳，根本看不到exe文件的真面目，只能看见“壳”，那干脆针对“壳的结构进行”研究，最终研究成了一套独有的“启发式”：“探测壳结构”的方法，这样的启发式，我给其评分：“低、贱”
2)
为何说其低贱？因为他很容易被淘汰，需要不断的更新引擎，增加Internet更新数据量。
壳有多少种，多的数不清，每天都在有新的壳诞生，又有老的有bug的壳被淘汰，壳的“淘汰快”的特性，也意味着“探测壳结构”的“启发式”的特性也是如此，会随着壳而不断淘汰。
其次，误报率极高，因为壳再有特点，其特点也非常有限，他的特点远远不可以和“高级语言”编写的病毒的特点相提并论，要针对这么“没特点”的东西非要死心塌地的搞出一点名堂，连“脱壳”都脱不了的公司，也必定做不好，误报率闭眼也知道非常高，要不断的“加入白名单”才可以减少误报的数量，甚至一些软件的官方论坛每个版面都有“误报”之类的帖子，可见杀毒软件公司的一部分精力要投入到解决误报，而不是开发新引擎上面，也直接导致某些反病毒软件现在才有“Anti-root kit”组件功能，比其他二流厂商晚了起码2年的时间。
3)
真正优秀的启发式，并不是用一堆样本去测试，启发越多就越好，启发式的好坏，和用杂乱的样本去测试的结果没有直接关系。
----------------------------------------------------------------------------------------------------------------
一个高质量的“病毒原体结构探测”启发式，配合一个优秀的脱壳引擎，这样才能有非常好的测试结果，非常准确，误报率极低；
一个高质量的“病毒原体结构探测”启发式，配合一个普通的脱壳引擎，这样的测试结果只能说令人满意，非常准确，误报率极低；
一个高质量的“病毒原体结构探测”启发式，配合一个很差的脱壳引擎，这样的测试结果肯定不怎么样，但识别出的病毒，仍然非常准确，误报率极低；
----------------------------------------------------------------------------------------------------------------
可见，初级用户判断启发式是否是“病毒原体结构探测”，就是看其是否具有非常准确，误报率极低的特点。我们知道Norton也有启发式，但是非常无效，但是他非常准确，误报率极低，他也是真正的“病毒原体结构探测”，只不过很烂罢了。
优秀的“病毒原体结构探测”引擎目前常见的有NOD32、Panda、Bitdefender这3家。
----------------------------------------------------------------------------------------------------------------
一个高质量的“探测壳结构”启发式，配合一个优秀的脱壳引擎，测试结果完全依赖于病毒库的大小，当然结果非常准确，误报率极低；
一个高质量的“探测壳结构”启发式，配合一个普通的脱壳引擎，测试结果大部分依赖于病毒库的大小以及对壳结构的启发，结果比较准确，误报率中等；
一个高质量的“探测壳结构”启发式，配合一个很差的脱壳引擎，测试结果很不错，但不准确，误报率偏高；
----------------------------------------------------------------------------------------------------------------
初级用户如何判断自己用的软件是否是“探测壳结构”启发式，最简单的方法就是看其是否符合“不准确，误报率偏高”的特点，如果有这个特点，他的启发式就是“探测壳结构”启发式。
4)
启发式替代脱壳引擎？弥补杀软的不足？
的确是这样，一个脱壳引擎的开发，需要引擎专家几个月甚至几年的时间，当然这个是某些公司专家自己说的话，研究脱壳引擎脱某个壳花费了6个月的时间，但据我所知，这个专家除了周一~周五的每天8小时的工作时间之外，连杀毒软件看都不看，他仅仅当作是“工作而已”，根本没有把全部时间和精力都投入到引擎的开发中，这样“磨洋工”的干6个月，还不如交给尤金这样的专家干1个月，绰绰有余。
脱壳引擎好的软件当然存在，卡巴斯基、Dr.web的引擎就是非常好的例子。
为何到2006年卡巴斯基还没有启发式？因为真正的启发式-“病毒原体结构探测”启发式开发起来非常困难，卡巴斯基面临要开发的启发式，是针对病毒
原体的启发式，因为他自己的脱壳引擎已经足够强大可以脱壳，他们根本不需要研究一个“探测壳结构”的启发式来弥补脱壳引擎的不足，这个开发的
时间、工作量是远大于开发一个“探测壳结构”启发式的开发周期的。
----------------------------------------------------------------------------------------------------------------
这就是为什么没有启发式的卡巴6.0竟然在评测里面和一些有所谓的杀毒软件在同一个档次，因为后者的启发式根本就是“脱壳引擎的低档次替代品”，他也叫做“启发式”，但和传统意义上的“启发式”是完全两回事~，此“启发式”，非彼“启发式”。
“探测壳结构”的“发明”，目前欧洲新崛起的二、三流厂商纷纷效仿，因为开发一个“探测壳结构”的难度比开发脱壳引擎容易的多的多，“误报率高、引擎需要频繁更新以适应新的壳的结构”等等问题接踵而至，绝对不是一个一劳永逸的办法，也不是一个对用户负责任的行为。
总结：搞混启发式，绝对是混淆是非的行为，希望网友能理性看待“启发式”、“报壳”之间的种种联系和关系。
ESET将重写启发式引擎和加强木马查杀(特别是亚洲木马)
1.eset目前已经大幅度改善对onlinegames的检测，以下是eset病毒研究员说的 引用
Thanks for all that samples you sent. Great job! Continuously I'm still working on it. Good news is that we have improved our detection for psw.onlinegames trojans which
steals passwords for various online games and which are widely spreaded in asia
注意:ESET将对亚洲广为流行的盗号木马加强查杀...
2.eset重写的启发式引擎比现有的启发式引擎提高达20% 引用:
You will see the heuristics improvement up to 20%.
Thanks for all that samples you sent. Great job! Continuously I'm still working on it. Good news is that we have improved our detection for psw.onlinegames trojans which
steals passwords for various online games and which are widely spreaded in asia
注意:ESET将对亚洲广为流行的盗号木马加强查杀...
2.eset重写的启发式引擎比现有的启发式引擎提高达20% 引用:
You will see the heuristics improvement up to 20%.
大蜘蛛的基因查杀和启发式扫描详解
基因查杀:
基因查杀并不是什么新技术，其实就是以前的广谱查杀，通过分析大量的病毒样本然后提取它们共同的特征后可查杀一类病毒。这个技术用好了可以大大提升侦测率，减轻病毒分析师的负担。这个技术的难点在于必须不断更新基因特征，因为病毒制造者即时做同一类病毒，但是肯定会对代码进行改动以躲避查杀，举例：同样是灰鸽子，以前用基因可以查杀2006版，但是2007版出来后用老的基因就效果不好了，必须再分析2007版的，提取新的基因代码才能有很好的效果。其实很多厂家都有用这个技术，但是由于无法做到一直更新基因代码，所以时间长了就没什么效果了。
总结：基因查杀技术的原理是通过分析大量病毒样本提取一类病毒的共同代码来防杀这类病毒，通常是提取关键代码。优点：提升侦测率，降低病毒分析师的压力。缺点：有误报的可能性。难点：必须不断更新基因代码，否则会使效果大打折扣。
启发式扫描:
病毒和正常程序的区别可以体现在许多方面，比较常见的如通常一个速应用程序在最初的指令是检查命令行输入有无参数项，清屏和保存原来屏幕显示等，而病毒程序则从来有会这样做，它通常最初的指令是直接写盘操作、解码指令，或搜索某路径下的可执行程序等相关操作指令序列。这些显著的不同之处，一个熟练的程序员在调试状态下只需一瞥便可一目了然。启发式扫描技术实际上就是把这种经验和知识移植到一个查病毒软件中的具体程序体现。
基因式扫描以Dr.web为代表.
启发式扫描以NOD32为代表.卡巴斯基KIS7.0也加入了启发式扫描。
基因查杀并不是什么新技术，其实就是以前的广谱查杀，通过分析大量的病毒样本然后提取它们共同的特征后可查杀一类病毒。这个技术用好了可以大大提升侦测率，减轻病毒分析师的负担。这个技术的难点在于必须不断更新基因特征，因为病毒制造者即时做同一类病毒，但是肯定会对代码进行改动以躲避查杀，举例：同样是灰鸽子，以前用基因可以查杀2006版，但是2007版出来后用老的基因就效果不好了，必须再分析2007版的，提取新的基因代码才能有很好的效果。其实很多厂家都有用这个技术，但是由于无法做到一直更新基因代码，所以时间长了就没什么效果了。
总结：基因查杀技术的原理是通过分析大量病毒样本提取一类病毒的共同代码来防杀这类病毒，通常是提取关键代码。优点：提升侦测率，降低病毒分析师的压力。缺点：有误报的可能性。难点：必须不断更新基因代码，否则会使效果大打折扣。
启发式扫描:
病毒和正常程序的区别可以体现在许多方面，比较常见的如通常一个速应用程序在最初的指令是检查命令行输入有无参数项，清屏和保存原来屏幕显示等，而病毒程序则从来有会这样做，它通常最初的指令是直接写盘操作、解码指令，或搜索某路径下的可执行程序等相关操作指令序列。这些显著的不同之处，一个熟练的程序员在调试状态下只需一瞥便可一目了然。启发式扫描技术实际上就是把这种经验和知识移植到一个查病毒软件中的具体程序体现。
基因式扫描以Dr.web为代表.
启发式扫描以NOD32为代表.卡巴斯基KIS7.0也加入了启发式扫描。
ESET高启发式扫描含义分析
这是很关键的技术！
实际上，ESET NOD32拥有专利的ThreatSense技术包含两层含义，
即ThreatSense引擎和ThreatSense.Net 预警系统。
ThreatSense引擎中又主要包含了两项技术，普遍特征检测+高级启发技术。
以前，杀毒软件都是主要通过病毒库里的病毒特征来对照，把合乎条件的病毒查出来。各防毒软件不断进行病毒库更新，壮大自己的病毒库，在最短时间内把最新的病毒特征收进去。现在不少产品依旧如此，甚至为了提高查杀率缩短入库时间，而粗略检验，导致误报频频
所谓普遍特征，就是指同一病毒族群中的不同变种，多半含有相同的病毒特征，从各变种中找出共同之处，包括一些非连续的程序代码，以此制作出通用的病毒普遍特征数据。
对照工序大大缩短时间。
同时，对于由同一病毒源头变化出来的新变种，只要吻合该族群的普遍特征条件，不更新病毒数据库也很有可能成功进行拦截。
但即使采用普遍特征检测技术，若遇上新病毒，也就是说病毒库内并无有关特征数据，防毒软件还是无法将新病毒辨认与进行拦截。
针对这种状况，ESET NOD32的 ThreatSense 引擎又加入了高级启发式技术 (Advanced Heuristics Technology)。它是一种主动防御(Proactive Protection) 技术，不依靠任何特征数据库，而是在扫描时主动地拆解与分析执行码，并在虚拟的仿真系统环境里执行它，观察是否包含任何具危险性的恶意行为。
实际上，ESET NOD32拥有专利的ThreatSense技术包含两层含义，
即ThreatSense引擎和ThreatSense.Net 预警系统。
ThreatSense引擎中又主要包含了两项技术，普遍特征检测+高级启发技术。
以前，杀毒软件都是主要通过病毒库里的病毒特征来对照，把合乎条件的病毒查出来。各防毒软件不断进行病毒库更新，壮大自己的病毒库，在最短时间内把最新的病毒特征收进去。现在不少产品依旧如此，甚至为了提高查杀率缩短入库时间，而粗略检验，导致误报频频
所谓普遍特征，就是指同一病毒族群中的不同变种，多半含有相同的病毒特征，从各变种中找出共同之处，包括一些非连续的程序代码，以此制作出通用的病毒普遍特征数据。
对照工序大大缩短时间。
同时，对于由同一病毒源头变化出来的新变种，只要吻合该族群的普遍特征条件，不更新病毒数据库也很有可能成功进行拦截。
但即使采用普遍特征检测技术，若遇上新病毒，也就是说病毒库内并无有关特征数据，防毒软件还是无法将新病毒辨认与进行拦截。
针对这种状况，ESET NOD32的 ThreatSense 引擎又加入了高级启发式技术 (Advanced Heuristics Technology)。它是一种主动防御(Proactive Protection) 技术，不依靠任何特征数据库，而是在扫描时主动地拆解与分析执行码，并在虚拟的仿真系统环境里执行它，观察是否包含任何具危险性的恶意行为。
主动防御技术解析
正如我们所看到的一样，计算机病毒(泛指所有的恶意程序或代码)攻击目前已经在IT安全威胁中占了头把交椅。当前的病毒攻击不仅仅会给计算机用户带来经济损失，还为其它安全威胁提供了途径; 并且，随着IT技术的发展，计算机病毒的产生和传播变得越来越快。因此，反病毒行业的厂商们也发展了很多新的技术以进行应对，如：主动防御技术，缩短对可能会大范围爆发的安全威胁的响应时间和加快反病毒数据库更新频率等。
今天，我们就一起来谈谈作为反病毒厂商新技术之一的主动防御技术(或者叫做“前摄防御”技术，意及在恶意程序产生不良后果前，就将其检测出来并做出相应的处理)。当今的反病毒产品，主要使用两种方法来检测恶意代码(安全威胁)：基于特征码的精确检测和主动防御。
所谓基于特征码的精确检测，就是指将计算机上的对象与已知病毒的模版(比如特征码)进行对比。这项技术要求反病毒厂商不断地发现、收集并分析新的威胁，并且制作出关于这些新威胁的描述及相应的处理方法，将它们放入特征数据库。对该方法进行评测的最主要标准就是：对新威胁的反应速度、反病毒数据库的更新频率和对恶意代码的检测率。这种检测方法的优点是能够准确地确定恶意代码并对其进行清除。但是，它的缺点也是显而易见的，那就是滞后性-总是在新的威胁产生后，才能对其进行分析并生成对应的特征码和处理方法。但是，随着新威胁产生速度的越来越快，它们能够在很短的时间内感染数以百万计的计算机。因此，越来越多的反病毒厂商开始在他们的产品中加入主动防御技术。
主动防御技术首先会构造一个框架(类似于一个筛子的外框)，并在其内填入一组预先定义好的规则(类似于筛眼)，这些规则是根据反病毒工程师在分析了超过几十万的大量病毒(或者说恶意程序)的代码特征和行为特征后提炼总结出来的，因此具有很大的代表性和前瞻性。主动防御会使用这组规则对被扫描对象内的代码和运行的行为进行分析，以确定其是否含有恶意代码和具有恶意行为。
从理论上来看，主动防御技术能够检测所有已知和未知恶意程序。但实际上，这是不现实的。我们要判断一个主动防御技术的有效性以及它能否脱离基于特征码的扫描技术而独立承担反病毒任务，就需要理解主动防御技术所基于的理论。目前来看，各反病毒厂商采用的主动防御技术主要有：启发式分析技术、入侵防御系统技术、缓冲区溢出检测技术、基于策略的检测技术、警告系统和行为阻止技术。卡巴斯基使用的技术主要有启发式分析技术、入侵防御系统技术、警告系统和行为阻止技术。而总的来说，反病毒厂商使用最多的是启发式分析和行为阻止这两项技术。
我们首先来看一下启发式分析技术。启发式分析技术又分为静态分析和动态分析两种。“静态分析”就是指使用启发式分析器分析被扫描对象中的代码(指令)，判断其中是否包含某些恶意的指令(反病毒程序中会定义一组预先收集到的恶意指令特征)。比如说，很多病毒会搜索可执行文件，创建注册表键值等行为。“静态”启发式分析器就会对被扫描对象中的代码进行解释，检查是否包含执行这些行为的指令，一旦找到这样的指令，就调高“可疑分数”。当可疑分数高达一定值，就会将被扫描对象判断为可疑的恶意程序。这种分析技术的优点在于，对系统资源使用较少，但是坏处就在于误报率太高。而“动态分析”是指由反病毒程序在计算机内存中专门开辟一个受严格保护的空间(由“虚拟机”技术来实现)，并将被检测对象的部分代码拷贝进这个空间，使用一定的技术手段来诱使这段代码执行，同时判断其是否执行了某些恶意行为(反病毒程序中会定义一组预先收集的恶意行为特征)。一旦发现有匹配的恶意行为，就会报告其为对应的恶意程序。这种技术的优点在于准确度很高。目前卡巴斯基7.0单机版中使用的启发式扫描技术就是基于卡巴斯基实验室于1992年就创造出来并经过多年不断改进的虚拟机技术。
接下来，我们再来看行为阻止技术。行为阻止技术是对程序的运行行为进行监控，并对任何的危险行为进行阻止的技术。该技术与使用虚拟机技术的启发式扫描不同，启发式扫描是在受保护的内存空间虚拟地运行代码，而行为阻止技术工作在实际的计算机环境中。它会检查包括修改(添加/删除/编辑)系统注册表、注入系统进程、记录键盘输入、试图隐藏程序等在内的大量潜在恶意行为。第一代的行为阻止技术，适用性并不是很强。当它检测到一个潜在的恶意行为时，就会弹出提示窗口，提示用户是否允许/阻止该行为。在某些时候，某些合法程序的行为也会被提示为恶意行为，这会给很多不理解这些进程及其行为的用户带来困扰。第二代，也是新一代的行为阻止技术在第一代技术的基础上，做了很大的改进。它不会仅仅根据某个独立的潜在恶意行为就提示风险，而是对程序行为执行的先后顺序进行分析，从而以更加智能和成熟的方式来判断程序的行为是否有恶意。该技术大大提高了对恶意行为判断的准确率。目前，卡巴斯基所有的产品中使用的就是新一代的行为阻止技术。在我们的技术中，不仅会分析/阻止恶意的行为，还能够修复恶意行为对系统造成的修改和破坏。
从以上着重描述介绍的主动防御技术(启发式分析技术和行为阻止技术)来看，主动防御技术也需要基于一个“知识库”进行工作。这个“知识库”中包含了大量恶意程序的潜在恶意行为/指令特征。主动防御技术分析/监控系统内进程或程序的行为和指令，并将它们与“知识库”中的特征进行比对，判断是否符合。而这个“知识库”需要反病毒专家对大量已知病毒进行分析，并且对它们的常见行为和指令进行归纳总结，并将提炼出来的特征值添加入“知识库”。说到这里，我们应该可以想到，主动防御技术能够防御大量使用已有恶意行为的新恶意程序。但是，如果某些新的恶意程序采用了全新的方法(不在“知识库”中的方法)来入侵、感染计算机，并盗取私密数据的话，主动防御技术仍然是无法对其进行有效防御的。因此，主动防御技术也需要不断地更新其“知识库”和其采用的判断逻辑，否则可能还是会被新的威胁钻了空子。
考虑到各种保护技术的优缺点和互补性，在卡巴斯基最新的7.0单机版产品中，我们使用了三重保护协同工作的方式来给用户提供完整的安全保护。三重保护是指：基于特征码的精确检测、启发式分析和行为阻止技术。这三重保护进行合理搭配，就能够实现完美的安全保护。
本贴来自天极网群乐社区--http://q.yesky.com/group/review-17627829.html
今天，我们就一起来谈谈作为反病毒厂商新技术之一的主动防御技术(或者叫做“前摄防御”技术，意及在恶意程序产生不良后果前，就将其检测出来并做出相应的处理)。当今的反病毒产品，主要使用两种方法来检测恶意代码(安全威胁)：基于特征码的精确检测和主动防御。
所谓基于特征码的精确检测，就是指将计算机上的对象与已知病毒的模版(比如特征码)进行对比。这项技术要求反病毒厂商不断地发现、收集并分析新的威胁，并且制作出关于这些新威胁的描述及相应的处理方法，将它们放入特征数据库。对该方法进行评测的最主要标准就是：对新威胁的反应速度、反病毒数据库的更新频率和对恶意代码的检测率。这种检测方法的优点是能够准确地确定恶意代码并对其进行清除。但是，它的缺点也是显而易见的，那就是滞后性-总是在新的威胁产生后，才能对其进行分析并生成对应的特征码和处理方法。但是，随着新威胁产生速度的越来越快，它们能够在很短的时间内感染数以百万计的计算机。因此，越来越多的反病毒厂商开始在他们的产品中加入主动防御技术。
主动防御技术首先会构造一个框架(类似于一个筛子的外框)，并在其内填入一组预先定义好的规则(类似于筛眼)，这些规则是根据反病毒工程师在分析了超过几十万的大量病毒(或者说恶意程序)的代码特征和行为特征后提炼总结出来的，因此具有很大的代表性和前瞻性。主动防御会使用这组规则对被扫描对象内的代码和运行的行为进行分析，以确定其是否含有恶意代码和具有恶意行为。
从理论上来看，主动防御技术能够检测所有已知和未知恶意程序。但实际上，这是不现实的。我们要判断一个主动防御技术的有效性以及它能否脱离基于特征码的扫描技术而独立承担反病毒任务，就需要理解主动防御技术所基于的理论。目前来看，各反病毒厂商采用的主动防御技术主要有：启发式分析技术、入侵防御系统技术、缓冲区溢出检测技术、基于策略的检测技术、警告系统和行为阻止技术。卡巴斯基使用的技术主要有启发式分析技术、入侵防御系统技术、警告系统和行为阻止技术。而总的来说，反病毒厂商使用最多的是启发式分析和行为阻止这两项技术。
我们首先来看一下启发式分析技术。启发式分析技术又分为静态分析和动态分析两种。“静态分析”就是指使用启发式分析器分析被扫描对象中的代码(指令)，判断其中是否包含某些恶意的指令(反病毒程序中会定义一组预先收集到的恶意指令特征)。比如说，很多病毒会搜索可执行文件，创建注册表键值等行为。“静态”启发式分析器就会对被扫描对象中的代码进行解释，检查是否包含执行这些行为的指令，一旦找到这样的指令，就调高“可疑分数”。当可疑分数高达一定值，就会将被扫描对象判断为可疑的恶意程序。这种分析技术的优点在于，对系统资源使用较少，但是坏处就在于误报率太高。而“动态分析”是指由反病毒程序在计算机内存中专门开辟一个受严格保护的空间(由“虚拟机”技术来实现)，并将被检测对象的部分代码拷贝进这个空间，使用一定的技术手段来诱使这段代码执行，同时判断其是否执行了某些恶意行为(反病毒程序中会定义一组预先收集的恶意行为特征)。一旦发现有匹配的恶意行为，就会报告其为对应的恶意程序。这种技术的优点在于准确度很高。目前卡巴斯基7.0单机版中使用的启发式扫描技术就是基于卡巴斯基实验室于1992年就创造出来并经过多年不断改进的虚拟机技术。
接下来，我们再来看行为阻止技术。行为阻止技术是对程序的运行行为进行监控，并对任何的危险行为进行阻止的技术。该技术与使用虚拟机技术的启发式扫描不同，启发式扫描是在受保护的内存空间虚拟地运行代码，而行为阻止技术工作在实际的计算机环境中。它会检查包括修改(添加/删除/编辑)系统注册表、注入系统进程、记录键盘输入、试图隐藏程序等在内的大量潜在恶意行为。第一代的行为阻止技术，适用性并不是很强。当它检测到一个潜在的恶意行为时，就会弹出提示窗口，提示用户是否允许/阻止该行为。在某些时候，某些合法程序的行为也会被提示为恶意行为，这会给很多不理解这些进程及其行为的用户带来困扰。第二代，也是新一代的行为阻止技术在第一代技术的基础上，做了很大的改进。它不会仅仅根据某个独立的潜在恶意行为就提示风险，而是对程序行为执行的先后顺序进行分析，从而以更加智能和成熟的方式来判断程序的行为是否有恶意。该技术大大提高了对恶意行为判断的准确率。目前，卡巴斯基所有的产品中使用的就是新一代的行为阻止技术。在我们的技术中，不仅会分析/阻止恶意的行为，还能够修复恶意行为对系统造成的修改和破坏。
从以上着重描述介绍的主动防御技术(启发式分析技术和行为阻止技术)来看，主动防御技术也需要基于一个“知识库”进行工作。这个“知识库”中包含了大量恶意程序的潜在恶意行为/指令特征。主动防御技术分析/监控系统内进程或程序的行为和指令，并将它们与“知识库”中的特征进行比对，判断是否符合。而这个“知识库”需要反病毒专家对大量已知病毒进行分析，并且对它们的常见行为和指令进行归纳总结，并将提炼出来的特征值添加入“知识库”。说到这里，我们应该可以想到，主动防御技术能够防御大量使用已有恶意行为的新恶意程序。但是，如果某些新的恶意程序采用了全新的方法(不在“知识库”中的方法)来入侵、感染计算机，并盗取私密数据的话，主动防御技术仍然是无法对其进行有效防御的。因此，主动防御技术也需要不断地更新其“知识库”和其采用的判断逻辑，否则可能还是会被新的威胁钻了空子。
考虑到各种保护技术的优缺点和互补性，在卡巴斯基最新的7.0单机版产品中，我们使用了三重保护协同工作的方式来给用户提供完整的安全保护。三重保护是指：基于特征码的精确检测、启发式分析和行为阻止技术。这三重保护进行合理搭配，就能够实现完美的安全保护。
本贴来自天极网群乐社区--http://q.yesky.com/group/review-17627829.html
行为杀毒
行为杀毒
从2006年开始，行为杀毒技术逐渐风行，行为杀毒工具是在应用程序执行时分析其行为，并拦截任何可能危险活动的行为。和启发杀毒技术特别是利用了虚拟机的启发技术不同，行为杀毒乃是在实际系统的环境中运作，所以被病毒欺骗的可能性几乎没有。
如今的行为杀毒技术可监控系统中各式各样的事件。可以控制各种危险的活动，并将所有对系统设置和程序的变化资料储存下来，并设立完善的行为白名单。
如果应用程序有危险的动作，行为杀毒模块会提醒用户，指出这种行为的危险性并同时拦截等用户处理。拦截工具还可拦截任意Dll注入其他处理程序的行为。拦截工具还可检测到Rootkit行为。
先进的行为杀毒技术还甚至可以在未知的程序执行恶意活动后，恢复变更，借以还原系统至感染前的状态。
特征码查杀与行为杀毒
从逻辑上讲，特征码是一种精确比对方案，病毒的特征码就相当于人的指纹，一个指纹可以确认一个坏人，在杀毒软件上就是一个特征码可以杀一种病毒，所以病毒库中有多少种病毒的特征，杀毒软件就只能杀多少种病毒木马，如果明天出现了新病毒，只能在升级病毒库之后才可以查杀。
而行为杀毒是一种模糊比对方案，所谓的行为杀毒，针对的对象不是单一的指纹而是思路和方法，行为杀毒本质上杀的是病毒和木马的编写思路方法。一种病毒木马的编写思路可以编写出多少种病毒木马？理论上是无限多种的！一条行为规则可以杀一种病毒木马的编写思路，所以一条行为规则理论上就可以查杀无限多种病毒木马，那么一个完善的行为规则库基本上就可以彻底查杀绝绝绝大多数的病毒和木马。这也就是行为杀毒较特征码杀毒的优越性所在！
行为杀毒的优劣
行为杀毒的长处：可发现未知病毒、可相当准确地预报未知的多数病毒。行为杀毒的短处：可能误报、不能识别病毒名称、实现时有一定难度。
应用行为杀毒比较优秀的软件
就目前而言，微点的主动防御功能已将行为杀毒发展到了一个新的高峰！大家可以试试！
从2006年开始，行为杀毒技术逐渐风行，行为杀毒工具是在应用程序执行时分析其行为，并拦截任何可能危险活动的行为。和启发杀毒技术特别是利用了虚拟机的启发技术不同，行为杀毒乃是在实际系统的环境中运作，所以被病毒欺骗的可能性几乎没有。
如今的行为杀毒技术可监控系统中各式各样的事件。可以控制各种危险的活动，并将所有对系统设置和程序的变化资料储存下来，并设立完善的行为白名单。
如果应用程序有危险的动作，行为杀毒模块会提醒用户，指出这种行为的危险性并同时拦截等用户处理。拦截工具还可拦截任意Dll注入其他处理程序的行为。拦截工具还可检测到Rootkit行为。
先进的行为杀毒技术还甚至可以在未知的程序执行恶意活动后，恢复变更，借以还原系统至感染前的状态。
特征码查杀与行为杀毒
从逻辑上讲，特征码是一种精确比对方案，病毒的特征码就相当于人的指纹，一个指纹可以确认一个坏人，在杀毒软件上就是一个特征码可以杀一种病毒，所以病毒库中有多少种病毒的特征，杀毒软件就只能杀多少种病毒木马，如果明天出现了新病毒，只能在升级病毒库之后才可以查杀。
而行为杀毒是一种模糊比对方案，所谓的行为杀毒，针对的对象不是单一的指纹而是思路和方法，行为杀毒本质上杀的是病毒和木马的编写思路方法。一种病毒木马的编写思路可以编写出多少种病毒木马？理论上是无限多种的！一条行为规则可以杀一种病毒木马的编写思路，所以一条行为规则理论上就可以查杀无限多种病毒木马，那么一个完善的行为规则库基本上就可以彻底查杀绝绝绝大多数的病毒和木马。这也就是行为杀毒较特征码杀毒的优越性所在！
行为杀毒的优劣
行为杀毒的长处：可发现未知病毒、可相当准确地预报未知的多数病毒。行为杀毒的短处：可能误报、不能识别病毒名称、实现时有一定难度。
应用行为杀毒比较优秀的软件
就目前而言，微点的主动防御功能已将行为杀毒发展到了一个新的高峰！大家可以试试！
特征码查杀技术
近日来，数家媒体质疑反病毒厂商防毒策略落后、难以应对越来越严重的网络安全状况。相关文章指出，传统的“特征码查杀技术”已经越来越暴露出其固有的弊端——滞后于病毒的出现，在电脑病毒数量越来越多、传播速度越来越快的网络环境下，将难以满足用户的安全需求。
针对电脑病毒和防毒厂商的“时间差”的问题，赛迪网采访了国内最大的信息安全厂商瑞星。出乎意料的是，瑞星副总裁毛一丁告诉赛迪网，瑞星正准备向新闻界公布重大的产品改进和研发策略。
“特征码查杀”过时了吗？
赛迪网：近日来，有媒体质疑反病毒厂商的防毒策略和主流的“特征码”技术已经过时了，瑞星如何看待这个问题？
毛一丁：首先要澄清一个事实：目前国内、国际上的所有反病毒产品，都采用“特征码”技术作为最基础的反病毒技术，经过十几年的实践证明，这一技术是成熟、可靠、有效的反病毒技术。可以肯定地说，“特征码”绝对没有过时。
赛迪网：“特征码”技术有什么优势？
毛一丁：“特征码”技术具有低误报率、高准确性、高可靠性等优势，其技术机理和执行流程也非常成熟，那就是我们通常说的“截获-反应-升级”。
在这个方面，国内外厂商都在不断提高反应速度和新病毒处理能力，，例如瑞星杀毒软件，从最早的一周升级一次已经提高到每天升级三次，现在我们每天处理上百个新病毒，并且还在不断加强技术力量、改进反应流程，竭力在最短的时间内为用户提供反病毒解决方案。
赛迪网：目前“特征码”技术和“截获-反应-升级”流程能满足用户防病毒的需求吗？
毛一丁：目前的病毒越来越多、传播越来越快，我们的反应速度和处理能力也在不断提高。从整体上说，是可以满足目前的用户需求的。
赛迪网：那么“特征码”技术有什么局限性？
毛一丁：“特征码”技术的局限性是明显的，因为通过这种流程，它的解决方案总是滞后于病毒的出现，所以厂商都以频繁升级的方式提高它的时效性。
赛迪网：瑞星来说，如何避免这种局限性？
毛一丁：以前，我们想了很多办法、通过各种方式弥补这种局限性；从现在起，我们将在研发方向、防毒策略和产品改进上，采取进一步的大刀阔斧的变革。虽然说目前“特征码”完全不存在过时的问题，但是如果我们不进步，也许在5年10年之后，用户会真的认为杀毒软件过时了。
赛迪网：有人说所有杀毒厂商都在卖“过期药”，您怎么看？
毛一丁：哈哈，这么说打击面也太大了吧。刚才我说了，目前的“特征码”技术是成熟、有效的，市场上这些经过了用户考验的主流厂商，卖的都不是“过期药”。
但是网络环境在变化、病毒也在变化，一切都在变化。如果反病毒厂商故步自封不思进取，那么肯定将来有一天，杀毒软件真的会成为“过期药”。
我相信，瑞星现在不是，以后也绝对不会成为“过期药”。
瑞星一直在追杀“未知病毒”
针对电脑病毒和防毒厂商的“时间差”的问题，赛迪网采访了国内最大的信息安全厂商瑞星。出乎意料的是，瑞星副总裁毛一丁告诉赛迪网，瑞星正准备向新闻界公布重大的产品改进和研发策略。
“特征码查杀”过时了吗？
赛迪网：近日来，有媒体质疑反病毒厂商的防毒策略和主流的“特征码”技术已经过时了，瑞星如何看待这个问题？
毛一丁：首先要澄清一个事实：目前国内、国际上的所有反病毒产品，都采用“特征码”技术作为最基础的反病毒技术，经过十几年的实践证明，这一技术是成熟、可靠、有效的反病毒技术。可以肯定地说，“特征码”绝对没有过时。
赛迪网：“特征码”技术有什么优势？
毛一丁：“特征码”技术具有低误报率、高准确性、高可靠性等优势，其技术机理和执行流程也非常成熟，那就是我们通常说的“截获-反应-升级”。
在这个方面，国内外厂商都在不断提高反应速度和新病毒处理能力，，例如瑞星杀毒软件，从最早的一周升级一次已经提高到每天升级三次，现在我们每天处理上百个新病毒，并且还在不断加强技术力量、改进反应流程，竭力在最短的时间内为用户提供反病毒解决方案。
赛迪网：目前“特征码”技术和“截获-反应-升级”流程能满足用户防病毒的需求吗？
毛一丁：目前的病毒越来越多、传播越来越快，我们的反应速度和处理能力也在不断提高。从整体上说，是可以满足目前的用户需求的。
赛迪网：那么“特征码”技术有什么局限性？
毛一丁：“特征码”技术的局限性是明显的，因为通过这种流程，它的解决方案总是滞后于病毒的出现，所以厂商都以频繁升级的方式提高它的时效性。
赛迪网：瑞星来说，如何避免这种局限性？
毛一丁：以前，我们想了很多办法、通过各种方式弥补这种局限性；从现在起，我们将在研发方向、防毒策略和产品改进上，采取进一步的大刀阔斧的变革。虽然说目前“特征码”完全不存在过时的问题，但是如果我们不进步，也许在5年10年之后，用户会真的认为杀毒软件过时了。
赛迪网：有人说所有杀毒厂商都在卖“过期药”，您怎么看？
毛一丁：哈哈，这么说打击面也太大了吧。刚才我说了，目前的“特征码”技术是成熟、有效的，市场上这些经过了用户考验的主流厂商，卖的都不是“过期药”。
但是网络环境在变化、病毒也在变化，一切都在变化。如果反病毒厂商故步自封不思进取，那么肯定将来有一天，杀毒软件真的会成为“过期药”。
我相信，瑞星现在不是，以后也绝对不会成为“过期药”。
瑞星一直在追杀“未知病毒”
订阅：
博文 (Atom)
