当前位置：文档之家 › 第5章 商业安全软件的常用技术 恶意代码防范课件

第5章 商业安全软件的常用技术 恶意代码防范课件

  • 格式：ppt
  • 大小：1.96 MB
  • 文档页数：26

下载文档原格式

  / 26

合集下载

恶意代码与计算机病毒的防治ppt课件

恶意代码与计算机病毒的防治ppt课件
潜伏机制的功能包括初始化、隐藏和捕捉。潜伏机制模块随 着感染的宿主程序的执行进入内存，首先，初始化其运行环 境，使病毒相对独立于宿主程序，为传染机制做好准备。然 后，利用各种可能的隐藏方式，躲避各种检测，欺骗系统， 将自己隐蔽起来。最后，不停地捕捉感染目标交给传染机制，
不停地捕捉触发条件交给表现机制。
计算机病毒（简称病毒）具有以下特征：
（1） 传染性
病毒通过各种渠道从已被感染的计算机扩散到未被感染的计 算机。所谓“感染”，就是病毒将自身嵌入到合法程序的指 令序列中，致使执行合法程序的操作会招致病毒程序的共同
执行或以病毒程序的执行取而代之。
（2） 隐蔽性
病毒一般是具有很高编程技巧的、短小精悍的一段代码，躲 在合法程序当中。如果不经过代码分析，病毒程序与正常程
病毒防治不仅是技术问题，更是社会问题、管理问题和教育 问题，应建立和健全相应的国家法律和法规，建立和健全相 应的管理制度和规章，加强和普及相应的知识宣传和培训。
病毒防治软件按其查毒杀毒机制分为病毒扫描型、完整性检 查型和行为封锁型。选购病毒防治软件时，需要注意的指标 包括检测速度、识别率、清除效果、可管理性、操作界面友
有害的。
特洛伊木马经常伪装成游戏软件、搞笑程序、屏保、非法 软件、色情资料等，上载到电子新闻组或通过电子邮件直接
传播，很容易被不知情的用户接收和继续传播。
(2) 逻辑炸弹
逻辑炸弹（Logic bomb）是一段具有破坏性的代码，事先 预置于较大的程序中，等待某扳机事件发生触发其破坏行为。 一旦逻辑炸弹被触发，就会造成数据或文件的改变或删除、
第14章 恶意代码与计算机
14.1 恶意代码 14.2 计算机病毒 14.3 防治措施 14.4 本章小结
习题

《恶意代码分析》课件

《恶意代码分析》课件

简介
恶意代码是指具有破坏、非法获取信息等恶意目的的计算机程序。了解恶意 代码的定义、意义以及分类可以帮助我们更好地进行恶意代码分析。
恶意代码分析流程
1
收集样本
获取恶意代码样本是分析的起点，可以通过手动或自动化的方式进行收集。
2
静态分析
通过分析文件结构、反汇编等方法获取恶意代码的详细信息。
3
动态分析
《恶意代码分析》PPT课件
# 恶意代码分析 PPT课件 ## 简介 - 什么是恶意代码 - 为什么要进行恶意代码分析 - 恶意代码分类介绍 ## 恶意代码分析流程 - 收集样本 - 静态分析 - 文件结构分析 - 反汇编分析 - 动态分析 - 虚拟化环境 - 行为分析 - 网络分析 ## 收集样本 - 手动收集
定期更新操作系统和软件补丁，加强系统和应 用的安全性。
防火墙
配置强大的防火墙，阻止未经授权的访问，减 少恶意代码的传播。
安全教育
提高员工和用户的安全意识，培养正确的网络 安全防范习惯。
总结
恶意代码分析的重要性
了解恶意代码的分析方法，有 助于提前发现和防范潜在的安 全威胁。
分析方法的优缺点
静态分析可快速检测已知恶意 代码，动态分析适用于未知恶 意代码。
动态分析方法
虚拟化环境
在虚拟机或沙箱中运行恶意代 码，观察其行为。
行为分析
通过监控恶意代码的进程和文 件系统活动，分析其具体行为。
网络分析
通过分析恶意代码的网络流量 和DNS查询，了解其通信行为 和可能的远程命令。
恶意代码防范
杀毒软件
安装可靠的杀毒软件，及时更新病毒库以提高 恶意代码的检测率。
安全加固
签名识别
通过对恶意代码的特 征进行匹配，使用已 知的病毒库进行签名 识别。

《恶意代码》课件

《恶意代码》课件

实际案例分析
WannaCry勒索软件
WannaCry勒索软件于2017年肆虐全球，通过利用系统漏洞进行传播，并勒索用户的数据。
NotPetya病毒攻击
NotPetya病毒于2017年造成了广泛的破坏，瘫痪了许多企业和机构的计算机系统。
Mirai僵尸网络攻击
Mirai僵尸网络攻击于2016年发生，通过攻击物联网设备形成大规模的攻击力。
恶意代码的传播途径
恶意代码可以通过电子邮件、网络下载、恶意 链接等多种途径传播。
恶意代码的种类
恶意代码的种类多种多样，包括病毒、蠕虫、 木马、间谍软件等。
恶意代码的危害
恶意代码可能导致数据丢失、系统崩溃、个人 隐私泄露等严重后果。
常见恶意代码
病毒
病毒是一种可以自我复制和传播的恶意代码，可以 通过感染文件、网络或外部存储设备传播。
蠕虫
蠕虫是一种能够自动复制和传播的恶意代码，可以 通过网络和系统漏洞进行传播。
木马
木马是一种表面上看起来无害的程序，但实际上会 在用户不知情的情况下执行恶意操作。
间谍软件
间谍软件是一种能够搜集用户个人信息并发送给攻 击者的恶意代码。
恶意代码的防范措施
1 安装杀毒软件
及时安装并定期更新杀毒 软件是防范恶意代码的基 本措施。
总结
恶意代码的威胁
恶意代码对个人和组织的信息安全和网络安全构成了严重威胁。
增强网络安全意识的必要性
加强网络安全教育，提高用户和企业的安全意识，是防范恶意代码的重要手段。
恶意代码防范的重要性
采取有效的恶意代码防范措施，可以避免数据损失、系统崩溃和个人隐私泄露。
《恶意代码》PPT课件
在这个《恶意代码》PPT课件中，我们将介绍恶意代码的概念、种类、传播途 径和危害，以及常见恶意代码如病毒、蠕虫、木马和间谍软件的特点和危害。 我们还会讨论恶意代码的防范措施和一些实际案例分析。

企业安全培训课件：恶意代码的防范与应对

企业安全培训课件：恶意代码的防范与应对

漏洞扫描和修复。
应对恶意代码的应急措施
1
隔离被感染设备
立即将感染设备与网络隔离，以防止恶
收集证据
2
意代码的进一步传播。
保存相关日志和恶意代码样本，以便后
续的分析和取证。
3
恢复系统
重新安装受感染的系统或从备份中恢复 数据，确保系统重建后的安全性。
常见的恶意代码防御工具和技术
防火墙
监控和控制网络流量，阻止恶意 代码对系统的攻击。
防病毒软件
扫描、检测和删除计算机中的病 毒和恶意软件。
入侵检测系统
监测和检测网络中的异常活动和 攻击行为。
2 教育和培训
为员工提供恶意代码防范 的培训和意识教育，防止 点击不明链接或下载未知 来源的文件。
3 访问控制
限制对敏感数据和系统的 访问权限，使用多因素身 份验证方式。
企业恶意代码防护策略
网络安全设备
使用防火墙、入侵检测系统和 安全网关等网络安全设备，过 滤恶意代码流量。
应用白名单
限制可执行文件的运行，只允 许特定的应用程序运行，防止 恶意代码执行。
为什么要分类恶意代码？
通过分类恶意代码，可以更 好地了解它们的特征和行为， 从而制定有效的防御措施。
恶意代码的传播途径
钓鱼邮件
通过冒充信任的来源，诱使用户 点击恶意链接或下载附件。
感染的USB驱动器
通过插入感染恶意代码的USB驱 动器传播到目标计算机。
恶意网站
通过诱导用户访问恶意网站，将 恶意代码注入用户计算机。
企业安全培训课件：恶意 代码的防范与应对
在这个安全培训课程中，你将学习恶意代码的定义、分类和传播途径，以及 防范恶意代码的基本原则和企业恶意代码防护策略。

恶意代码检测与防范技术ppt课件

恶意代码检测与防范技术ppt课件
恶意代码刚出现时发展较慢，但是随着网络飞速发展，Internet 成为恶意代码发布并快速蔓延的平台。特别是过去5 年，不断涌现的 恶意代码，证实了这一点。 3）从病毒到电子邮件蠕虫，再到利用系统漏洞主动攻击的恶意代码
恶意代码的早期，大多数攻击行为是由病毒和受感染的可执行文 件引起的。然而，在过去5 年，利用系统和网络的脆弱性进行传播和 感染开创了恶意代码的新纪元。
火灾袭来时要迅速疏散逃生，不可蜂 拥而出 或留恋 财物， 要当机 立断， 披上浸 湿的衣 服或裹 上湿毛 毯、湿 被褥勇 敢地冲 出去
11.1 常见的恶意代码
1. 恶意代码概述
代码是指计算机程序代码，可以被执行完成特定功能。任何事物 都有正反两面，人类发明的所有工具既可造福也可作孽，这完全取 决于使用工具的人。
指一段嵌入计算机系统程序的，通过特殊的数据或时间作为 条件触发，试图完成一定破坏功能的程序。
潜伏、传染和 破坏
扫描、攻击和扩 散
欺骗、隐蔽和信 息窃取 潜伏和破坏 Nhomakorabea病菌
指不依赖于系统软件，能够自我复制和传播，以消耗系统资 源为目的的程序。
用户级RootKit
指通过替代或者修改被系统管理员或普通用户执行的程序进 入系统，从而实现隐藏和创建后门的程序。
意代码入侵的途径很多，比如，从互联网下载的程序本身就可能含有恶 意代码；接收已感染恶意代码的电子邮件；从光盘或软盘往系统上安装 软件；黑客或攻击者故意将恶意代码植入系统等。
② 维持或提升现有特权。恶意代码的传播与破坏必须盗用用户或者
进程的合法权限才能完成。
③ 隐蔽策略。为了不让系统发现恶意代码已经侵入系统，恶意代码
核心级RootKit 指嵌入操作系统内核进行隐藏和创建后门的程序

网络安全课件-恶意代码及应对策略

网络安全课件-恶意代码及应对策略
网络安全课件——恶意代 码及应对策略
在这个网络安全课件中，我们将深入讨论恶意代码的种类、危害以及如何应 对的策略，帮助您更好地保护自己和您的组织。让我们开始吧！
什么是恶意代码？
1 恶意软件
2 病毒
恶意软件是一种被设计用来 窃取信息、破坏系统或者危 害用户安全的软件。
3 蠕虫
病毒是一种依附于其他程序 的恶意代码，它可以自我复 制，并在被启动时执行恶意 操作。
加强员工对钓鱼攻击、下载 附件和点击链接的警惕性。
强化安全措施
使用有效的防火墙、反病毒 软件和反垃圾邮件工具来阻 止恶意代码的传播。
定期更新软件和操作系统， 修补已知漏洞。
数据备份和恢复
定期备份数据，确保在恶意 代码感染或数据丢失时能够 恢复。
测试和验证备份数据的完整 性和可用性。
实时监测和响应
1 安全事件监测
恶意代码的危害
1
经济损失
2
恶意代码可以导致数据丢失、系统瘫
痪和服务中断，给组织和个人带来巨
大的经济损失。
3
数据泄露恶ຫໍສະໝຸດ 代码可以窃取个人、商业和政府 数据，造成隐私泄露和知识产权损失。
声誉损害
数据泄露、系统漏洞和被黑客攻击的 事件会对组织的声誉和可信度造成负 面影响。
恶意代码防御策略
网络安全教育
提供员工网络安全培训以增 强其识别和防范恶意代码的 能力。
使用入侵检测系统和日 志分析工具实时监测网 络活动以识别潜在的攻 击。
2 响应计划
制定灵活的安全响应计 划来快速应对和恢复恶 意代码感染事件。
3 取证和调查
在遭受恶意代码攻击后， 进行取证和调查以了解 攻击的来源和方式。
总结
了解不同类型的恶意代码和其危害，制定针对性的防御策略，强化安全意识 和措施，并保持实时监测和响应，是有效应对恶意代码的关键。

计算机病毒及恶意代码ppt课件

病毒分析
➢ 宏病毒
就是使用宏语言编写的程序，可以在一些数 据处理系统中运行，存在于字处理文档、数 据表格、数据库、演示文档等数据文件中
➢ 感染过程
改写Word宏
改写文档自动执行宏，如AutoOpen、FileSave FilePrint等等
.
23
5.2.2 病毒分析
转换成文档模板的宏
（5）主动攻击型病毒阶段（第五阶段）
典型代表：冲击波、震荡波病毒和木马等。
.
4
5.1.2计算机病毒发展历史
➢ 计算机病毒的产生原因
计算机病毒的产生原因主要有4个方面：
1） 恶作剧型 2） 报复心理型 3） 版权保护型 4） 特殊目的型
.
5
5.1.3计算机病毒的命名方式
➢ 病毒的命名并无统一的规定，基本都是采 用前后缀法来进行命名。
破坏性大
.
25
5.2.3 传统计算机病毒防御
➢ 文件型病毒一般采用以下一些方法
安装最新版本、有实时监控文件系统功能的防 病毒软件。
及时更新病毒引擎，最好每周更新一次，并在 有病毒突发事件时立即更新。
经常使用防毒软件对系统进行病毒检查。 对关键文件，如系统文件、重要数据等，在无
毒环境下备份。 在不影响系统正常工作的情况下对系统文件设
由于脚本的简单性，使以前对病毒不了解的人都可以在很短 的时间里编出一个新型病毒。
病毒源码容易被获取、变种多
其源代码可读性非常强
.
28
5.3.1 脚本病毒概述
感染力强。
采用脚本高级语言可以实现多种复杂操作，感染其它文件或 直接自动运行。
破坏力强
脚本病毒可以寄生于HTML或邮件通过网络传播，其传播速 度非常快。脚本病毒不但能够攻击被感染的主机，获取敏感 信息，删除关键文件；更可以攻击网络或者服务器，造成拒 绝服务攻击，产生严重破坏。

第5章 计算机病毒及恶意代码ppt课件

2018/11/14 7
5.1.3 计算机病毒特征

网络病毒又增加很多新的特点 1）主动通过网络和邮件系统传播 ； （木马病毒是通过欺骗用户下载或QQ通信软件 传播的；蠕虫病毒是通过系统漏洞，把自己植 入到被攻击的主机中） 2）计算机的病毒种类呈爆炸式增长； 3）变种多，容易编写，并且很容易被修改， 生成很多病毒变种 ； 4）融合多种网络技术，并被黑客所使用
5
2018/11/14
5.1.2计算机病毒历史





DOS病毒,破坏表现：唱歌、删除文件、格式化硬盘、屏幕 上显出各式各样的图形与音效。主要病毒如耶路撒冷、米开 朗基罗、猴子病毒等 。 基于Windows运行环境的病毒，随着微软Office软件的普 及，出现了宏病毒，各种脚本病毒也日益增多，著名病毒如 CIH病毒等。 网络时代的病毒则以替换原有正常进程，或者直接以单独的 进程形式出现。传染方式由传统的移动存储介质方式，转变 为直接通过网络传播，通过各种系统漏洞进行攻击。 网络时代病毒已经突破了传统病毒的技术，融合许多网络攻 击技术，如蠕虫技术、木马技术、流氓软件、网络钓鱼等。 传统病毒与木马和蠕虫的分析比较如表5-1所示。（略）
第5章 计算机病 毒及恶意代码
第五章 计算机病毒及恶意代码





5.1 计算机病毒概述 5.2 传统的计算机病毒 5.3 脚本病毒 5.4网络蠕虫 5.5木马技术 5.6网络钓鱼 5.7僵尸网络 5.8浏览器劫持 5.9 流氓软件
2018/11/141.1 计算机病毒的定义 计算机病毒，是指编制或者在计算机程序中插入 的破坏计算机功能或者毁坏数据，影响计算机 使用，并能自我复制的一组计算机指令或者程 序代码。” 美国计算机安全专家Fred Cohen博士认为： 计算机病毒是一种能传染其它程序的程序， 病毒是靠修改其它程序，并把自身的拷贝嵌 入其它程序而实现的。

恶意代码检测与防范技术.ppt


外部观察法
恶意代码作为一段程序在运行过程中通常会对系 统造成一定的影响，有些恶意代码为了保证自己 的自启动功能和进程隐藏的功能，通常会修改系 统注册表和系统文件，或者会修改系统配置。
通过网络进行传播、繁殖和拒绝服务攻击等破坏活动 通过网络进行诈骗等犯罪活动 通过网络将搜集到的机密信息传递给恶意代码的控制者 在本地开启一些端口、服务等后门等待恶意代码控制者 对受害主机的控制访问
yourcompanysloganyourcompanyslogan恶意代码分析方法比较分析内容代码特征分外部观察法跟踪调试法隐藏功能自主攻击和繁殖功能对分人员的依赖程度对分析环境的破坏可控yourcompanysloganyourcompanyslogan恶意代码分析步骤利用静态特征分析的方法分析恶意代码的加密和压缩特性22通过动态调试法来评估恶意代码运行过程中对系统文件注册表和网络通讯状态的影响33通过静态语义分析根据1和2的结果判断恶意代码的功能模块构成??44利用3的分析结果再次进行跟踪调试55对恶意代码所有技术特征进行评估并给出详细的报告yourcompanysloganyourcompanyslogan恶意代码分析步骤11利用静态特征分析的方法分析恶意代码的加密和压缩特性通过动态调试法来评估恶意代码运行过程中对系统文件注册表和网络通讯状态的影响33通过静态语义分析根据1和2的结果判断恶意代码的功能模块构成??44利用3的分析结果再次进行跟踪调试55对恶意代码所有技术特征进行评估并给出详细的报告yourcompanysloganyourcompanyslogan恶意代码分析步骤11利用静态特征分析的方法分析恶意代码的加密和压缩特性22通过动态调试法来评估恶意代码运行过程中对系统文件注册表和网络通讯状态的影响通过静态语义分析根据1和2的结果判断恶意代码的功能模块构成??44利用3的分析结果再次进行跟踪调试55对恶意代码所有技术特征进行评估并给出详细的报告yourcompanysloganyourcompanyslogan恶意代码分析步骤11利用静态特征分析的方法分析恶意代码的加密和压缩特性22通过动态调试法来评估恶意代码运行过程中对系统文件注册表和网络通讯状态的影响33通过静态语义分析根据1和2的结果判断恶意代码的功能模块构成??利用3的分析结果再次进行跟踪调试55对恶意代码所有技术特征进行评估并给出详细的报告yourcompanysloganyourcompanyslogan恶意代码分析步骤11利用静态特征分析的方法分析恶意代码的加密和压缩特性22通过动态调试法来评估恶意代码运行过程中对系统文件注册表和网络通讯状态的影响33通过静态语义分析根据1和2的结果判断恶意代码的功能模块构成??44对恶意代码所有技术特征进行评估并给出详细的报告yourcompanysloganyourcompanyslogan作

恶意代码防治ppt


THANKS
谢谢您的观看
该方法的优点是简单易用，对于已知的恶意代码样本具有良 好的检测效果。但是，由于恶意代码的不断演变和变异，该 方法也容易出现误报和漏报。
基于行为的检测技术
基于行为的检测技术是一种通过对系统进行监控，实时检 测恶意行为的方法。它的基本原理是，通过对系统进行监 控，捕捉恶意行为，如文件读写、网络连接等，从而检测 出未知的恶意代码。
建立漏洞修补机制
制定漏洞修补流程，及时对发现的安全漏洞进行修补，并对系统进行重新测 试，确保系统安全。
安全软件部署
部署防病毒软件
选择可靠的防病毒软件，及时更新病毒库，全面监控和检测系统中的病毒、木马 等恶意代码。
安装防火墙
配置合理的防火墙规则，限制未授权的网络访问，防止外部攻击。
安全审计和监控
建立安全审计机制
将受感染的计算机与其他网络隔离，防止恶意代码扩散
详细描述
当发现计算机感染了恶意代码时，及时将其与其他网络隔离是防止恶意代码扩散的有效手段。可以使用各种网 络安全设备和技术手段实现网络隔离，如防火墙、入侵检测系统等。同时，也需要对隔离区内的计算机进行彻 底检查和清理，确保其不存在其他潜在的安全威胁。
06
总结词
清理注册表中的恶意代码键值，恢复系统正常配置
详细描述
恶意代码常常会修改注册表中的某些键值来实现其持久化存在和功能实现。因此，在清除恶意代码时 ，可以使用注册表清理工具或手动定位并删除相关键值。在清理注册表时，需要特别注意不要随意删 除与系统正常运行相关的键值，以免导致系统异常。
网络隔离
总结词
恶意代码防治ppt
xx年xx月xx日
目 录
• 恶意代码概述 • 恶意代码的传播途径 • 恶意代码的防范措施 • 恶意代码的检测技术 • 恶意代码的清除方法 • 恶意代码防治的未来展望
  1. 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
  2. 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
  3. 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
旧的依赖客户个人计算机的杀毒模式可能已 经走到了尽头。现在提出的所谓“云安全” 其实就是把原来放在客户端的分析计算能力 转移到了服务器端，从而使得客户端变轻了 。
信息安全工程学院
School of Information Security Engineering
（6）无缝连接技术
嵌入式杀毒技术 无缝连接是在充分掌握系统的底层协议和接口规 范的基础上，开发出与之完全兼容的产品的技术 。 应用实例
• 右键快捷方式 • 硬盘格式的支持 • Office套件的支持等
信息安全工程学院
School of Information Security Engineering
（7）检查压缩文件技术
压缩文件是病毒的重要藏身地之一。 杀毒思路：
• 第一种：压缩病毒码 • 第二种：先解压后查毒（需要虚拟执行技术）
检测:
• 单特征代码 • 多特征代码
清除：
• 具体案例具体分析 • 加壳
信息安全工程学院
School of Information Security Engineering
防治技术历史总结
第一代防治技术采取单纯的特征代码诊断，但是 对加密、变形的新一代恶意代码无能为力。 第二代防治技术采用静态广谱特征扫描技术，可 以检测变形恶意代码，但是误报率高，清除风险 大。 第三代防治技术将静态扫描技术和动态仿真跟踪 技术相结合。
信息安全工程学院
School of Information Security Engineering
（3）虚拟机技术
接近于人工分析的过程 原理
• 用程序代码虚拟出一个CPU来，同样也虚拟CPU的各个 寄存器，甚至将硬件端口也虚拟出来，用调试程序调 入“病毒样本”并将每一个语句放到虚拟环境中执行 ，这样我们就可以通过内存和寄存器以及端口的变化 来了解程序的执行，从而判断是否中毒。
加密、变形等病毒
信息安全工程学院
School of Information Security Engineering
主要执行过程：
• 在查杀病毒时，在机器虚拟内存中模拟出一个“指令执行虚拟机 器”；
• 在虚拟机环境中虚拟执行（不会被实际执行）可疑带毒文件； • 在执行过程中，从虚拟机环境内截获文件数据，如果含有可疑病
信息安全工程学院
School of Information Security Engineering
第四代防治技术基于多位CRC校验和扫描机理、 启发式智能代码分析模块、动态数据还原模块( 能查出隐蔽性极强的进技术， 能够较好地完成查杀任务。 第五代防治技术主要体现在反蠕虫、木马等方面 。这一代技术作为一种整体解决方案出现，形成 了包括漏洞扫描、恶意代码查杀、实时监控、数 据备份、个人防火墙等技术的立体防治体系。
毒代码，则说明发现了病毒。 • 杀毒过程是在虚拟环境下摘除可疑代码，然后将其还原到原文件
中，从而实现对各类可执行文件内病毒的杀除。
信息安全工程学院
School of Information Security Engineering
（4）驱动程序技术
DOS设备驱动程序 VxD（虚拟设备驱动）是微软专门为Windows制定 的设备驱动程序接口规范。 NT核心驱动程序 WDM（Windows Driver Model）是Windows驱动程 序模型的简称。 作用：开发监控程序、接近系统内核的程序
信息安全工程学院
School of Information Security Engineering
（5）云查杀技术
云计算（cloud computing），一种分布式计 算技术，其最基本的概念，是透过网络将庞 大的计算处理程序自动分拆成无数个较小的 子程序，再交由多部服务器所组成的庞大系 统经搜寻、计算分析之后将处理结果回传给 用户。
• 虚拟机：虚拟出一个软件系统
信息安全工程学院
School of Information Security Engineering
（9）启发式扫描技术
启发式指的“自我发现的能力”或“运用某种方 式或方法去判定事物的知识和技能。” 一个运用启发式扫描技术的病毒检测软件，实际 上就是以特定方式实现的动态跟踪器或反编译器 ，通过对有关指令序列的反编译逐步理解和确定 其蕴藏的真正动机。
信息安全工程学院
School of Information Security Engineering
2 商业软件采用的防治技术
内存检测技术 广谱特征码 虚拟机技术 驱动程序技术 云查杀技术 无缝连接技术 检查压缩文件 沙盘技术 启发式扫描技术 PE病毒的启发式特征 网络立体防御技术
信息安全工程学院
• 实模式
信息安全工程学院
School of Information Security Engineering
（2）广谱特征码 从本质上讲，广谱特征码仍旧是特征码，只是在 其基础上稍加变通而已。 为了对付多态性恶意代码 广谱特征码的获取采用分段的，中间可以包含任 意的内容(例如掩码字节)的特征码。
1896
1920
1987
2006
商业安全软件的常用技术
刘功申 上海交通大学信息安全工程学院
信息安全工程学院
School of Information Security Engineering
信息安全工程学院
School of Information Security Engineering
1 恶意代码防治技术的进展
信息安全工程学院
School of Information Security Engineering
（8）沙盘技术
让可执行文件都在沙盘程序中运行，当这个程序 发生改变，它只是在这个沙盘中改变，对真实的 系统不会造成任何改变。 沙盘和虚拟机的区别：
• 沙盘：利用现有操作系统，只是监控并改写恶意程序 的读写途径
School of Information Security Engineering
（1）内存检测技术
恶意代码一旦被装入内存并成为活跃进程后，它 就可以用隐藏技术（很多恶意代码都采用隐藏技 术）来躲避扫描器。 内存扫描
• DOS • 非常简单
• Windows • 用户模式
– ReadProcessMemory，OpenProcess， TerminateProcess等