V3-6 计算机病毒诊断方法.pptx

计算机病毒诊断方法主讲崔升广

一、计算机病毒诊断方法自20世纪80年代出现具有危害性的计算机病毒以来，计算机专家们就开始研究防病毒技术，防病毒技术随着病毒技术的发展而发展。常用的计算机病毒诊断方法有如下几种，这些方法依据的原理不同，实现时所需的开销不同，检测范围也不同，各有所长。

一、计算机病毒诊断方法（1）特征代码法特征代码法是现在大多数防病毒软件的静态扫描所采用的方法，是检测已知病毒最简单、开销最小的方法，当防病毒软件公司收集到一种新的病毒时，就会从这个病毒中截取一小段独一无二而且足以表示这种病毒的二进制代码，来当作扫描此病毒的依据，而这段独一无二的代码就是所谓的病毒特征代码。分析出病毒的特征代码后，将其集中存放于病毒代码库文件中，在扫描的时候将扫描对象与特征代码库进行比较，如果吻合，则判断为感染了病毒。特征代码法实现简单，对于查杀已知的文件型病毒特别有效，由于已知特征代码，清除病毒十分安全和彻底。特征代码优点：检测准确，可识别病毒的名称，误报率低，依据检测结果可做杀毒处理。特征代码缺点：速度慢，不能检查多态型病毒，不能检查隐蔽型病毒，不能检查未知病毒。

一、计算机病毒诊断方法（2）检验和法。病毒在感染程序时，大多会使被感染的程序大小增加或者日期改变，校验和法就是根据病毒的这种行为来进行判断的。其把硬盘中的某些文件的资料汇总并记录下来，在以后的检测过程中重复此项动作，并与前次记录进行比较，借此来判断这些文件是否被病毒感染了。检验和法优点：方法简单，能发现未知病毒，被查文件的细微变化也能被发现。检验和法缺点：由于病毒感染并非文件改变的唯一原因，文件的改变常常是正常程序引起的，如常见的正常操作，所以校验和法误报率较高；效率低，不能识别病毒名称，不能检查隐蔽型病毒。（3）行为监测法。病毒感染文件时，常常有一些不同于正常程序的行为。利用病毒的特有行为和特性监测病毒的方法称为行为监测法。通过对病毒多年的观察、研究，研究者们发现有一些行为是病毒的共同行为，而且这些行为比较特殊，在正常程序中是比较罕见的行为，行为监测法会在程序运行时监测其行为，如果发现了病毒行为，则立即报警。

一、计算机病毒诊断方法（4）虚拟机法。虚拟机法即在计算机中创造一个虚拟系统，将病毒在虚拟环境中激活，从而观察病毒的执行过程，根据其行为特征，判断是否为病毒，这种方法对加壳和加密的病毒非常有效，因为这两类病毒在执行进最终是要自身脱壳和解密的，这样杀毒软件就可以在其“现出原形”之后通过特征代码法对其进行查杀。如沙箱即是一种虚拟系统，在沙箱内运行的程序会被完全隔离，任何操作都不对真实系统产生危害，就如同一面镜子，病毒所影响的只是镜子中的影子而已。（5）主动防御法。特征代码法查杀病毒已经非常成熟可靠，但是它总是落后于病毒的传播。随着网络安全防护的理念从独立的防病毒、防火墙、IPS产品转变到一体化防护，主动防御法就出现了。主动防御法是一种阻止恶意程序执行的方法，可以在病毒发作时进行主动而有效的全面防范，从技术层面上有效应对未知病毒的传播。

感谢您的观看主讲崔升广ThankYOU!