首先,要真正了解系統是否安全,任何惡意程式、病毒、木馬是否激活的話,應該從下面幾項看出來:
1. 自啟動
2. BHO,即IE載入的腳本
3. 驅動載入部分
4. Toolbar IE的搜索控制項
5. DLL載入部分
6. NT 服務項、隱藏服務
7. 文件並聯
8. 進程
如果從上面幾項找不到可疑、高風險的程式的話,可以百分百保證,你的電腦是安全的,就算有病毒檔案存在,至少它們也沒有激活。
傳統的防毒軟件(例如PC-cilin)固然可以找出電腦系統是否有檔案感染病毒,但是就是沒有設計一項系統安全性評分功能,這樣是很危險的,因為你總是未能得知你是否有未知的病毒、木馬感染。
第二點,傳統防毒軟件是以病毒定義檔(病毒碼)去判斷檔案是否安全,而較少用行為特徵掃描,去判斷檔案是否安全,這樣一來是永遠不能查出未知病毒,因為除非某人中毒,把樣本交出來分析,否則又可來有新的病毒碼呢?
以上兩點只是問題的冰山一角,所以,要令電腦遠離病毒,針對問題解決,防毒軟件應該具備:
1. 系統安全性評分
2. 對程式進行行為特徵掃描,設計要智能性
3. 密碼鎖防盜密碼
4. 自身防止進程終止,否則病毒可以殺死防毒軟件
5. 防止網站掛馬執行,還有防火牆等
6. 佔用資源少
後來,我找到這樣的一套防毒軟件下載,地址是:
http://www.s-sos.net/downloads/Terminator.htm
我把系統重灌後,安裝了常用程式,之後裝了它,到現在從未中過毒。
它的重要特色有兩個:
1. IE防止掛馬執行,上掛馬網站時,會有溫馨提示。
2. 採用異常行為識別技術,可以搵到99.9%的可疑程式。當我找到可疑程式後,我會送去化驗:
http://subwiz.trendmicro.com/SubWiz/Wizard.asp?opgWizard=7,有時會發現到新木馬新病毒。
異常行為識別技術不存特徵庫或不需要預先定義防護規則。它基於這樣的一個事實,任何非法程式或非法攻擊行為欲想達到破壞電腦安全目的,必須針對電腦系統中重要環節或部位施加影響才能完成。就好比一幢房子,房子的穩定性取決於地基及其核心架構的穩定性,只要保護好這些部位就可以確保
房子不會被倒塌,因此電腦的安全也是一樣。異常行為識別技術將會影響電腦安全重要部位,如內存、注冊表、系統檔、系統函數、網絡通信等等全部監控起來,一旦發現任何程式運行時對這些重要部位產生異常行為時,將其攔截,並分析其行為的合法性。
下面將列舉判斷動作的危險性的部份參數﹕
1、行為實施位置重要性
2、調用的系統函數的危險性
3、內存堆棧溢出
4、操作注冊表鍵值的重要性
5、系統檔操作情況
6、程式加殼行為情況
7、 ﹒﹒﹒﹒﹒﹒
從以上參數可以看出,異常行為識別技術不像防病毒軟件那樣,針對每個病毒程式做一組特徵,並不斷更新出現新病毒的特徵,而是針對將導致系統不安全運行的所有行為參數進行判斷。這些行為是可數的,可預知的。任何一個非法程式離開了這些異常行為都將不達破壞電腦安全目的,包括未知安全威脅。
當然,這樣做的好處固然名顯,但有時也會將一些正常程式進行攔截,因此軟件要同時採用數字証書技術和黑白名單技術,將常用的、可能產生異常行為的正常程式進行排除。
另外,我也裝了一套影子系統,Returnil Virtual System Personal Edition,在安裝任何新軟件前、執行任何可疑程式前,開啟Session Lock,C盤會在保護狀態,當測試完畢重新開機,就會復原,這樣做在最大程度減少中毒。