病毒检测技术的取证应用--外延化的广谱检测引擎和技术体制3.pptVIP

纲要 技术对比 走向取证的自发性发展 样本的分析体制与新探索 技术现状 一、技术对比 概念对比 技术相似 首先，相关的取证技术的部分环节与反病产品的性质一样，需要在大量的数据中，确定其中符合某种定义的信息的存在。 ? 其次，从广义的理论领域来说，都可以视为信息指纹技术的相关分支。 不同点 取证系统应最少的影响现场，不应影响文件的最后访问时间，而这在反病毒系统中则不需要考虑。反病毒软件不仅要检测病毒，也要能够清除和遏制病毒，而取证系统则不需要清除处理。 取证产品的检测范围要比反病毒软件更广泛，反病毒软件在报警上比较慎重，因此对类似商用spyware、远程控制工具等等，都不作检测，而取证产品则需要找到更多的信息。 同时，取证系统需要更深入的关联分析，取证技术最终是要确定某个事件背后的逻辑关系，如确定一个程序是否为有害程序，对反病毒产品来说，这本身既是一个目的，而在取证技术来说，这只是一个手段。 取证需求分析 寻找指定格式文件 寻找指定功能文件 寻找指定内容文件 需求和对应技术 反病毒引擎已经解决上面问题 图片引自Kaspersky Labs 引擎工作示例 二、取证应用的自发性发展 问题与挑战 检测范围的自然扩大 AV辩证法面临的挑战 检测实例 某反病毒产品检测mirc的分析 名称 mirc客户端 版本 5.90 编译器 BC 说明: mIRC客户端有一整套具有网络