成功打造ＰＣ主动防御长城

编者按：一项调查数据表明，2008年中国互联网用户将达2.44亿。随着我国互联网用户增多，病毒也越来越猖狂，并逐渐呈现不易控制趋势。众所周知，目前主流的杀毒软件都是发现了病毒，然后把病毒特征码加入到病毒库中，这样，杀毒软件才具备查杀该病毒的能力。也就是说，如果杀毒软件厂商没有把新病毒的特征加入到病毒库中，杀毒软件是不具备查杀此病毒能力的。正因如此，一些新病毒泛滥初期，杀毒软件是不具备查杀能力的，更不具备杀新病毒能力。上世纪九十年代，一年才有几万种新病毒；如今， 2007年仅德国AV测试实验室就监测到了多达550万种病毒，平均每天近2万个新病毒让杀毒软件厂商难以招架。严峻的安全形势，凸显杀毒软件工作模式的致命缺陷，也意味着杀毒软件如果继续依循查杀特征码的陈旧杀毒模式，将难以继续担当PC安全保护神的历史重任。基于此，杀毒软件厂商才会寻找新的发展之路，主动防御已成为安全软件厂商的发展方向。

我国著名反病毒专家刘旭率领北京东方微点信息技术有限责任公司研发团队，自2005年起，历经数载，打破常规反病毒模式——

刘旭，被誉为中国反病毒业界的旗手。

这位当年毕业于中国科学院计算所的高材生，以其独具的思维方式写出了中国最著名的杀毒软件，这就是瑞星。中国计算机和网络的发展离不开反病毒软件的保护。就是刘旭，曾带领瑞星研发团队开创了中国杀毒软件的先锋时代，使瑞星杀毒软件一度盛极一时。当瑞星进入鼎盛阶段时，这位中国反病毒技术奇人却一度销声匿迹了。2005年，东方微点，一个名不见经传的反病毒软件企业悄然诞生了。尽管这个企业和它产品的出世来得那么艰难、那么沉重，但当它冲破桎梏，仰天长啸之时，人们发现，反病毒技术已经在更新换代，主动防御正式走向了前台！这就是微点主动防御软件。

日前，本刊记者采访了这位中国反病毒技术奇人，曾任国家“863”反病毒专家、原瑞星公司总裁，瑞星杀毒软件原设计者，北京东方微点信息技术有限责任公司创始人、总经理兼总工程师刘旭。

采访中记者得知，刘旭正是总结了自己多年从事反病毒研究技术实践，针对传统反病毒技术滞后于病毒的重大缺陷，在全球率先提出了对病毒进行主动防御的概念，并带领微点研发团队，成功研制出具有自主知识产权的微点主动防御软件。2007年，微点主动防御技术被列为国家“863”科技攻关项目，并申请了六项国家发明专利。

记者：2005年3月，你带领一批反病毒专家、研发了微点主动防御软件，成功实现单机版主动防御计算机未知病毒作业，成为自主创新的软件产品，这一科研成果的出现基于什么想法？

刘旭：目前，传统的杀毒技术面临着非常严峻挑战，黑客大规模制造各种以窃取商业秘密、虚拟财产、银行帐号等为目的木马程序，这类以营利为目的的新型病毒已成为当前病毒发展主导趋势。黑客为避免木马被杀毒软件发现，开发出多种简单易行的病毒免杀技术，无须重新编写病毒程序，只需经过简单地加壳、加花指令、定位并修改病毒特征值等技术方式的处理，很短时间内就可大规模批量制造出可逃避传统杀毒软件查杀的木马变种。更为严峻的是，已出现了自动加壳机和免杀机，甚至还实现了商业化运作，作者每天对其进行更新，升级速度超过了杀毒软件。利用这类工具自动生成的木马变种，往往能够躲过最新版杀毒软件的查杀。木马生产的“工业化、自动化”导致木马越来越难以被反病毒公司收集到，更令用户担心的是，在反病毒公司收集到样本并能升级查杀木马前，这些木马已造成的损失如何处理？传统杀毒技术落后于病毒技术的发展已是不争事实，它已不适应当前反病毒需求。为此，我们要改变这种状况，决定研发我们国家具有自主创新的软件产品。

记者：那么主动防御软件的运作机理是怎样的？

刘旭：微点主动防御软件创造性地实现了以程序行为分析判断技术为主，特征码扫描为辅的安全防护体系，因此不依赖于频繁被动升级即可实现对新病毒的有效防护。以程序行为分析判断技术为主的微点主动防御软件，实时监控分析当前程序运行状况和动作，结合病毒行为规则知识库，自动准确判定传统杀毒软件无法识别的新病毒，自动阻止并清除新病毒，从而实现了对新病毒的主动防御。

记者：当时国内一些媒体对主动防御软件进行了报道，国家相关部门也作出了鉴定：微点主动防御计算机病毒技术为世界首创，受到如此大的好评，你有什么感想？

刘旭：三年前，微点主动防御软件研制成功，开创了国际反病毒技术发展的一个崭新时代；而今，主动防御技术成为下一代反病毒核心技术已成为国际上反病毒公司的广泛共识。微点主动防御软件是我们多年创造性努力的结果，经历了2年多不同寻常的超长时间公开测试，历经了数百万用户的大规模测试和使用，今天，微点主动防御软件产品以其更稳定、更成熟的优异品质迎接全球用户的考验。微点主动防御软件获得了用户广泛青睐，用户对其技术的先进性特别是防范未知病毒的能力普遍给予高度评价。

阳光总在风雨后，成功离不开奋斗。展望未来，我们斗志昂扬，正是广大用户的支持，成为我们继续坚持、不停向前的动力，感谢广大用户以及各界朋友给予微点公司强大的动力和信心。相信我们微点公司的精英团队将不断跨越更高山峰，创造更多奇迹，为每一位用户，每一位合作伙伴，每一位员工创造更辉煌的明天。

记者：我知道，这么好的主动防御软件的推出也遭遇了很大阻力，网上经常提到的是“刘旭事件”这件事，大家也都为你和微点公司鸣不平，对此事件，你是怎样看的？

刘旭：受这一案件的干扰，这项反病毒核心技术重大自主创新成果的上市，被整整耽误了两年半，给微点公司造成的损失令人痛心，不过目前我们已办理好销售许可证件。

2006年底，“熊猫烧香”新变种病毒发作时，传统杀毒软件未能遏制其大规模的肆虐，用户损失惨重，而能有效防范“熊猫烧香”病毒的微点主动防御软件，因未获得上市许可而不能为广大用户服务，这是我们的一个遗憾。

记者：一个具有自我知识产权的科研产品，由于特殊的环境，你一如既往坚持不把其成果转让出去，其精神我们非常敬佩，也感到对微点主动防御软件的未来充满信心，主动防御软件和别的软件相比，最大优势在哪里？

刘旭：当前杀毒软件厂商依然沿用“亡羊补牢”的事后“补丁”式技术路线，期望通过频繁的版本升级克服其技术的重大缺陷——杀毒软件对新病毒的防范始终滞后于病毒出现。这种滞后杀毒技术固有的重大缺陷，导致用户不能对网络新病毒及时防御，被动地处在一个又一个“时间差”的危险中。即从一种新病毒出现，到厂商人工收集病毒，再到分析病毒样本，最后完成杀毒软件升级之前，这一段时间内，用户对该病毒没有防范能力，处在“不设防”状态。

杀毒软件本身基本上不能发现新病毒，是众所周知的客观事实。但是，人是否能发现新病毒呢？如果人不能发现新病毒，同为自然人的反病毒公司研发人员也就不可能发现新病毒，由此带来的问题是，杀毒软件每天升级的是什么，杀毒软件公司每次宣称发现的新病毒又是谁来发现的？对于人是否能发现新病毒这个问题，答案是肯定的，人可以发现新病毒。新病毒一定是人通过相应的方法判断出来的。

发现用户需求，创造全新病毒防御理念是微点公司的追求目标和努力方向。微点主动防御软件于2005年研制成功，在国际上首次实现了主动防御技术体系，并依此确立了反病毒技术新标准，实现了用软件技术模拟反病毒专家智能分析判定病毒机制，克服了传统杀毒软件滞后于病毒的致命缺陷，实现了对未知病毒的自主识别、明确报出和自动清除。

记者：经过一些风波后，守得云开见月明，现在公司的主动防御软件即将顺利上市，能否谈下其未来上市情况？

刘旭：可以的。主动防御软件预计在今年5月份上市，初期市场定位在国内市场。因为咱们自主研发的主动防御软件首先要为中国的网民解决问题。现在，国外也已有部分用户在使用此产品，随着公司的发展，我们的产品也会逐步向世界市场进军。目前有些公司的产品也挂着主动防御的名字，但是不是真的主动防御？很多软件发现可疑程序后，就会弹出一个或几个对话框，让用户自己去判断，自己选择允许还是不允许，把责任推给用户，我觉得这不是真正的主动防御。这就好像我们去医院看病，大夫给我们的不是诊断和处方，而只某项化验数据，这样的处理作为患者你会满意吗？会接受吗？在中国2亿多互联网用户中只有很少一部分人对反病毒技术有所了解，普通用户自己不能分辨病毒，因此，究竟是不是病毒，反病毒产品应该给出用户明确的结论，这也是主动防御产品必须具备的功能。

记者：据了解，一些用户在使用了微点公司主动防御软件后，提出了一些建议：程序界面需要改良一下并增加主题包，而且其网络反黑能力也需加强，例如欠缺反钓鱼功能等，对此你是怎样看的？对软件有否改良措施？

刘旭：这就是仁者见仁智者见智了，每个人的喜好不同。我们这款软件界面颜色比较深沉，不象以往大家比较熟悉的杀毒软件界面，有些人觉得非常“酷”，显示出一股阳刚之气，对这个界面设计赞叹有加。可能一些女孩子会比较喜欢彩色，亮一些的颜色，这些我们后期肯定会有所调整，将提供换肤功能，以满足不同审美情趣的需要。刚开始进入市场，我们关键要看产品的性能，随着公司不断发展，我们会为更多人提供更理想和适合他们的方案。我们这个产品反黑功能还是非常强大的，我们的目的就是为用户真正解决问题。

记者：主动防御是具有革命性的一种反病毒新方式，更是对过去杀毒软件的颠覆。目前，适值提倡自主创新的大环境下，国家对子也自主创新是很重视的。借此，你对产品研发及公司未来发展有什么期望？

刘旭：说到自主创新，中国软件业长期给外界的印象都是自主创新不足。中国软件业已到了一个非常关键的时候，一方面，巨大市场空间就在眼前；另一方面，本土软件企业的整体竞争力偏弱，所以今后我们依然会坚持走自主创新路线，搞好自主产品的研发，提高我们公司自主创新能力的同时也为我国的自主创新事业出一份力！

记者：据了解，你从事反病毒技术研究已十多年，曾任国家“863”反病毒专家、原瑞星杀毒软件设计者和发明人，也是我国第一个发现并解决CIH病毒专家，在业内被称为“中国杀毒软件第一人”，请问对我国反病毒工作是怎样看的？有哪些不足和改进之处？

刘旭：十多年来，反病毒技术的研究主要禁锢于特征值扫描法，很少对病毒主动防御技术进行深入的探讨和研究。在反思国际国内反病毒领域思维模式基础上，我认为，将现有病毒的行为进行分析、归纳、总结，通过对反病毒专家分析判断新病毒的经验科学提炼，实现软件自动识别病毒是可行的。

例如，我们定义这样一条病毒判断规则：如果MSN接收的某个文件运行后，模拟键盘或鼠标动作，自动点击MSN的“发送文件”命令，把它或它的生成物自动发送给其他MSN联系人，则这个文件就是MSN蠕虫病毒。

此规则可用于发现“性感烧鸡”MSN蠕虫病毒，以及所有采用这种传播方式的MSN蠕虫病毒，而不论该病毒是什么时候编的，也不论是已知的还是未知的。

从反病毒领域的实践和计算机技术的发展趋势可以看出，开发病毒主动防御系统不仅是可能的，而且是可行的。微点公司的这款主动防御软件就是这样一个产品。它是以行为自动监控、行为自动分析、行为自动诊断为思路的主动防御型产品，从根本上克服现有杀毒软件的重大缺陷，建立主动防御为主、结合现有反病毒技术的综合防范体系，实现反病毒技术的革命性飞跃和反病毒产业的升级。

延伸阅读:主动防御电脑病毒并非天方夜谭

刘旭

长期以来，人们把杀毒软件作为最主要的反病毒工具，杀毒软件几乎成了所有反病毒产品的代名词，杀毒软件赖以生存的“特征值扫描技术”也几乎成了所有反病毒技术的代名词。正因如此，杀毒软件对新病毒的防范始终滞后于病毒出现的重大缺陷，似乎成为既合情又合理的逻辑，导致人们普遍认为反病毒产品不可能主动防御新病毒，甚至有人认为，想研制一种主动防御的反病毒产品，就如同要为一种未知的疾病制作特效药一样异想天开。

焦点一：人能否发现新病毒

杀毒软件本身基本上不能发现新病毒，是众所周知的客观事实。但是，如果人不能发现新病毒，同为自然人的反病毒公司研发人员也就不可能发现新病毒，由此带来的问题是，杀毒软件每天升级的是什么，反病毒公司每次宣称发现的新病毒又是谁来发现的？回答是肯定的，人可以发现新病毒。新病毒一定是人通过相应的方法判断出来的。

焦点二：人如何判断新病毒

从上个世纪八十年代病毒出现后，反病毒技术就有两种思路，一种是采用静态扫描方式，即特征值扫描技术，另一种采用动态分析方法。特征值扫描是目前国际上反病毒公司普遍采用的查毒技术。其核心是从病毒体中提取病毒特征值构成病毒特征库，杀毒软件将用户计算机中的文件或程序等目标，与病毒特征库中的特征值逐一比对，判断该目标是否被病毒感染。反病毒公司把捕获到并已处理的病毒称为已知病毒，否则就称为未知病毒。只有采用特征值扫描技术时，才区分已知和未知病毒。

业界常常有人用人类病毒的医治来解释计算机病毒防范。然而，与生物界的病毒复杂性不同，计算机病毒是人编写的，远比生物界的病毒简单。计算机病毒概念是人依据程序行为来定义的，因此识别病毒的另一种方法是采用动态分析，直接通过程序的行为判断它是否是病毒。

尽管杀毒软件主要采用静态扫描方式，但是反病毒公司发现新病毒并不是采用静态扫描方式，而恰恰是采用动态分析方法。即便是反病毒公司收集到可疑程序时，也不能确定是不是新病毒，为了做出准确判断，必须先运行可疑程序，然后再根据程序的行为判断是否是病毒。

焦点三：识别新病毒有多难

反病毒领域从未向业界公开过一个“秘密”——虽然病毒越来越多，但真正有创意的、技术上有突破的病毒很少，不到总数的1%。而且这类病毒通常是概念病毒，一般破坏性不大。绝大多数病毒都是模仿其他病毒编写的，这些病毒的传播、感染、加载、破坏等行为特点都可以从已经存在的病毒找到，一个计算机本科毕业生经过短期培训，通常都可胜任人工识别这类新病毒的工作。因此人工识别绝大多数新病毒，并不是一件很难的事。

焦点四：病毒主动防御是否可行

在反思国际国内反病毒领域的思维模式的基础上，笔者认为，将现有病毒的行为进行分析、归纳、总结，通过对反病毒专家分析判断新病毒的经验科学提炼，实现软件自动识别病毒是可行的。

例如，我们定义这样一条病毒判断规则：如果MSN接收的某个文件运行后，模拟键盘或鼠标动作，自动点击MSN的“发送文件”命令，把它或它的生成物自动发送给其他MSN联系人，则这个文件就是MSN蠕虫病毒。

此规则可用于发现“性感烧鸡”MSN蠕虫病毒，以及所有采用这种传播方式的MSN蠕虫病毒，而不论该病毒是什么时候编的，也不论是已知的还是未知的。

十多年来，反病毒技术的研究主要禁锢于特征值扫描法，很少对病毒主动防御技术进行深入的探讨和研究。从反病毒领域的实践和计算机技术的发展趋势可以看出，开发病毒主动防御系统不仅是可能的，而且是可行的。因此，跳出传统技术路线，尽快研制以行为自动监控、行为自动分析、行为自动诊断为新思路的主动防御型产品，从根本上克服现有杀毒软件的重大缺陷，建立主动防御为主、结合现有反病毒技术的综合防范体系，实现反病毒技术的革命性飞跃和反病毒产业的升级，是全球反病毒领域共同面临的巨大挑战，具有极现实的信息安全急迫性。

推荐访问： 长城 防御 主动 成功 打造