【读书小结】—— 基于虚拟机的启发式扫描反病毒技术

关注

VIP免费原创最新推荐文章于 2024-03-25 08:56:03 发布 3.4k 阅读 AI 写同款· GEO 优化 ›

系统分析师学习笔记（十九）系统安全性分析与设计信息系统安全体系目前，信息安全威胁主要有以下几个方面：（1）系统稳定性和可靠性破坏行为，包括从外部网络针对内部网络的攻击入侵行为和病毒破坏等。（2）大量信息设备的使用、维护和管理问题，包括违反规定的计算机、打印机和其他信息基础设施滥用，以及信息系统违规使用软件和硬件的行为。（3）知识产权和内部机密材料等信息存储、使用和传输的保密性、完整性和可靠性存在可能的威胁，其中尤其以信息的保密性存在威胁的可能性最大。 1.系统安全的分类信息系统的安全是一个复杂的综合体，涉及到系统的方方阅读详情

既然谈得是虚拟机的启发式扫描反病毒技术，那么就该介绍下虚拟机、启发式扫描的概念。
虚拟机（VM），在反病毒界被称为通用解密器。具体做法是：用程序代码虚拟一个CPU来，同样也虚拟CPU的各个寄存器，甚至将硬件端口也虚拟出来，用调试程序调入被调的样本，将每一条语句放到虚拟环境中执行，这样就可以通过内存和寄存器以及端口的变化来了解程序的执行。这样的一个虚拟环境就是一个虚拟机。
虚拟机作为原操作系统下的一个应用程序，目标是让程序像运行在单独一台真正的机器上，丝毫察觉不到自己处于VM的控制之下。而实现虚拟技术的关键在于软件虚拟化和硬件虚拟化。
文中给出了三种方案：自含代码虚拟机（SCCE），缓冲代码虚拟机（BCE），有限代码虚拟机（LCE）。
自含代码虚拟机，像是一个真正的CPU，从内存中取出每条指令，然后解码，用自己的例程模拟该指令。该虚拟机会包含一个例程来对内存/寄存器寻址操作数进行解码，然后还包括一个用于模拟每个可能在CPU上执行的指令的例程集。因此，自含代码虚拟机的代码会非常巨大，而且速度会非常慢。
缓冲代码虚拟机，是SCCE的一个缩略版，大概是整合了个通用指令模拟例程，然后剩下的特殊指令单独用例程进行模拟。
有限代码虚拟机，并非实际上的虚拟机。只是简单地跟踪一段代码的寄存器内容，可能会提供一个小的被改动的内存地址表，或是调用过的中断之类的东西。选择使用LCE而非更大更复杂的系统的原因，在于既是只对极少数之类的支持便可以在解密原始加密病毒的路上走很远，因为病毒仅仅使用了INTEL指令集的一小部分来加密其主体。