对国内杀毒软件的一些看法

看到有些网友争论国内杀毒软件的好与坏，有感而发，特此作一文，表达本人对国内杀毒软件之浅见，希望大家能够对此有一番的讨论，交流意见。

我们都知道，在大部分的知名杀软的测试之中，有一大部分的国内杀毒软件都不能侪身这些测试的行列，当然有一部分的原因是因为国外的评测机构不太认识国内的杀毒软件，以致不对国内杀毒软件进行测试。不过，在某程度上，是因为国内杀毒软件的技术和杀毒软件的侦测率未臻完善所致。

先谈谈国内杀毒软件的技术。诚言，本人对国内杀毒软件的技术没有深入的了解，如果本人的说法有什么不足之处，麻烦各位指出，谢谢。

不过，就本人对国内杀毒软件的一般认识，国内的杀毒软件，有以下几个未臻完善之处，如下：

国内的杀软三个特点。

第一，由于国内的杀毒软件公司起步比起国外的多个知名杀毒软件公司(eg. Bd 引擎 , 卡巴的自家病毒库 ) 慢，因此，其病毒库不太足够，可以说与国外多个知名杀毒软件公司的实力有一段距离。

第二，国内的杀毒软件比较依重「云端」。

我认为太过重视「云端」是有不良的后果。

先说说杀毒软件和「云端」的关系，根据我看过不同人士的文章所得到的结论，以金山毒霸为例，它的云端应用分为三部分。第一，「云引擎」，就是透过「云端病毒库」，即是连接杀毒软件的主机，提取「云端病毒库」，来发现、侦测和删除计算器内的病毒。第二，「回扫」，对于未知档案，毒霸/卫士会在扫描时一并上传给云服务器(当然要先同意)，以判断该档案是否病毒;第三，「云鉴定器」(根据金山的负责人所说，「云鉴定器」是由多个不同的病毒鉴定器所组成)，须要由用户手动操作，以进一步判断该档案是否病毒。

过份重视「云端」来对病毒进行查杀，令到在查杀0 Day病毒(我指的是那些一旦计算器中毒，便实时对计算机造成破坏的病毒，简而言之，病毒程序是实时运行的)造成风险。我们清楚知道，由于利用了「云端」的技术来对计算器内的病毒进行查杀，一般而言，提取「云端」内的病毒库的过程是需要超过一秒的时间，而0 Day病毒是在一秒之内对计算器进行破坏，因此，对于查杀0 Day病毒的效率而言，「云端」的应用似乎不能应付此情况。

故此，本人认为，查杀病毒应该依靠本身的病毒库，而非「云端」，才是正途。

第三，国内的杀毒软件有一部分是有HIPS，但是并不太准确。我们知道HIPS分为智能HIPS和手动型HIPS，前者在大多数的情况下，由杀软的本身内部的组件对未知病毒自动地进行判断，而不需要用户判断某档案是否病毒，如：avast的行为防护;后者则是单步骤的某未知档案判断，即是用户需要对某未知档案的每一个程序，一步一歩自行判断这些程序是否病毒。

以上两种的HIPS，第一种对未知病毒太过放松，第二种则太严格，误判较多，而且对于一般的用户而言，太难判断某档案的某程序是否病毒程序，因此，以上两种的HIPS，对一般的用户而言，作用不大。

因此，国内的杀毒软件的HIPS若走以上的路线，不太切合一般用户的需要。

而我比较认同G Data的behavior blocker，因为它是多部程序的HIPS，意思是它(这是G Data其中一个模块)会对某档案的多个程序进行判断，才会询问用户是否「清除」、「隔离」或者是「中止程序」。这个功能比较实用。