啟發式引擎

啟發式引擎是基於特徵值掃描技術上的升級，與傳統反病毒特徵值掃描技術相比，優點在於對未知病毒的防禦。是特徵值識別技術質的飛躍。

基本介紹

• 中文名：啟發式引擎
• 外文名：sdfsdf
• 性質：名詞
• 類別：學術

啟發式

簡化虛擬機和簡化行為判斷引擎的結合

Heuristic(啟發式技術=啟發式掃描+啟發式監控)

重點在於特徵值識別技術上的更新、解決單一特徵碼比對的缺陷。目的不在於檢測所有的未知病毒，只是對特徵值掃描技術的補充。

主要針對：木馬、間諜、後門、下載者、已知病毒(PE病毒)的變種。

啟發式技術

是基於特徵值掃描技術上的升級，與傳統反病毒特徵值掃描技術相比，優點在於對未知病毒的防禦。是特徵值識別技術質的飛躍。

傳統反病毒特徵值掃描技術，由反病毒樣本分析專家通過逆向反編譯技術，使用反編譯器（ollydbg、ida、trw等）來檢查可疑樣本檔案是否存在惡意代碼，從而判定程式檔案是否屬於正常程式或病毒、惡意軟體。在確認程式為病毒、惡意軟體後，不同的安全廠商根據自己的標準對此可疑程式樣本進行特徵提取和樣本命名（不同安全廠商有自己規定的特徵提取點和樣本命名規則）。最後經過測試部門測試通過後，更新到伺服器，提供用戶的本地病毒庫更新。在用戶作業系統正常監控或用戶手動掃描後，利用防毒引擎對系統上的檔案自動進行特徵值提取並與病毒庫中已存特徵值比對，條件符合即比對結果為真時，即判斷此檔案為病毒庫中記錄的特徵值對應的病毒名稱的病毒（惡意軟體）。

病毒、惡意軟體通常最初的指令是直接讀寫磁碟操作、解碼指令，或獲取系統目錄(GetSystemDirctory)、獲取磁碟類型(GetDriveType)、打開服務管理器(OpenSCManager)等相關操作指令序列。這些都是病毒樣本分析專家分析中得到的經驗。

啟發式技術，在原有的特徵值識別技術基礎上，根據反病毒樣本分析專家總結的分析可疑程式樣本經驗（移植入反病毒程式），在沒有符合特徵值比對時，根據反編譯後程式代碼所調用的win32 API函式情況（特徵組合、出現頻率等）判斷程式的具體目的是否為病毒、惡意軟體，符合判斷條件即報警提示用戶發現可疑程式，達到防禦未知病毒、惡意軟體的目的。解決了單一通過特徵值比對存在的缺陷。

例如：一個可疑程式通過反病毒防毒引擎反編譯後，發現代碼中自動釋放執行檔駐留系統目錄、偽裝系統檔案、註冊win32服務獲取系統管理許可權、通過命令行刪除自身檔案，調用系統組件svchost.exe來開啟後門服務，隱藏自身進程並嘗試通過OpenSCManagerA、OpenServiceA、ControlService等函式來開啟系統自身的終端服務，以便進一步控制計算機。通過這些條件即可判斷為惡意軟體（後門程式）。