![例一：類似的系統存取行為 在極短的時間內，許多 用戶 出現類似的行為 嘗試存取或修改相同的系統檔案 執行緒出現非常類似的檔案名稱 嘗試存取或修改相同的系統登錄檔 [ Malicious Behavior ] = High [ False Positive ] = Low Overall Score = Suspicious Create Solution Behavior rule File Signature (Hash) 檢查惡意程式資料庫是否有類似或是一樣的資料 關聯性分析進入誤判防範系統，避免誤判 Smart Feedback detection log blob_AEGIS_2_6_081203_EventTuples: { EventTuples_TimeStampGMT: '1239617627375’ EventTuples_ThreadId: '0’ EventTuples_ObjectType: 'API’ EventTuples_Object: 'ZwCreateMutant: GLOBAL\2561331706-7 ’ EventTuples_FileInfo_ObjectSha1: Correlate Incident Trigger Intelligent Scoring Monitor & Select](https://image.slidesharecdn.com/random-091121044913-phpapp01/85/11-21-2010-21-320.jpg)
![例二：類似的瀏覽網址 在極短的時間內，許多 用戶 瀏覽類似的網址 檢查是否為惡意網址 檢查是否為 FastFlux 網域 檢查是否為垃圾郵件發送點 檢查伺服器 IP 與地理位置的關聯性 [ Any known malicious URLs ] = No [ FastFlux domains ] = Yes [ Spamming URLs ] = Yes [ Geography distribution of web server’s IP ] = from 10 different countries Overall Score = Highly Suspicious User Query Info Web Browsing log uu1-1.cn/a0116159./a11.htm tw.yahoo.com/index.htm uu1-2.cn/a0114817/a11.htm user1.16-36.net/ms0614.css uu1-1.cn/a0192847/a11.htm user1.16-36.net/ms0614.css www.sonystyle.com/index.htm www.google.com user1.20-40.net/ms0614.css uu1.16-36.net/ms06014.css uu1.16-36.net/ms06014.css uu1.20-40.net/ms06014.css user1.??-??.net Correlate Incident Trigger Intelligent Scoring Monitor & Select uu1-1.cn/a0116159/a11.htm uu1-2.cn/a0114817/a11.htm uu1-1.cn/a0192847/a11.htm uu1-?.cn/a*/](https://image.slidesharecdn.com/random-091121044913-phpapp01/85/11-21-2010-22-320.jpg)
![例三：類似的瀏覽順序 在極短的時間內，許多用戶 瀏覽順序是相同的 [ FastFlux domains ] = Yes [ Spamming URLs ] = Yes [ Page or File ] = Suspicious Overall Score = Highly Suspicious [ Further process ] ? Backtrack the root of the sequence to detect compromised sites 檢查是否為 FastFlux 網域 檢查是否為垃圾郵件散播點 下載可疑網頁或檔案進行分析 User Query Info Web Browsing log Raw Data uu1-1.cn/a0116159./a11.htm tw.yahoo.com/index.htm uu1-2.cn/a0114817/a11.htm user1.16-36.net/ms0614.css uu1-1.cn/a0192847/a11.htm user1.16-36.net/ms0614.css www.sonystyle.com/index.htm www.google.com user1.20-40.net/ms0614.css uu1-1.cn/a0192847/a11.htm Correlate Incident Trigger Intelligent Scoring Monitor & Select Route List](https://image.slidesharecdn.com/random-091121044913-phpapp01/85/11-21-2010-23-320.jpg)
![過濾 IM 有害內容 即時通訊網址分級 : 主動預警並攔截即時通訊中的惡意網址 支援 5 大即時通訊軟體 : MSN 、 Yahoo 、 Skype 、 Biglobe 、 AIM [ 危險連結 ] 危險網頁已被封鎖](https://image.slidesharecdn.com/random-091121044913-phpapp01/85/11-21-2010-37-320.jpg)
More Related Content
What's hot (20)
Viewers also liked (19)
Similar to 11/21王团研究室—火线杀毒完全攻略—菁英课程：2010防毒新趋势 (20)
More from 罢客邦 (6)
11/21王团研究室—火线杀毒完全攻略—菁英课程：2010防毒新趋势
- 1. 雲端截毒、全球第一 !! PC-cillin 2010 打造安全無虞的數位生活 Justin Wu | 技術行銷部
- 2. Threats
- 3. Threats - 難以想像的地下經濟 資料被偷窺 商業機密被盜 個人資料被竊 照片網路上流傳 發送垃圾郵件 阻絕服務攻擊 網站掛馬 釣魚網站 代罪羔羊 銀行帳戶被盜 網路拍賣詐騙 遊戲裝備被竊 受害者 駭客 惡意程式 撰寫者 殭屍網路 網軍集團 漏洞 訊息 病毒 木馬程式 取得控制權 集中控制 目標 漏洞研究者
- 4. Threats - 惡意程式 \ 服務商品化 惡意程式服務類型 訂購價格 廣告間諜軟體程式 美 國 $ 0.3 加拿大 $0.2 英 國 $ 0.1 其它 $ 0.01 惡意程式組合包 （基本） $1,000 - $2,000 惡意程式組合包 ( 升级服务） $20/ 次 漏洞挖掘租赁服 務 （ 1 小 時 ） $0.99 漏洞挖掘租赁服 務 （ 2.5 小 時 ） $1.60 漏洞挖掘租赁服 務 （ 5 小 時 ） $4 無法被偵測的竊取型木馬 $80 DDOS 攻 擊 $100/ 天 10,000 台 僵屍電腦控制器 $1,000 竊取銀行帳號木馬 $50 發送惡意郵件服務 (100 萬封 / 次 ) $8
- 5. Threats - 试用版、基本版、高级版…
- 6. Hacking 個資竊取 帳號竊盜 SPAM 網頁掛馬 DDOS 蠕蟲 間諜軟體 VIRUS 病毒 Key logger WORM ZERO DAY 疆屍電腦 USB VIRUS 一切都是為了 錢 !!
- 8. 名字，在 Internet 會發生甚麼事 ??
- 9. 名字，在 Internet 會發生甚麼事 ??
- 11. 名字和 Internet 能讓你輕易被駭！ 從大量的資料中找出有用的資訊 以關聯性分析，解讀社交網路 透過各網站的協同運作找出答案
- 12. Smart Protection Network Community Intelligence Correlation Infrastructure Collaboration Network
- 13. Smart Protection Network 全貌 Threat Intelligence – Trend Lab Correlation Infrastructure Community Intelligence Collaboration Network
- 14. Community Intelligence ( 社群智慧 ) Community Intelligence Correlation Infrastructure Collaboration Network
- 15. Community Intelligence Threat Intelligence – Trend Lab Correlation Infrastructure Community Intelligence Collaboration Network
- 16. Smart Feedback ： 即時通報 產品將可疑存取行為紀錄回報雲端運算伺服器 透過演算法過濾，一旦發現異常，即啟動關聯性分析，追蹤感染鏈，並確認威脅 採用雲端截毒架構的其他用戶不需要取得新病毒碼即可得到保護 病毒下載網址 可疑存取行為 Threat Intelligence – Trend Lab Community Intelligence Collaboration Network Correlation Infrastructure
- 17. User Query Info ：查詢紀錄解析 運用 FRS 、 WRS 、 ERS 雲端查詢服務的用戶查詢紀錄 雲端運算解讀用戶查詢紀錄，一旦發現異常，自動啟動關聯性分析，追蹤感染鏈，確認威脅，以提供用戶即時的保護 FRS 查詢紀錄 WRS 查詢紀錄 ERS 查詢紀錄 Threat Intelligence – Trend Lab Community Intelligence Collaboration Network Correlation Infrastructure
- 18. Correlation Infrastructure ( 關聯分析基礎 ) Community Intelligence Correlation Infrastructure Collaboration Network
- 19. Correlation Infrastructure Threat Intelligence – Trend Lab Collaboration Network Community Intelligence Correlation Infrastructure
- 20. 以雲端運算，啟用關聯性分析，找出異常行為 分析所有進入資料 雲端運算 演算法 Data Mining 挑選出有用的資訊 標記不尋常的事件 設定處理優先權 觸發關聯性分析 提出系統警示 蒐集所有分析的結果 提供更精確的分數 交叉比對歷史資料 檢索相關的線索 FRS 、 WRS 、 ERS 解讀 關聯性分析 追蹤感染鏈，找出威脅源頭 Correlate Incident Trigger Intelligent Scoring Monitor & Select
- 21. 例一：類似的系統存取行為 在極短的時間內，許多 用戶 出現類似的行為 嘗試存取或修改相同的系統檔案 執行緒出現非常類似的檔案名稱 嘗試存取或修改相同的系統登錄檔 [ Malicious Behavior ] = High [ False Positive ] = Low Overall Score = Suspicious Create Solution Behavior rule File Signature (Hash) 檢查惡意程式資料庫是否有類似或是一樣的資料 關聯性分析進入誤判防範系統，避免誤判 Smart Feedback detection log blob_AEGIS_2_6_081203_EventTuples: { EventTuples_TimeStampGMT: '1239617627375’ EventTuples_ThreadId: '0’ EventTuples_ObjectType: 'API’ EventTuples_Object: 'ZwCreateMutant: GLOBAL\2561331706-7 ’ EventTuples_FileInfo_ObjectSha1: Correlate Incident Trigger Intelligent Scoring Monitor & Select
- 22. 例二：類似的瀏覽網址 在極短的時間內，許多 用戶 瀏覽類似的網址 檢查是否為惡意網址 檢查是否為 FastFlux 網域 檢查是否為垃圾郵件發送點 檢查伺服器 IP 與地理位置的關聯性 [ Any known malicious URLs ] = No [ FastFlux domains ] = Yes [ Spamming URLs ] = Yes [ Geography distribution of web server’s IP ] = from 10 different countries Overall Score = Highly Suspicious User Query Info Web Browsing log uu1-1.cn/a0116159./a11.htm tw.yahoo.com/index.htm uu1-2.cn/a0114817/a11.htm user1.16-36.net/ms0614.css uu1-1.cn/a0192847/a11.htm user1.16-36.net/ms0614.css www.sonystyle.com/index.htm www.google.com user1.20-40.net/ms0614.css uu1.16-36.net/ms06014.css uu1.16-36.net/ms06014.css uu1.20-40.net/ms06014.css user1.??-??.net Correlate Incident Trigger Intelligent Scoring Monitor & Select uu1-1.cn/a0116159/a11.htm uu1-2.cn/a0114817/a11.htm uu1-1.cn/a0192847/a11.htm uu1-?.cn/a*/
- 23. 例三：類似的瀏覽順序 在極短的時間內，許多用戶 瀏覽順序是相同的 [ FastFlux domains ] = Yes [ Spamming URLs ] = Yes [ Page or File ] = Suspicious Overall Score = Highly Suspicious [ Further process ] ? Backtrack the root of the sequence to detect compromised sites 檢查是否為 FastFlux 網域 檢查是否為垃圾郵件散播點 下載可疑網頁或檔案進行分析 User Query Info Web Browsing log Raw Data uu1-1.cn/a0116159./a11.htm tw.yahoo.com/index.htm uu1-2.cn/a0114817/a11.htm user1.16-36.net/ms0614.css uu1-1.cn/a0192847/a11.htm user1.16-36.net/ms0614.css www.sonystyle.com/index.htm www.google.com user1.20-40.net/ms0614.css uu1-1.cn/a0192847/a11.htm Correlate Incident Trigger Intelligent Scoring Monitor & Select Route List
- 26. Collaboration Network ( 協同合作網路 ) Community Intelligence Correlation Infrastructure Collaboration Network
- 27. Collaboration Network Threat Intelligence – Trend Lab Correlation Infrastructure Community Intelligence Collaboration Network
- 29. Collaboration Network Demo TROJ_CHOST.E
- 30. 云端截毒比传统防毒方式节省 30%~50% 頻寬
- 31. 趋势科技 Smart Protection Network 服務處理量
- 32. 趋势科技 Smart Protection Network 投入成本 4 年 研發時間 34,000 台 全球伺服器 1,000 萬美金 每年維護費用 3 億美金 投入成本 1,000 位 專職資安專家 24/7 全球多個資料中心
- 33. PC - cillin 2010
- 34. 封鎖惡意網頁 PC-cillin 2010 主動封鎖惡意網址 預先攔截病毒
- 35. 告警問題網站 網頁分級過濾 : 主動預警並封鎖惡意網址 提供 3 大搜尋引擎用戶的最佳防護 : Yahoo, MSN, Google Before After
- 36. 檢查信件內的惡意網址 網頁郵件網址分級 : 主動預警並封鎖郵件內容中的惡意網址 保護 3 大網頁郵件用戶 : Yahoo, Hotmail, Gmail 危險網頁已被封鎖
- 37. 過濾 IM 有害內容 即時通訊網址分級 : 主動預警並攔截即時通訊中的惡意網址 支援 5 大即時通訊軟體 : MSN 、 Yahoo 、 Skype 、 Biglobe 、 AIM [ 危險連結 ] 危險網頁已被封鎖
- 38. 防范外送的机密资料
- 39. 保護電腦內重要資料 PC-cillin 遠端檔案保險箱─ 延伸您的資料防護 只要將資料放入保險箱，立即以 128 位元金鑰加密鎖定保護 如果電腦不慎遺失，使用者可登入趋势科技網站，遠端「強制鎖定」保險箱 保險箱可儲存重要檔案並提供密碼保護 電腦失竊時，可立即上趋势科技網站申報檔案掛失 失竊電腦下次上網時，系統會將保險箱自動上鎖 電腦失竊 ! Internet 封鎖資料夾
- 42. 效能再強化 效能強化，更輕快 記憶體用量省 30% ， 開機速度快 20 % 自動系統調校，電腦常保最佳效能 強化 ! 整合性介面，可輕鬆清除 / 還原電腦中無用的暫存檔、紀錄檔等 可預約自動調校，每月定時整理讓電腦效能常保最佳狀態 記憶體佔用量 Pro 2009 Pro 2010 省 30%
- 43. NSS Report
- 44. Wild List 不是評估防毒軟體的唯一標準 ( 富比氏雜誌 ) 來源： http://www.forbes.com/2009/11/03/security-nss-labs-technology-cio-network-wildlist.html
- 45. Wild List 病毒庫為何不具代表性？ Wild List 內僅有數百種病毒樣本（截至 2009 年 8 月為止共計有 922 種） 但 rootkit ， trojan 木馬， downloader 或 spyware 間諜軟體並沒有列入 Wild List 病毒庫！ 即使像 Koofbace 和 Confiker 等已經衍生了數十種變種的頭痛蠕蟲，也才在幾個月前加入 Wild List 。 注意：除零時差漏洞攻擊外， Trojan 木馬和 downloaders 被認為是最普遍的初期傳播者 Wild List 病毒庫的樣本得獲得至少兩位防毒軟體研究人員認同，不過這些所謂的專家幾乎全數皆是為防毒軟體公司工作。不過在取得認同之前，這些病毒通常已出現 2 到 3 的月了 在過去每個月只有上百隻病毒時這是很好的方法。但現今的數量和複雜程度已遠超過病毒庫能力所逮，其重要性相對也逐漸減少。 Wild List 病毒庫不能代表網路中的威脅。你還要使用這 種狹礙定義測試單位所認證的依據來做購買決定嗎？（ ICSA Lab ， VB100 ， West Coast Labs ） 來源： NSS 總經理 Rick Moy 貼文日期： 11/06/2009 http://nsslabs.blogspot.com/2009/11/cisos-wild-list-isnt.html
- 46. 五大防毒軟體評測機構 Wildlist 、 Virus?Bulletin 、 AV-Comparatives 、 ICSA 、 WestCoastLabs 這五大機構為民間自發的獨立組織，與各防毒廠商間沒有任何利益關係，不收取任何廠商贊助費。 進行測試的機構，非病毒樣本主要來源 提供病毒樣本的機構，本身並不進行任何測試 這種獨特的評測方式，一是為了更公平、公正的去檢測產品，二是為了讓檢測變得更專業和全面，以此吸引更多的同道人加入其中。
- 47. 偵測率的評測方法及評分標準 測評方法 收集近期的病毒樣本和正常檔 案 記錄受測防毒軟體檢測出的病毒樣本數量 記錄受測防毒軟體檢測出的正常檔 案 數量 評分標準 受測防毒軟體的 偵測率 = 病毒偵測率 - 誤報率 病毒偵測率 = 檢測出的病毒樣本數量 / 病毒樣本總量 誤報率 = 檢測出的正常檔數量 / 正常檔案總量
- 48. 7 秒 ? 4 秒 ? 2 秒 今日的新病毒，明天的歷史 每天每小時內 2 千種新威脅產生 多數的偵測率測試法甚至在開始前就已經過時了 病毒碼在多快的速度內能完成佈署 ? 網路罪犯至甚至提供使用防止惡意軟體被偵測的服務 ! 多數威脅並未涉及惡意檔案 例如網路釣魚取得信用卡 / 銀行資料 2 資料來源 : Trend Micro 趋势科技 ( 數據資料來自 AVTest.org) 資料來源 : www.av-test.org 2009 每小時中所產生的新威脅數量全球估計量 加入 AV-Test.org 惡意軟體收藏中的新的特殊樣本 新加入之特殊樣本 成長率 3 個月中間值 預測值
- 49. 今日威脅多數來自網際網路 網際網路 可移除式媒介 92% 8% 3 威脅感染路徑排行 ( 威脅如何接觸個人電腦 ) 登入惡意網站 (42%) 被其它惡意軟體下載 (34%) 電子郵件附件或聯結 (9%) 由可移除式硬碟轉移 (8%) 其它 : 多數透過網際網路 (7%) 來源 : Trend Micro 趋势科技 破壞程式 間諜軟體 殭屍網路 病毒 破壞程式 間諜軟體 殭屍網路 病毒 威脅感染路徑排行 ( 威脅如何接觸個人電腦 ) 登入惡意網站 (42%) 被其它惡意軟體下載 (34%) 電子郵件附件或聯結 (9%) 由可移除式硬碟轉移 (8%) 其它 : 多數透過網際網路 (7%) 目標 威脅 威脅
- 50. 「偵測率」及「防護率」測試之比較 偵測率測試 : 僅能測試以病毒檔案特徵為主的掃瞄技術 . 測試機構： AV-Test.org, AV-Comparatives, VB100, ICSA, 及大部分的期刊雜誌測試報告 掃瞄已知檔案 ( 部分是病毒，部分不是 ) 測試過程中個人電腦並未連結網際網路 防毒廠商可以取得所有測試的檔案，然後未經分析地將其加入病毒特徵碼中（導致許多的誤判） 防護性測試 : 可測試防毒產品的多層次掃描技術 - 針對防毒產品在每個防護層攔截病毒威脅的能力 測試機構： NSS Labs, West Coast Labs, Cascadia Labs 個人電腦連接到網網際網路，並且測試會持續一段時間（用於評測出廠商收集、分析和攔截新威脅的能力） 模仿真實環境的運算，可以更加有效地測試出針對當前威脅的解決方案的效能
- 51. 需要新的方法來測試產品 目標 聯結與附件 網站 4 網際網路 可移除式媒介 “ 現今的防毒軟體迫切需要新的測試標準 . 主流的測試思維 , 即 掃瞄檔案的目錄 , 專注在舊式已知的威脅上 , 無法顯示在未受控制環境中的產品效能 .” Williamson & Gorelik (2007 ) 檔案移轉 電子郵件 防病毒 THREATS THREATS THREATS 垃圾郵件
- 52. 從來源防堵威脅 目標 聯結與附件 4 網際網路 可移除式媒介 檔案移轉 電子郵件 網站 除了檢驗檔案是否含有惡意內容或行為 網站信譽服務辨識並防堵不良的網站及 URL 電子郵件信譽服務以寄件者 IP 位址來辨識並防堵垃圾郵件 層次間的關連性分析以加強對威脅的辨識 威脅 威脅 威脅 網站信譽 電子郵件 信譽 檔案信譽 垃圾郵件
- 53. 需要至少兩個層面的分開測試 目標 聯結與附件 4 網際網路 可移除式媒介 檔案移轉 電子郵件 網站 受測試的多層次威脅防護網路 為簡化起見 , 以兩個層面來考量 : 感染層 從目標電腦上防堵惡意軟體的移轉和執行 暴露層 防堵接觸或接受有能力傳遞惡意軟體的來源 其它層級可加入測試 感染層 依檔案 內容 檢視 ( 程式 , 雜湊程式 ) 暴露層 依 來源 檢視 (url, 網域 ) 威脅 威脅 威脅 SPAM
- 54. 計分方法提議— 整體防護指標 暴露層計分 + 感染層計分 7 網際網路 目標 INTERNET 電子郵件 網站 可移除式媒介 檔案移轉 = 整體防護指標 電子郵件 電子郵件 網站 電子郵件 檔案移轉 網站 電子郵件 可移除式媒介 檔案移轉 網站 電子郵件 可移除式媒介 檔案移轉 網站 電子郵件 目標 可移除式媒介 檔案移轉 網站 電子郵件 目標 可移除式媒介 檔案移轉 網站 電子郵件 檔案信譽 網路 信譽 威脅 威脅 垃圾郵件 威脅 S 垃圾郵件 垃圾郵件 垃圾郵件 垃圾郵件 垃圾郵件 垃圾郵件 垃圾郵件 垃圾郵件
- 55. NSS Labs 防毒軟體測試概要 2009 年 7,8 月間 , NSS Labs 進行了業界最接近真實使用環境的「防毒軟體 / 端點防護」測試，以使用者的角度，評估產品對應最新威脅的表現 : 而不是像其它的測試 , 在封閉的實驗室 , 對抗過時或不具代表性樣本的驗證方式 這項測試結果是根據連續 17 天每天 24 小時 , 不間斷測試所得出的驗證數據， 每 8 小時一輪 59 項獨立測試，每一輪都會加入最新的惡意 URL ，中間沒有中斷。 報告中的資料是在 17 天的測試期間（ 2009 年 7 月 7 日到 7 月 24 日）得到的。所有測試均在德克薩斯州奧斯丁市的實驗室中進行的。測試過程中，定期監視網路連接情況，以確保瀏覽器可以即時連線測試的網站以及雲端信譽評等服務。 每個受測試的防毒軟體，在每回合的測試前皆會被更新到最新版本 , 測試期間，全程連線網際網路 。 資料來源 : NSS Labs Consumer Report 消費產品測試報告, 2009年9月
- 56. NSS lab s 測試過程 惡意程式 URL 測試總數 總共使用了 3,243 個不同的 URL 來計算測試結果，而在整個測試過程當中，蒐集了 231,351 筆測試結果。 本項實況測試蒐集了網際網路上目前活躍的惡意程式，並有一些是防毒廠商尚未分類的新興威脅 ( 約有 10% 可從行為判定為惡意程式 ) ，另外也包含了下列知名的病毒、木馬程式、 Rootkit 和蠕蟲： ? Net-Worm.Win32. Koobface ( 蠕蟲 / 目前蔓延散播中 ) ? Net-Worm.Win32.Kolab ( 蠕蟲 / 目前蔓延散播中 ) ? Rootkit.Win32.Banker (Rootkit) ? Trojan.Win32.Vapsup ( 瀏覽器竄改程式 / 木馬程式 ) ? Backdoor.Win32.SdBot (IRC Bot/C&C) ? Backdoor.Win32.PcClient (HTTP C&C 木馬程式 )
- 57. NSS Labs 消費者產品測試報告結果 來源 : NSS Labs Consumer Report, 消費者產品測試報告, 2009年9月
- 58. NSS Labs 企業產品測試報告結果 來源 : NSS Labs Corporate Report 企業產品測試報告, 2009年9月
- 59. 主動式下載防護方面， 趋势科技 的攔截率 (91%) 大幅超越排名第二和第三的競爭對手
- 60. 防毒軟體在任何時間點 所能提供的防護能力結果 使用者平日瀏覽各種網站，而且可能隨時在變。因此，不論在任何時間，惡意程式 URL 的名單都不斷在變，所以，能否持續攔截這些惡意網站，是產品成效的一項關鍵指標。 因此， NSS Labs 每 8 小時就測試一組新的 URL 。下表與下圖顯示整個測試期間攔截能力的重複測試結果。每一個分數代表一個時間點的防護率。
- 61. 偵測 惡意 URL 的反應時間 : 趋势科技 客戶 可以 獲得 最快速的防護
- 62. 阻止新惡意 URL 的反應速度 為了保護大多數用戶，信譽評等系統必須快速而準確。下表回答了這樣一個問題：平均要經過多長時間，才會將受訪的惡意網站添加到阻止列表？
- 63. 數據總整理 來源 ： NSS Labs Corporate Report, September 2009 44.7? 29.1%? 41.7%? 62.5%? Sophos? 49.3? 31.6%? 62.6%? 67.1%? AVG? 40.2? 29.5%? 48%? 67.5%? ESET?? 44.1? 30.4%? 44.3%? 75.2%? Panda? 41.0? 35.5%? 51.4%? 80.7%? F ‐ Secure? 42.8? 34.7%? 57.2%? 81.6%? Norman? 51.4? 49.3%? 88.8%? 82.2%? McAfee? 88.8? 36.1%? 68.9%? 86.3%? Symantec? 48.9? 39.3%? 67.6%? 89.0%? Kaspersky? 36.3? 63.8%? 91%? 93.6%? 趋势科技 阻止新增惡意 URL 用時（小時） 零時阻止率 6 天累計阻止率? 總阻止率 產品
- 64. Think again 如果某個防毒軟體的攔截率達到 100% ，但卻需要 240 小時 (10 天 ) 的時間才能達到，這樣的防護能力其實還比不上 10 小時內整體攔截率就能達到 70% 的產品。 來源 : NSS Labs Consumer Report, 消費者產品測試報告, 2009年9月
- 65. Thanks a lot
Editor's Notes
- #13: 社群智慧 協同合作網路 關聯分析建設
- #14: 社群智慧 關聯分析建設 協同合作網路
- #45: 病毒庫不是資訊安全長 CISOs - the Wild List isn't 在本週富比士期刊的一本文章中（ Security: Where The Wild Things Aren't - Forbes.com ），分析師 Charlotte Dunlap 為資訊安全長（ Chief Information Security Officer ，簡稱 CISO ）條列出在評估防惡意軟體產品時應該要問的問題。 長久以來大家對‘病毒庫（ wild list ）’及其意義倒底有多深遠，普遍存有錯誤的概念。如果購買防毒產品，是因為這些產品是被使用病毒庫做為測試方式的機構所認證的，那麼你參考的並不是最精確有用的標準。 Wild List 病毒庫： 囊括有數百種病毒樣本（截至 2009 年 8 月為止共計有 922 種） 只有病毒，和幾種破壞程式（ Koofbace 和 Confiker ，和它們的 10 來種變化版），在兩個多月前才剛新加入。沒有 rootkit ， trojan 木馬， downloader ，或 spyware 間諜軟體！注意： Trojan 木馬和 downloaders 被認為是最普遍的初期傳播者（ exploits 駭客攻擊程式則又另當別論） 所囊括的病毒受至少兩位防毒軟體研究人員認同，而這些人員幾乎全數皆是為防毒軟體公司工作 在得到認同之前，威脅通常已出現 2 到 3 的月了 在過去每個月只有上百隻病毒時這是很好的方法。但現今的數量和複雜程度已遠超過病毒庫能力所逮，其重要性相對也逐漸減少。 我們認為， Wild List 病毒庫不能代表網際網路中的威脅，其定義範圍是依據分享所得且定義狹窄，而極為偏頗不公。你還要使用這種狹礙定義測試單位所認證的依據來做購買決定嗎？（ ICSA Lab ， VB100 ， West Coast Labs ） 作者： Rick Moy 貼文日期： 11/06/2009 ? http://nsslabs.blogspot.com/2009/11/cisos-wild-list-isnt.html
- #49: 新惡意軟體大量的散發代表以特徵為主的掃瞄技術將很難跟上腳步 . 今日多數的偵測測試皆依據病毒碼特徵掃瞄技術 . 測試所使用的檔案通常在測試開始前就已經是過期了 . 傳統的解決方案需要將特徵佈署到端點 , 而將產生防護前的前置時間拉長 . 再加上多數的網路最犯罪份子可利用相同的測試技術 , 來確保惡意檔案不會被偵測出 , 此些事實顯示多數檔案掃瞄在測試中已不適用 .
- #50: Trend Micro 趋势科技的 TrendLabs 對 2008 年所有威脅進行分析後 , 統計出 92% 的威脅皆來自網際網路 . 只有 8% 是由移動式媒介所造成的結果 . 結論是如果仰賴等候檔案被複製到電腦中的解決方案 ( 如偵測率測試所進行的 ), 是無法提供最佳的防護 . 解決方案必須要具備從威脅源頭就予以防堵的能力 , 而最大的來源就是網際網路
- #52: 因為多數的威脅來自網際網路 , 威脅路徑應被包括在任何新型的測試方式中
- #53: 就如供應商需要研發出新的方法來保護客戶 , 使用的技術也應被包括在測試當中 . 雲端技術的防護網目前被排拒在傳統的防毒 / 防惡意軟體測試方法外 .Trend Micro Smart Protection Network 趋势科技主動式雲端截毒技術使用的雲端信譽技術 , 從源頭處防堵威脅 , 因此應受任何新式測試方法加入測試 .
- #54: Trend Micro 趋势科技設計出這套新的測試方法使用兩層級的防護 , 感染層與傳統的偵測率測試類似 , 但另外的暴露層則防堵來自或接受有能力傳遞惡意軟體之源頭的檔案 . 同時確保額外層級在新技術可以被加入到新測試時也可另外再加入
- #55: 提議的計分方法讓兩個層級重要性相等 , 而不致於對欠缺任一層級的供應商造成妨礙 . 整體防護指標將兩層級的得分匯總成整體防護分數
- #58: 下載時捕獲指產品能防堵 URL, 或可在下載過程中偵測到檔案 . 執行時捕獲是指如果檔案通過了第一層 ( 下載時捕獲 ) 並安裝到硬碟中 . 檔案會被執行以決定解決方案是否能偵測 / 防堵該檔案的執行 . 平均防堵時間指的是在測試回合中未能防堵 / 偵測到的 URL 或檔暗 , 之後平均要花多久的時間才能防堵到 . 惡意軟體 URL 回應長條圖顯示的是每天防堵到的 URL 百分比 , 包括了舊 URL ( 延續使用的 ) 和當入加入的新 URL.
- #59: 為什麼每個供應商的消費者產品和企業產品測試結果會有所不同 ? 供應商通常會將不同的技術以不同的比例整合到產品中 . 因此不同的產品可能因所使用的技術而具有更多或更少的防堵能力 . 供應商同時也會將消費者產品和企業產品依客戶的需求做不同的設定 . Trend Micro 趋势科技最大的不同點在於“執行時捕獲”層面 , 其 OfficeScan 套裝組的表現較 TIS 弱 . 這是因為 OfficeScan 並不支援以行為為主的掃瞄技術 , 而 TIS 支援該技術 . 這部份將會加入 Service Pack 1 中提供給 OfficeScan 10 最理想情況，當然是在惡意程式還沒完全下載到用戶端電腦時就能偵測並予以攔截。在這項主動式下載防護方面， Trend Micro 的攔截率 (91%) 大幅超越排名第二和第三的兩位競爭對手： McAfee (79.8%) ， Kaspersky (78.5%) 。 如果不幸讓惡意程式下載得逞，那麼至少要在惡意程式執行的時候予以攔截。這一方面的工作較為困難，因為惡意程式 有許多方法可以躲避偵測。下表中的「執行階段攔截」一欄，最後會與下載階段攔截一欄加總。 Norton 在執行階段的 攔截率達到 31% ，是目前所見最高的，而該產品也因此能夠排名第三。
- #60: 最理想情況，當然是在惡意程式還沒完全下載到用戶端電腦時就能偵測並予以攔截。在這項主動式下載防護方面， Trend Micro 的攔截率 (91%) 大幅超越排名第二和第三的兩位競爭對手： McAfee (79.8%) ， Kaspersky (78.5%) 。 如果不幸讓惡意程式下載得逞，那麼至少要在惡意程式執行的時候予以攔截。這一方面的工作較為困難，因為惡意程式 有許多方法可以躲避偵測。下表中的「執行階段攔截」一欄，最後會與下載階段攔截一欄加總。 Norton 在執行階段的 攔截率達到 31% ，是目前所見最高的，而該產品也因此能夠排名第三。
- #61: ，平均防護率與非重複 URL 的測試結果會有些許不同，原因有幾個。首先，這項資料包含單一 URL 的多次測試。因此，能夠越早攔截，分數就越高。如果一直無法攔截，分數就會降低。因此，非重複 URL 的測試分數會隨時間而加乘，進而決定最後的防護率。這項測試所要探討的問題是：「防毒產品在任何時間點所能提供的防護能力如何？」
- #62: 產品累積的防護率是列在「 0 小時」一欄，接著分別是加入惡意程式樣本之後前 5 天的數據。 URL 測試期間的最終防護率顯示在「總分」一欄。一般來說，產品在 0 小時就至少具備總防護率的一半 ， 分數較好的產品在 0 小時就有較高的防護率。 趋势科技 的防護率特別突出，領先第二名有 21% 。 惡意網站存在時間的長短會造成現實中和測試中的資料有所不同。傳統測試不會對惡意軟體的防護重新進行採樣，而這恰恰是 NSS Labs 測試的一個主要特色。 McAfee 通過累積捕獲了大量存在時間很短的惡意網站。儘管 Kaspersky 最初遺漏了很多長時間存在的網站，但是 McAfee 在整個測試過程中都沒有檢測到這些網站。平均的阻止時間僅與重複測試中被持續阻止的網站有關。趋势科技不僅捕獲了存在時間短的網站，也捕獲了存在時間長的網站。 根據最後的結果顯示，防毒產品對抗社交工程惡意程式的能力差異頗大。 根據最後的結果顯示，防毒產品對抗社交工程惡意程式的能力差異頗大。 Trend Micro 與 McAfe 的惡意程式防護反應時間遠勝其他防毒產品。這兩項產品在下圖中很明顯地領先其他產品有一段距離。進一步的資料分析顯示，所有其他的防毒產品大約在第 8 天的時候開始從 50% 左右的偵測率隨後趕上，這顯示客戶獲得惡意程 式防護的早晚，視廠商的作業時間而定。 一步的資料分析顯示，所有其他的防毒產品大約在第 8 天的時候開始從 50% 左右的偵測率隨後趕上，這顯示客戶獲得惡意程式防護的早晚，視廠商的作業時間而定。
- #63: 阻止网站的平均用时（如果是完全阻止）为 48.8 小时。由此可见，趋势科技、 Eset 、 F-Secure 、 Norman 、 Panda 和 Sophos 在添加新的阻止网站方面高于平均水平。
- #64: 测试数据和分析按产物进行了汇总。 NSS Labs 的评估稍微侧重于延时防护，因为这可以最真实地反映现实中长时间使用的情况。