金牌會員
文章难免会有疏漏！发现问题可以PM我！首发卡饭、卡巴一族！
无限梦幻评测室出品 请大家以理性的态度去看待去学习这篇文章，如果有严重错误我们会及时纠正！现在删除了有争议的部分，并且完善了一部分措辞。但是难免会有疏漏，所以请阅读者海涵！ 一、如果病毒放进低受限会怎么办？（修改） 我相信大家都遇到过这个问题，其实放进低受限同样会有拦截。但是这个拦截与微点等其他智能或手动HIPS不一样，它不是所有行为拦截，而是拦截有害行为。比如说病毒A，经过自动模式下被分进了低受限组。那么这个病毒获得的权限就比放入高受限的自由权多。但是即使如此，这只是第一步。就好比这个地球有N多人属于不同国家，而我们是中国人，是这些人中的一部分。在这一部分里卡巴通过HIPS继续分类，按照数字签名（后面还要说到）和白名单进行筛选，就好像选举领导人一样，把领导选出来剩下的就是公民。在这么多公民里，又有不同阶层的人，有的人争得多有的人争得少，有的人权势高有的人权势低。所以HIPS对这些人进行danger index分类，也就是危险指数。在1-49内为贵族，50-99内为公民，100为社会通缉犯。在50-99这个范围内病毒是不会穿过HIPS进行破坏因为限制太多。1-49内可能就有人问了是不是低受限就会有影响。答案是肯定的，但是安全不会受到威胁。比如每天的测试样本，经常可以看见有少数低受限病毒进程出现在任务管理器里，但是很奇怪的是你的电脑并没有被破坏，当然可能出现其他更改等现象，比如时间修改病毒，虽然成功修改了时间，但是这个病毒原来锁定时间和任务管理器的危险行为却被拦截，时间照样可以通过windows自带的时间日期调回。所以说低受限并不可怕，依然安全（这是在大多数情况下，低受限的规则现在仍然不完善）。 PS：高手建议使用交互模式，这样能更加安全，但是易用性会降低！ 二、数字签名被伪造了怎么办？ 数字签名被伪造，这个从技术手段来说确实可以。而且丫一做过试验（测试样本和结果可以和他要），他嵌入了各种伪造样本。虽然躲过了卡巴的第一道防线，但是病毒依然被拦截。所以说卡巴是个立体防御，你要想过卡巴2009HIPS不是破坏一个就可以达到目的的。 三、如果病毒不小心放入了受信任组会怎么样？ 这个放心，即使你放入了卡巴信任组，躲过了卡巴规则，但是HIPS和PDM依然会进行，如果有危险行为则会自动拦截，部分病毒卡巴甚至可以将其从信任组重新放入受限组，从而达到保护。 四、难道没有过卡巴2009HIPS的病毒吗？ 确实到目前为止还没有病毒可以穿过卡巴2009HIPS（利用BUG的除外），不管是中国的黑客联盟还是国外的黑客组织现在对于卡巴的PDM依然没有办法，他们最厉害的只是越过了HIPS规则和数字签名，白名单和PDM等其他防御手段还没有任何进展。当然，没有密不透风的墙，所以只有不断完善才能更加安全。 PS：没有100%可以防御的杀毒软件，所以如果你抱着这样的态度使用卡巴，建议你不要使用！ 五、那个RING3过卡巴的怎么说？（增加测试结果，BY 丫一） 这个只能说是卡巴的一个BUG，至少现在422的测试结果，并没有被结束。当然这和系统环境有关。 丫一测试无法结束。 PS：卡巴会修复这个错误，这个RING3结束卡巴，只能结束UI。测试版本8.0.0.357 六、为什么在进行卡巴HIPS测试时会出现报病毒的情况尤其是免杀？ 免杀是什么，无非是通过更改部分代码，使得跳过启发代码和特征码达到避免删除的目的。运行一个免杀为什么会报毒？ 这是因为其原来是什么病毒还是什么病毒，只不过删除了原来的特征码而已，并不影响运行~对于一个曾经已入库的病毒来说，在卡巴沙盘的运行下就会原形鄙陋，如果其中一些行为跟某些病毒行为类似或者触发规则则会出现behavior similar xxxx这就是所谓的PDM和病毒库HIPS的结合，当没有类似行为时则会检查数字签名和白名单，如果没有则会归为低受限，当然这时的danger index在55以下~这时候卡巴只会拦截有害行为放行无害动作。当danger index在99以下则会归为高受限，拦截大部分动作，并有可能配合PDM提示，出现那几幅截图。如果行为太多会直接放入不信任组。 七、KAV和KIS的HIPS模块有区别吗？ 这个答案是肯定的KAV的HIPS模块仅仅是一个附加模块而且功能有所削弱，起到辅助防御的作用。所以有很多病毒并不能很好的拦截。而KIS的HIPS模块是一个整体，融为立体防御里的一部分。配合各个模块的相互协作，加强自己的防御体系，从而达到近似完美的保护，所以说如果要想体验卡巴HIPS必须安装所有KIS组件，而不能只选择安装HIPS组件，因为它不是单独的HIPS，也不是传统意义上的HIPS，它是一个整体，需要各个模块相互配合，相互制约。 PS：如果你想体验卡巴2009的立体防御，建议安装KIS系列。 八、为什么测试区的两个卡巴2009扫描测试成绩不一样？ 这是因为BUILD号不一样，参加立体防御测试的版本为8.0.0.422，而参加扫描测试的是8.0.0.357。两个版本虽然病毒库是一样的但是启发模块却不一样。据官方介绍，卡巴每出一个版本就会加强启发和HIPS防御功能，所以说从安全性角度上来说，新版本具有优势。但是引起的兼容性问题和BUG也是需要注意的。 九、病毒库后缀的变化 这个变化在于原来的病毒库后缀为*.avc而现在的后缀为*.kdc。所以有可能出现病毒库在一定时间内不一致的情况。但是命名方式和总数量是完全一样的。 十、OFFICE和卡巴之间的BUG问题 这个问题已经在429和430NCT上得到了部分解决，当然还需要更改注册表才能完全解决。不过来自俄罗斯开发组的消息在即将临近发布的CF1版本将会彻底解决这个问题，所以还在饱受痛苦的同胞们，马上就可以看见阳光了！
查看詳細資料
TOP
不小心姓名註冊..懶的改了@@
原帖由 卡巴斯基 於 2008-7-12 17:46 發表 七、KAV和KIS的HIPS模块有区别吗？ 其實KIS只是比KAV多了防火牆,反垃圾郵件和家長控制,其餘的功能一致! KAV只不過防不到駭客,但防毒能力是一樣的!
VM一天要還原10次..
Moderator
原帖由 Bug 於 2008-7-12 22:27 發表 預覽版說明書證實了一件事.... KAV8 只有 PDM ... 沒有 HIPS (不是縮減而是沒有!!!)
我愛小紅獅
AV Expert
小紅獅親衛隊隊長
查看個人網站
九、病毒库后缀的变化 这个变化在于原来的病毒库后缀为*.avc而现在的后缀为*.kdc。所以有可能出现病毒库在一定时间内不一致的情况。但是命名方式和总数量是完全一样的。
亦正亦邪
高級會員
二、数字签名被伪造了怎么办？ 数字签名被伪造，这个从技术手段来说确实可以。而且丫一做过试验（测试样本和结果可以和他要），他嵌入了各种伪造样本。虽然躲过了卡巴的第一道防线，但是病毒依然被拦截。所以说卡巴是个立体防御，你要想过卡巴2009HIPS不是破坏一个就可以达到目的的。
原帖由 kuririn 於 2008-7-13 09:42 發表 那我來討戰 先這個吧 其他段字太小又都擠在一起懶的看 他嵌入了各種偽造樣本 他偽造數字簽名 ㄚ一偽造數字簽名 ps : 數字簽名 = 數位簽章
原帖由 ㄚ一 於 2008-7-13 00:43 發表 因為樓主的關係，卡飯開始多出很多跟我討戰的人 不過沒關係，在戰場上我不見得像趙子龍那般戰無不勝 但我可是跟關雲還有張飛一樣是個萬人之敵！
