Panda Internet Collective Intelligence 詳解Panda Security 2009已經面試1周有余，在這1周的時間裏面，我和衆多網友已經感受到了新版本帶來的沖擊，不僅僅是視覺上的，更是在效果上有很大進步。
或許大家覺得我可能對Panda總是報喜不報憂，其實不然，對于Panda 2009的變化，用戶的批評和激勵起了至關重要的作用，所以我覺得報憂比報喜好，在現在AV大環境不好的情況下，憂患意識應該是必須具有的。
言歸正傳，首先說2009beta到目前爲止發現的Bug。
1.實時監控的“監控壓縮包”功能失效。
不論此選項是否選擇上，實時監控都會掃描壓縮包中的文檔，根據目測，.Rar與.Zip都被監控。
2.“自我檢測”選項失效
不論此選項是否選擇，Panda 2009beta都會定時對自己的保護程式開啓狀況進行檢查，並提示用戶進行相應操作。
3.隔離區裏面有大量文檔的時候，隔離區內操作速度非常緩慢。如果一次性刪除大量隔離區內文檔，可能導致Panda程式的GUI出現假死。
4.刪除隔離區內部分文檔偶爾會提示出錯。
5.“反欺詐網頁”功能過于敏感
即使將該功能選擇爲“低”級別敏感度，仍然會産生“誤報”。
6.右鍵掃描的時候，如果對隔離區內文檔采取“上報可疑文檔”的操作，右鍵掃描功能很可能出現假死，並且無法恢複（恐怕和Collective Intelligence聯網與上報文檔聯網沖突有關系）
7.日志中經常性疏漏Collective Intelligence報出的“可疑文檔”。
8.全新安裝Panda internet security 2009 beta之後，在初次重啓機器後，Panda Permanent protect實時監控經常性提示出錯隨機自動關閉。重啓機器可以解決。
9.掃描某些特定文檔的時候掃描器會卡住，導致掃描器卡死。在任務管理器中關閉掃描器，重新開啓掃描可以解決。
上面說了一些我總結的Bug，下面來說說2009版的優點
1.開機後，所有程式加載完畢，系統穩定後，系統運行速度流暢，相比2008流暢度提高很多，從Panda blog看，是Panda采用了白名單庫，這樣甚至可以不用檢測系統的以及常用軟體，大大提高檢測效率。
2.系統GUI打開、關閉、切換速度明顯加快。相比2008，2009的界面打開、關閉以及切換速度變的相當迅速，並且“應用”所選項目後也不會出現短暫卡機的情況。
3.GUI分布合理，界面更加人性化。隔離區操作相比之前更加方便，看上去非常簡潔。
4.自動在線更新頻率增加。
5.樣本自動上報系統比之前效率提高。
6.解決了P2P軟體不兼容的問題，但由于防火牆規則問題，使用P2P相關軟體仍然會出現偶爾斷流的現象，但速度在一小段時間之後仍然會恢複。
7.大家最關心的檢測率方面，Panda 2009檢測率大幅度提高。
下面說說Panda的Collective Intelligence（以後簡稱CI）。
早在去年，我就在Blog轉貼了官方相關CI的文章，文章裏面已經將CI的研發目的介紹的比較清楚。但是涉及企業機密的具體的實現CI的技術手段並未詳細介紹。說實話我也沒想到CI會在2009中就整合在一起，因爲Nano Scan、Active Scan 2.0也都是剛剛發布不久，這些東西恐怕已經差不多人忘記了還在Panda labs中緊鑼密鼓的開發著的CI。
CI的理念比較符合目前計算機發展趨勢，將每台Computer中大量繁重的計算，交給一台高性能的計算機網絡服務器來進行計算，然後分發給所有客戶端，這樣的方式，優化了效率，減少了重複工作量，當然這樣的技術對我們的聯網質量有一定的要求。有一定的要求並不是說要求很高，對于現在普及了1MB ADSL的中國來說，已經完全具備了這樣的條件。
現在每天都有成千上萬到新惡意軟體誕生，這裏面，絕大多數都是所謂的“變種”，大多數還都是通過修改部分樣本的代碼、殼特征等方式對惡意軟體進行“改頭換面”，如果2008年的安全軟體還是像2005年之前那樣，僅僅將每個樣本的特征碼提取出來，加入病毒庫，那病毒庫中將充斥滿垃圾代碼，而且會以幾何級的倍數增長。面對這樣的情況，先知先覺的安全廠商就著手對這些“改頭換面”而來的新樣本進行重點突擊。研究者發現，這些威脅有共有的特征，他們要麽是有很奇怪的殼保護在真實程式之外，要麽就是有共同的“動作”特征。
隨後研究者開發出來了各種對付這些威脅的方法，比如對可疑加殼方式的偵測，或采用虛擬機的方法模擬程式運行，通過程式的“動作”判斷程式是否是威脅。
當采用這些新方法之後，安全廠商發現安全軟體對惡意威脅的檢測率是有一定程度的提高，但這些方法都並非基于准確的唯一特征定位法，會對一些“無毒”文檔産生一些誤報，導致不良的後果。
對于用戶來講，檢測率的提高可以很大程度提高系統安全度，每當安全軟體提醒用戶發現“可疑文檔”的時候，這些文檔很可能就是新威脅，用戶一般都會聽從軟體的建議對“可疑文檔”進行處理。這個過程當中，會産生新的問題。
當安全軟體將一個“幹淨”的文檔判斷成可疑文檔的時候，用戶一旦按照提示操作，有可能安全軟體就將此文檔刪除，或者移動到隔離區中。誤判會對系統或相應軟體的正常運作産生影響。如果這個時候，用戶可以與安全軟體廠商立刻聯系分析可疑文檔，在幾分鍾之內就解決這個問題，誤報對用戶造成的損失可以降低到很小的程度。
常規的方法，需要用戶將被誤報的文檔提取後，加密壓縮，並發送到安全廠商相應的郵箱內，等待廠商分析，然後發布新病毒庫，用戶更新病毒庫解決誤報。這個流程，短則2、3個小時，長則可能1個多星期甚至更久。
頗爲麻煩的流程，讓軟體使用者煩惱不已，而安全廠商也開始另辟蹊徑。
Collective Intelligence就是在這樣的情況下誕生。CI是一個網絡，這個網絡覆蓋了Panda病毒分析實驗室的服務器和所有使用Panda的用戶的機器，這些機器可以隨時通過Panda的安全軟體進行通訊。
Panda的服務器是“上位機”，所有的用戶的機器是“下位機”，上位機和下位機之間是雙向通訊的，下位機之間不可以直接通訊。
現在來模擬一下CI的工作方式：
用戶user1的機器上，Panda報告發現“可疑文檔”，用戶根據提示，發現文檔已經被Panda放入隔離區內。然後Panda根據用戶的設置，自動上報可疑文檔（或者用戶在隔離區內，單擊5次鼠標就可以完成一次完整的自動上報），文檔會在幾秒鍾內上報到CI服務器，文檔當即就在CI服務器上被自動分析，然後在1、2秒鍾之內，CI服務器會給用戶的Panda反饋一個消息，這個消息有2種情況：
情況一：當這個文檔不是首次上傳，而是之前有其他用戶上傳過
由于之前有其他用戶上傳過，所以CI只需要將之前分析的結果反饋給user1的Panda，user1的電腦中的Panda軟體的隔離區的“狀態”一項中會立刻顯示這個文檔是真正的“威脅”，或者是“幹淨”的文檔。
情況二：user1上傳到文檔CI還未曾分析過
CI處理完user1的文檔之後，這個可疑文檔就已經被CI“記錄在案”。當user2的機器也發現同樣的文檔，被Panda隔離起來，user2也自動上報CI分析是否是威脅，CI就可以在1、2秒之內立刻告訴use2，這個是“威脅”！或者是“幹淨”的！
您可以仔細想想，Panda的引擎檢測出的“可疑文檔”中，誤報的幾率有多少，其實是相當少的。所以上報給CI的“可疑文檔”大多數都是真正的威脅，user3、user4……等等用戶機器中的Panda發現了”可疑文檔”，通過內嵌的自動上報系統，可以非常迅速的知道哪些是威脅，哪些不是威脅。再多轉幾圈腦筋，實際上用戶只需要從所有“可疑文檔”中還原出“幹淨”的文檔，並不需要費力的確定每個“可疑文檔”具體是什麽病毒或木馬，叫什麽病毒名，有什麽特性，這些對大多數用戶都毫無意義，而如果是傳統的安全軟體，會把所有的“可疑文檔”都分析後，加入病毒庫，那病毒庫何時是個盡頭？特別是在用戶的機器上的病毒庫會不斷變大，直到臃腫不堪，那安全軟體行業就算走到盡頭了。
Panda研發CI的目的，就是要將這些新威脅（特別是木馬變種）通過用戶機器的一個具有“啓發式”掃描引擎的Panda安全軟體掃描出來，然後在所有的“可疑軟體”中只將“幹淨”的文檔過濾出來，其他一切“可疑文檔”都無需知道具體什麽名字，只要知道他是威脅，通通給隔離起來就好了。防止了用戶機器上的安全軟體的病毒庫的無限擴大。
CI的任務不僅如此。按照Panda Security公司的設計，從2009版本開始，Panda的單機版的病毒庫，將分爲2部分：“客戶端部分”和“CI服務器部分”。
用戶機器上安裝的Panda安全軟體的病毒庫，只需要保留“惡意Rootkit”、“In the wild”的特征碼，以及“感染性的病毒”樣本的特征碼，以備系統被病毒感染後需要本地病毒庫來修複被感染的文檔所需。可以想象用戶機器裏面的病毒庫會縮減多少，安全軟體對系統影響會降低到一個很可觀的程度。
而CI上面的病毒庫，將是一個“巨型”病毒庫，這個病毒庫收集所有的“木馬”、“不可修複病毒”、“僵屍病毒”，包括了所有的通過用戶機器上的panda上報上來的“可疑文檔”的分析結果。
總結。Collective Intelligence的實踐是安全軟體企業走向成熟後的大膽嘗試，這樣的嘗試會將“越來越看不到希望的”安全軟體帶入到一個新的境界，希望Panda等嘗鮮者，一路走好。
轉自Prollblog http://www.prollblog.cn
我也來說兩句 查看全部評論 相關評論