评估反病毒引擎能力

Mozilla

评估反病毒引擎能力 

·················反病毒引擎的检出能力
对于很多关心反病毒引擎的人来说，检出率似乎是最值得关注，甚至是唯一的评估指标。的确，由于检出率的可量化性，从安全爱好者或非安全从业人员的角度来看，检出率确实是最方便评估反病毒引擎能力的。但在这里我希望明确一些概念，以使这种评估更具可操作性、结果更具科学性。

1) 关于评估样本集 a. 量级大对概率有基本认识的人都能理解，评估样本量级越大，评估的结果越有参 考意义，反则亦然；行业内的评测，一般选择的样本量都在10,000左右，最少也不会少于1,000； b. 样本类型丰富 单一类型的样本（如PE、ELF、PDF、MIME 等）只能评估引擎对单一类型 样本的检出能力，样本类型越丰富对反病毒引擎检出能力的评估越全面； c. 样本质量可控 这里指的样本质量包括损坏样本比例和白样本比例： i. 损坏样本除非刻意评估引擎对损坏样本的处理方式和结果，通常评估样本集 不应包含损坏样本； ii. 白样本 评估样本集可以包含白样本，但评估者应对白样本比例应有明确的把握，说白一些就是，如果评估者不清楚评估样本中白样本的数量，那么就没有办法计算真正的检出率。一些厂商为制造100%检出 率连评估样本集中白样本一起入库的案例也不胜枚举；
只有当评估方法符合上述条件，下面我们将要提到的评估结果才具有意义。
2) 绝对检出率反应引擎的整体表现 绝对检出率是指在评估样本集上，反病毒引擎检出样本数与总恶意样本数（即排除样本集中白样本后的样本总量）的比值。很明显，这个比例越大，说明反病毒引擎 的整体检出效果越好； 3) 单位检出率反应引擎的核心能力

单位检出率是指绝对检出率与反病毒特征库体积的比值。该比值反应的是反病毒引 擎的核心能力，比值越大，说明反病毒引擎的核心能力越强。当然，与上述评估条件所述，样本集越大，评估的结果越有参考意义。
提高引擎的绝对检出率固然很重要，但对单位检出能力的提升更具意义。国外厂商 多采用新样本批量入库（本地或云特征库），并周期性进行特征整理，完善通用扫描特征的方法。火绒也在这条道路上进行着不断的尝试，力求用最轻巧的体积打造 更高的绝对检出率。
 反病毒引擎的解码（Decomposition）能力通过压缩、加壳等方式对样本进行变换，并评估反病毒引擎对特定编码方法的解码 能力。对于压缩包、安装包等比较常规的解码能力，我想对于绝大多数人来说都比 较容易清楚地评估，所以本文不再赘述，下面我们来聚焦对加壳及混淆类可执行文件的解码能力。
正如前文关于本地传统引擎的价值中所说，目前绝大部分恶意样本都经过一定程度 加密、混淆以对抗反病毒引擎的扫描，而这其中又以PE类恶意样本数量最为庞 大，所以对PE 混淆样本的处理能力对于反病毒引擎来说尤为重要。
评估反病毒引擎对混淆样本的解码能力，需要如下两个步骤：
1) 挑选能够被通用扫描特征检出的样本 由于快速处理的需要，反病毒引擎通常会选择哈希类特征对收集到的样本进行快速处理，但由于脱壳过程是非精确还原的过程，所以这类特征往往在脱壳后 便会失效。所以应选择能够被通用扫描特征检出的样本。针对PE样本，例如 可以对样本进行UPX加壳（因为如果连UPX都脱不了那就没有必要继续测下去了:-(），如果加壳前后都可以检出并且病毒名相同，那么基本可以说明这个 样本是被通用扫描特征检出的； 2) 有目的地选择壳或混淆器器对样本进行编码并测试；

恶意代码分类

file:///C:/Users/YorkXu/AppData/Local/Temp/msohtmlclip1/01/clip_image002.png

3wthx

file:///C:/Users/YorkXu/AppData/Local/Temp/msohtmlclip1/01/clip_image002.png

这是什么？