动象论坛

 找回密码
 立即注册

搜索
查看: 55 | 回复: 1

评估反病毒引擎能力

[复制链接]

该用户从未签到

55

主题

267

帖子

687

积分

清正廉明~版主

致敬·Mozilla Firefox

Rank: 16Rank: 16Rank: 16Rank: 16

积分
687

论坛官方最佳新人活跃会员

发表于 2020-6-13 11:39:11 | 显示全部楼层 |阅读模式
评估反病毒引擎能力
·················反病毒引擎的检出能力
对于很多关心反病毒引擎的人来说,检出率似乎是最值得关注,甚至是唯一的评估指标。的确,由于检出率的可量化性,从安全爱好者或非安全从业人员的角度来看,检出率确实是最方便评估反病毒引擎能力的。但在这里我希望明确一些概念,以使这种评估更具可操作性、结果更具科学性。

1) 关于评估样本集 a. 量级大对概率有基本认识的人都能理解,评估样本量级越大,评估的结果越有参 考意义,反则亦然;行业内的评测,一般选择的样本量都在10,000左右,最少也不会少于1,000; b. 样本类型丰富 单一类型的样本(如PE、ELF、PDF、MIME 等)只能评估引擎对单一类型 样本的检出能力,样本类型越丰富对反病毒引擎检出能力的评估越全面; c. 样本质量可控 这里指的样本质量包括损坏样本比例和白样本比例: i. 损坏样本除非刻意评估引擎对损坏样本的处理方式和结果,通常评估样本集 不应包含损坏样本; ii. 白样本 评估样本集可以包含白样本,但评估者应对白样本比例应有明确的把握,说白一些就是,如果评估者不清楚评估样本中白样本的数量,那么就没有办法计算真正的检出率。一些厂商为制造100%检出 率连评估样本集中白样本一起入库的案例也不胜枚举;
只有当评估方法符合上述条件,下面我们将要提到的评估结果才具有意义。
2) 绝对检出率反应引擎的整体表现 绝对检出率是指在评估样本集上,反病毒引擎检出样本数与总恶意样本数(即排除样本集中白样本后的样本总量)的比值。很明显,这个比例越大,说明反病毒引擎 的整体检出效果越好; 3) 单位检出率反应引擎的核心能力

单位检出率是指绝对检出率与反病毒特征库体积的比值。该比值反应的是反病毒引 擎的核心能力,比值越大,说明反病毒引擎的核心能力越强。当然,与上述评估条件所述,样本集越大,评估的结果越有参考意义。
提高引擎的绝对检出率固然很重要,但对单位检出能力的提升更具意义。国外厂商 多采用新样本批量入库(本地或云特征库),并周期性进行特征整理,完善通用扫描特征的方法。火绒也在这条道路上进行着不断的尝试,力求用最轻巧的体积打造 更高的绝对检出率。
 反病毒引擎的解码(Decomposition)能力通过压缩、加壳等方式对样本进行变换,并评估反病毒引擎对特定编码方法的解码 能力。对于压缩包、安装包等比较常规的解码能力,我想对于绝大多数人来说都比 较容易清楚地评估,所以本文不再赘述,下面我们来聚焦对加壳及混淆类可执行文件的解码能力。
正如前文关于本地传统引擎的价值中所说,目前绝大部分恶意样本都经过一定程度 加密、混淆以对抗反病毒引擎的扫描,而这其中又以PE类恶意样本数量最为庞 大,所以对PE 混淆样本的处理能力对于反病毒引擎来说尤为重要。
评估反病毒引擎对混淆样本的解码能力,需要如下两个步骤:
1) 挑选能够被通用扫描特征检出的样本 由于快速处理的需要,反病毒引擎通常会选择哈希类特征对收集到的样本进行快速处理,但由于脱壳过程是非精确还原的过程,所以这类特征往往在脱壳后 便会失效。所以应选择能够被通用扫描特征检出的样本。针对PE样本,例如 可以对样本进行UPX加壳(因为如果连UPX都脱不了那就没有必要继续测下去了:-(),如果加壳前后都可以检出并且病毒名相同,那么基本可以说明这个 样本是被通用扫描特征检出的; 2) 有目的地选择壳或混淆器器对样本进行编码并测试;
恶意代码分类
file:///C:/Users/YorkXu/AppData/Local/Temp/msohtmlclip1/01/clip_image002.png



动象论坛欢迎您!文明发帖,理性交流!(๑`・ᴗ・´๑)

该用户从未签到

73

主题

197

帖子

338

积分

初来乍练

Rank: 2

积分
338

最佳新人灌水之王

发表于 2020-6-13 17:41:11 | 显示全部楼层
file:///C:/Users/YorkXu/AppData/Local/Temp/msohtmlclip1/01/clip_image002.png

这是什么?
动象论坛欢迎您!文明发帖,理性交流!(๑`・ᴗ・´๑)
回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

 QQ 手机版小黑屋网站地图

GMT+8, 2021-5-10 15:55 Processed in 0.176943 second(s), 26 queries .

CopyRight © 2020-2021 DongXiang BBS. All Rights Reserved.

ICP备案号:粤ICP备17035028号-1

MySSL 安全签章

快速回复 返回顶部 返回列表