2010年03月《安全天下事主机安全的系统资源代价之》

主机安全的系统资源代价

 

（2010年3月）主持人/江海客

 

嘉宾：
何公道：江民科技技术副总，资深程序员，中国通用软件史上知名的郑州七杰之一。
李德浩（Tony Lee）：微软公司恶意软件防护中心高级研发主管（Malware Raesearch Manager）。 

      在基本内存只有640K的时代，反病毒的先行者们谨慎的通过TSR程序摸索实时监控技术的雏形，那时每1K内存都被攥的发烫。而今天主机安全产品正在成为系统资源消耗的大户。病毒查杀规则的膨胀、主动防御技术和深度检测检测技术的广泛应用，都使安全产品的资源占用越来越为用户关注。
      实时监控、主动防御等技术带来的问题不只是兼容和稳定性的问题，更包括造成对CPU和内存资源的更多占用、以及产生更多的用户交互干扰，这使更多的保护环节反而是反病毒产品最终失去用户的原因。从传统的角度，提高结构和代码段检测的效力以避免全文件IO、抛弃高负载虚拟机而代之以其他的综合判定方法，以及采用更好的检测规则描述方法降低内存利用，都是很好的方法。但反厂商浓厚的底蕴和庞大的技术体系，则可能成为反而负担，积重难返，很难做出快捷的调整。
      而厂商而为了改善UI表现，在产品里包裹IE控件，而把界面用网页实现，这也会增加程序的内存消耗。
      而在综合威胁的压力下，即使360这样讲求快速敏捷的新兴团队，也在全面解决安全问题的压力下，开始变成一个大而全的整体解决方案。
      这其实给小安全工具的成长创造了空间。如金山发布了贝壳，这个十分精致的、只有500K的云查杀工具，也许这个名字显得过于写意，在各大下载站上贝壳基本上“波澜不惊”。但作为传统厂商的新尝试值得鼓励。而一个叫村落安全的小工具，在大而全产品之间，悄然有针对性的填补起彻底解决类似主页劫持之类小众问题的空白。
      一个同仁在CSDN在深圳的CTO联谊中，提出了这样一个问题，用户更需要精通十八般武艺的慕容复，还是只会一招黑虎掏心的虚竹。我想对安全也是如此，重载的解决方案级产品和轻载的小工具，哪个更有商业前途。其实从弱小到崛起、成长、庞大，灭亡，都是必然的规律，庞大者确实总是站在价值链的顶端，但机会却总在霸王龙看不到的地方。

      何公道：目前各反病毒厂商都面临着资源占用的问题，原因就是木马制作所需的水平越来越低，加之其利益链条导致木马数量急剧膨胀，这使规则急剧增加。而过去地域性的反病毒厂商更多只是处理好自己用户提交的样本，而为了进行全球性的膨胀和区域扩张，反病毒厂商之间的样本交换也非常频繁。这都造成了检测规则数量的急剧膨胀。可以想象在文件监控中，数百万条规则匹配不上，才放行，势必增加阻塞访问的时间。反病毒厂商积极引入了一些新的技术，如新的规则描述算法和匹配算法等，基本上让主流用户查杀过程的时间消耗没有明显的增加。
主动防御技术的规则集较小，其主要压力并不在CPU和内存占用上面，但对用户的打扰也是另外一种消耗。在这方面减少打扰就要增加更多的规则，比如后台的云查询降低用户依赖。

      李德浩：尽管病毒库的增长造成了一定的影响，反病毒厂商也不断提高产品性能，目前看来技术改进可以解决大部分的问题，例如MSE在资源占用上做了不少的改进，使用动态匹配技术就降低了系统开销。而更多的保护可能需要与系统和应用软件更紧密的结合，如果能更有效的了解Windows的机理，应该不会对系统造成严重的影响。不建议用户因为反病毒占用负载而“裸奔”，反病毒产品是安全的“最后”一道防线，在其他保护都不起作用的时候。比如一辆汽车，即便有先进的安全系统，到了紧急关头，也需要刹车的作用。云查杀有不同的定义。现在主流的产品大多利用网络达到更快速的反应和更高的查杀率，但并没有革命性的取代原有基于病毒库的技术。
      我相信随着互联网的发展，带宽成本会越来越低 ，对云的支持会更好。

 

本月热点
漏洞
MySQL yaSSL库证书解析远程溢出漏洞
CNCERT通报数据库系统软件MySQL的一个ODay漏洞。漏洞存在于MySQL自带的yaSSL库中，MySQL在编译时如加入对SSL支持，往往会启用yaSSL库。更为危险的是，攻击者发动攻击是在与数据库系统建立连接会话的初始阶段，不需要进行证书身份认证，使得攻击成功的概率大大增加。
目前，受该漏洞影响的MySQL版本包括5.5、5.1和5.0.x，而相关版本被广泛使用。

http://www.cert.org.cn/articles/bulletin/common/2010012824794.shtml

 

Cisco Unified MeetingPlace存在多个安全漏洞
CNCERT通报了Cisco Unified MeetingPlace的多个安全漏洞，这是一款思科公司提供的网络会议解决方案，它存在多个安全漏洞，远程攻击者可以利用漏洞导致畸形SQL注入、特权提升或获得敏感信息等。在内网渗透如此敏感的时候，企业OA相关系统的安全也值得关注。
http://www.cert.org.cn/articles/bulletin/common/2010012824796.shtml

 

推荐资源

Google等多家国际企业遭受入侵的同源样本分析报告：从反病毒厂商视野看待谷歌等公司内网被入侵事件。
http://www.antiy.com/cn/security/2010/s100128_002.htm