3-2 防御计算机病毒的标准做法 · 波仔的网络与信息安全课

📄 一句话概括

教材给的标准做法是两句话——装上反病毒软件、保持特征库更新；这两件事到现在仍然必须做，但需要看清它们的性质：特征库是【别人已经见过并记录下来】的清单，所以它天然落后于今天新出现的东西，而且落后量是可以算出来的。

📝 本节和前面几节的关系

上一节（恶意软件的种类）分清了病毒、蠕虫、木马三种到达方式。这一节回答最基础的那个问题：知道有这些东西之后，第一道标准防线怎么摆。

它也是第一章成本、便利性、安全性的考量的一次具体落地：反病毒软件是典型的高性价比措施（便宜、几乎无感、能挡住一大片），但它的收益有明确上限，不懂这个上限就会把它当成万能。

一、标准做法就是两件事

教材给的流程非常朴素，只有两步：

导入反病毒软件（装上去，打开实时防护）
更新病毒特征库文件（让那本【坏东西清单】保持最新）

这两步到今天仍然是对的。它们便宜、几乎不影响日常使用、能挡住大多数【已经被人见过】的恶意程序。没有任何理由不做这两件事。

但只有这两步，会漏掉整整一类东西——今天刚出现的、清单上还没有的样本。所以真正要理解的是第二步的性质。

二、为什么【更新】这两个字是核心

先把一个容易混的概念分清：

东西	是什么	变化速度
反病毒软件主程序	引擎：扫描、判断、处置的执行器	慢（几个版本一年）
病毒特征库文件	数据：已知坏东西的指纹清单	极快（每天多次）

特征库的本质是【事后的知识】：得先有人遇到这个坏东西、分析它、提取它的指纹，然后把这个指纹分发到全世界——你的电脑才知道它坏。

这个链条里有一段时间差，就是本节要算的东西。

三、还有一条容易被忽略的纪律：离线环境要单独想办法

企业里总有一些机器不能连外网（生产线上的控制机、财务的隔离机、老旧业务系统）。这些机器装得上反病毒，但特征库更新不了——于是它们的特征库会停在【安装那天】。

对这类环境，标准做法要加一条：

定期用离线方式更新（厂商提供的离线特征库包，用移动介质带进去）；
或者承认它没法靠特征库保护，改用别的思路（白名单、只读文件系统、物理隔离、备份）。

最坏的做法是【装了但从来不更新】——那等于用一个几年前的清单去防今天的样本，还给管理员一个【我装了杀毒】的心理安慰。

四、动手 Demo：把特征库的【时间差】算出来

total = 1_560_000_000     # 累计已知恶意样本
per_day = 560_000         # 每日新增
var_day = 637             # 其中从未见过的新变种
# 更新延迟 -> 盲区内新增变种数
for h in (3, 6, 12, 24):
    print(h, round(var_day / 24 * h))

实跑输出：

一、特征库的规模与产出速度（2026 年口径）
  累计已知恶意样本          1,560,000,000 条
  每日新增恶意样本          450,000 ~ 560,000 个
  其中从未见过的新变种      637 个/天
  折合每小时                26.5 个/小时
  按此速度特征库翻倍要      2,785 天（约 7.6 年）
  光存特征要多少空间        约 145 GB（每条按 100 字节）

二、主程序与特征库是两件独立的事——这就是延迟的意义
  更新延迟    盲区内新增变种    这批样本第一次出现时特征库里一定没有它
  ----------------------------------------------------------------------------------------------
  3 小时      80 个             
  6 小时      159 个            
  12 小时     318 个            ← 半天没跟上
  24 小时     637 个            ← 整整一天

三、补上这段窗口的两种办法
  云查杀      把文件指纹（哈希）送上去现查——不吃本地特征库的延迟
  行为检测    不看长相、看动作（EDR）——它没变种也只有动作可以参考

四、独立测试口径下的差距（对现代【规避型】攻击）
  纯特征式反病毒      60% ~ 70%   靠已知长相
  行为式检测（EDR）   > 99%       靠行为序列，同一个动作在白名单里也照样报警

① 本节标题写【标准做法：导入反病毒软件 + 更新特征库】——
   这两件事在 2026 年【仍然必须做】，但它们已经只是
   分母里的一层，不是全部。
② 【更新】这个动作救不了【没见过的样本】，而没见过的样本
   每天有 637 个。所以评价一个防护方案，要问的不是
   【特征库新不新】，而是【新样本进来的头 6 小时靠什么挡】。
③ 顺带一提：特征库越堆越大，本身就是负担——15.6 亿条特征
   意味着扫描一遍要花的时间与电费都在涨。这是【传统杀毒
   越来越慢】的原因，不是电脑变差了。

读这个输出：最有用的不是那个 60%~70% 的数字，而是第二张表——它把【延迟】这个抽象词换成了具体个数：如果更新延迟 6 小时，那 6 小时内出现的 159 个新变种，在第一次遇到时你的清单里一定没有它们。 这批样本能不能被拦住，完全取决于第二道防线是什么。

五、⚠️ 2026 现状

【无文件】把【扫描文件】这件事的前提抽掉了。 现在的攻击主流之一是完全在内存中运行、不往磁盘写文件的形态：它们借用系统自带的合法工具（PowerShell、WMI 之类）执行代码。一份统计里有个数字很说明问题：82% 的检出结果属于【无恶意文件】的攻击——也就是说，攻击者已经不用发文件了，直接用偷来的凭据登录。反病毒软件扫描的是文件，没有文件的时候它扫什么？
独立测试给出的差距很稳定。 对现代【会规避】的攻击，纯特征式反病毒大约拦下 60%~70%，而基于行为的端点检测与响应（EDR）超过 99%。这不是说特征式没用——它对大量低级、量大、随手可得的恶意程序仍然非常有效；而是说它已经从【你的防线】降格成【最便宜的一层】。
攻击者会专门研究怎么绕过【看不见的东西】，包括检测器本身。 一个常见套路是加载一个来自正规厂商、但本身有漏洞的签名驱动，用它在系统内核层把安全软件关掉——你的安全软件在被关掉之前一直显示【健康】。这就是为什么现在的方案强调【保护检测器自身】（防篡改、服务被杀要告警、传感器失联要告警）。
检测的着力点从【文件长什么样】移到了【动作成不成立】。 一个签名过的程序本身不可疑；但一个签名过的程序被一个不寻常的父进程调起、接着执行脚本、接着连上一个从没连过的地址——这个顺序是可以被打分的，哪怕每一步单独看都是【允许的】。这就是【看行为序列】的具体含义。
一个反直觉的现场判据：静默本身可能就是敌情。 如果某个传感器、某个日志源、某个安全服务突然安静了，在今天的威胁环境里这更可能是有人在让它闭嘴，而不是【今天天下太平】。成熟团队会把【本该有的数据没来】当成一条告警，而不是一片安宁。

30 秒实验

打开你自己电脑上的安全中心（Windows 是【Windows 安全中心】，手机是系统自带的设备安全/隐私设置），做三件事：

看更新状态：病毒定义（特征库）最近一次更新是什么时候？如果超过 3 天，先点一次手动更新。
看实时防护：是不是开着的（有些工具在装别的软件时会顺手关掉它，事后没打开）。
看防篡改：有没有【防篡改保护 / 防止他人关闭本软件】这类开关，把它打开。

这一节要带走的一句是：更新的意义不是【知道得更多】，而是【补上那段只能用别的手段顶住的窗口】——所以只看特征库新不新是不够的，要问的是那段窗口里还有谁在值班。

常见误区

错误：我装了反病毒软件，就不用管了。——纠正：装上和起作用是两件事。三类最常见的失效是：实时防护被关掉了（装别的软件时被要求关闭，事后忘了开）、特征库停了（有的工具不订阅就不更新，界面还是绿的）、被恶意程序自己关掉了（这正是需要【防篡改保护】的原因）。判断标准只有一个：现在它是不是真的在拦。 定期手动更新一次、随手扫一次，就能发现前两种。
错误：特征库更新得越勤，就越安全。——纠正：勤更新是必要的，但它只能把窗口缩短，不能把窗口消掉。你更新得再勤，也依然存在【从某个样本第一次出现，到有人分析它并把指纹发给你】这段时间；而今天样本的产出速度是每天 45 万到 56 万个。所以真正的做法是叠一层不吃特征库的技术（云查杀、行为检测），而不是想办法把更新频率从每小时提高到每分钟。
错误：免费的够用，所以不用花钱。——纠正：对个人用户，这句话在 2026 年基本成立——系统自带的安全能力已经包含云侧模型和行为监控，配合好的使用习惯就够。但对单位不成立：单位需要的是【看得见发生了什么】（日志、告警、能追溯），以及【出事之后有人接手】。这是【杀毒软件】和【端点检测与响应】的区别——一个管拦，一个管看见和追。
错误：装了杀毒还中毒，说明杀毒没用。——纠正：这句话要分两种情况。如果是没见过的新样本，那本来就是特征库的能力边界（本节 Demo 第二张表就是算这个）；如果是通过一个被盗的合法账号进来的，那不是【中毒】，是身份被盗用——这种情况下任何杀毒软件都没有可拦的东西，因为系统里没有任何技术上的异常。分清这两种，才知道该改什么。

自测三问（点开对答案）

1. 为什么说【反病毒软件主程序】和【病毒特征库文件】必须分开理解？ —— 因为**它们的更新节奏差了三个数量级**：主程序一年几个版本，特征库一天要更新多次。这带来两个实际后果：**第一，只更新主程序不更新特征库，等于拿旧清单办案**；**第二，正因为特征库是独立分发的数据，它才能被单独拿出来做离线更新**——那些不能连外网的机器，能更新主程序却不能更新特征库，就必须走离线包这条路。**把两者分开，才知道【我的杀毒是新的】这句话到底在说什么。** 2. 如果更新延迟是 6 小时，这 6 小时里进来的新样本靠什么挡？ —— 靠**不吃本地特征库的技术**，主要两类：**一是云查杀**——把文件的指纹送到云端实时比对，云端库的更新速度不吃你本地的延迟；**二是行为检测**——不看它长得像谁，看它做了什么（比如【一个文档编辑器突然开始批量加密文件】）。这两类的共同点是：**它们不要求【这个东西以前被人见过】**。这也是成本、便利性、安全性的考量说的【精准型优于广撒网】——把预算放在这段窗口上，比无限制地加密更新频率更值。 3. 为什么【本该来的数据没来】值得当成一条告警？ —— 因为**攻击者要做的坏事，第一步往往就是让自己的动作不被记录**：把安全服务停掉、把日志源静音、把 agent 卸载。这些动作留下的最明显特征，恰恰是**原本规律的信号消失了**。所以在今天的威胁环境里，**【安静】不再等于【太平】**——一个常年每分钟上报一次心跳的传感器，突然一小时没动静，这个【没有数据】本身就是最有价值的数据。这条思路和第二章外部入侵的检测和防御讲的【误报比漏报更致命、告警要看得过来】是一对：**一条也不能漏的是【沉默】，而不是【噪声】**。

☐ 下一节（3-3 反病毒软件所使用的技术）