Virus 版 (精华区)
发信人: september (金色收获的九月), 信区: Virus
标 题: 反病毒产品选购指南
发信站: 紫 丁 香 (Wed Oct 20 11:22:04 1999), 转信
反病毒产品选购指南
讲了这么多关于病毒的知识，让我们接下来谈一谈反病毒产品。在病毒肆虐的今天，每
一台计算机都应该配备一套有效的反病毒软件。但是，由于种种原因，在反病毒产品市
场上广告成了主宰用户选择的决定性因素，反映反病毒软件质量和性能的几乎都是广
告，公众获得反病毒信息的主要途径也是各种形式的广告，这是极不正常的。许多用户
因为受到不负责任的广告的误导而产生了错误的印象，选择了质量低劣的产品，遭受了
巨大的损失，CIH病毒大爆发时许多受害机器是装有反病毒软件的就是明证。同时，由于
缺乏必要的专业知识，一些媒体以反病毒厂商的宣传资料为基础拼凑出来的关于如何选
购反病毒产品的文章对读者有着更大的欺骗性。为了使读者真正受益，PC Computing中
国易用性评测实验室为本次专题评测做了大量的工作。我们的评测得到了北京冠群金辰
软件有限公司（提供Kill 98）、北京时代先锋软件有限公司（提供行天98）、北信源自
动化技术有限公司（提供VRV）、乐亿阳趋势有限公司（提供PC-cillin 98）、美国网络
联盟（Network Associates）公司（提供McAfee VirusScan）、美国赛门铁克
（SYMANTEC）公司（提供Norton AntiVirus）的大力支持，它们向我们提供了自己的反
病毒产品以及丰富的技术资料。在严格的实验室环境下PC Computing的评测工程师们对
这些产品的最新版本进行了测试。根据测试结果和使用过程中的体会，结合自己多年使
用电脑的丰富经验，我们向读者献上这份"反病毒产品选购指南"。这是一份独立的指
南，它并不是根据任何一个具体产品所具有的功能而写出的，而是根据不同的出发点，
提出对反病毒产品三个不同层次的要求：我们首先以实现反病毒功能为最基本出发点，
提出如果需要有效地防止病毒侵害，反病毒产品所必须具备的条件；然后以让用户更好
地使用为出发点，对反病毒产品提出了更高的要求作为优秀反病毒产品所应具备的功
能；最高层次的要求是一些期望，在这次测试过程中还没有哪一个产品达到，但这些要
求对于用户却是非常有用的。可以说，满足了第一层次要求的产品就是合格的反病毒产
品，如果又能较好地满足第二层次要求，则该产品就是非常优秀的产品。这份指南中还
包括了关于正确使用反病毒产品的不少内容，希望它不仅可以让读者选择适合自己的产
品，更能掌握正确的使用方法 ，使自己的系统得到最大程度的保护。
合格反病毒产品的必备条件
较强的发现病毒的能力
反病毒产品的最基本功能就是检查文件、发现病毒、提出警告，因此其在这方面的能力
是判断质量好坏的根本。虽然检查病毒的手段有针对已知病毒的特征码扫描方式、针对
未知和变形病毒的虚拟机技术和启发式扫描等，但从实际上说，绝大多数的病毒都是通
过特征码扫描方式检查出来的。具体过程是反病毒软件公司得到新病毒样本后，通过分
析研究提取出标志着这一病毒的特征码，然后加入其产品的病毒特征库中。当检测文件
时，反病毒软件会将所测文件的代码与病毒特征库中所包含的病毒特征码做比较，如发
现同样的代码，就报告发现了病毒。因此衡量一个软件发现病毒的能力的重要标志就是
其病毒特征库中到底有多少种病毒的特征码。从我们评测的结果来看，承诺可查杀病毒
种类在两万种以上的产品，包括Kill 98、行天98、PC-cillin98、McAfee VirusScan、
Norton AntiVirus等软件都基本上可以100%检测出测试用的文件型病毒和宏病毒样本，
而VRV在这方面特别是针对文件型病毒检测方面有一定差距。McAfee和Norton的产品都承
诺可以检测出四万种以上的病毒（包括变体），体现了它们的实力。综上所述，在现在
的普通使用环境中如果反病毒产品能够检测出两万种以上的病毒，就十分有效了。当
然，这个数字随着时间的流逝在飞速增长，到明年这个时候也许就要变成三万了。
快速的病毒反应能力和及时的升级服务
反病毒软件与一般软件有着重大的区别，它绝不是一个静态的软件。用户必须经常升级
病毒库才能获得对新病毒的防御力。这一点许多计算机用户没有认识到。不管一个反病
毒产品的技术多么好，如果不经常升级，它也只会对层出不穷的新病毒视而不见。因
此，厂商升级产品的能力对这类产品是至关重要的。快速的病毒反应能力是指能够在第
一时间获取到最新病毒样本，迅速分析研究并拿出查杀方案的能力。所有的反病毒行动
的运作流程基本都是一样的：先是病毒在一个小范围内发作，厂商得到消息后迅速采样
分析，拿出解决方案后给出升级文件供用户升级，使用户获得对该病毒的抵抗能力。因
此，某个产品的生产者早一天得到病毒样本，早一天拿出升级文件，使用这个产品的用
户就能少受一天的威胁。对于传播疯狂且破坏性立即表现的病毒，如Melissa、
ExploreZIP.worm等病毒这一点尤其重要。升级服务方面的要求指的是厂商能通过多种途
径将升级文件交到用户手中。现在最常见也最方便的是通过Internet下载软件升级文
件。但是对于中国的计算机应用现状，厂商还应该提供诸如直接邮寄升级磁盘，或让经
销商提供升级文件等方式进行服务。在参测产品中，Kill 98、PC-cillin 98、Norton
AntiVirus和McAfee VirusScan的生产厂商都是实力雄厚的国际性公司，在世界上建有完
善的病毒监测网和研究机构，在前一阵的CIH、Melissa、ExploreZIP.worm病毒风波中表
现都很出色。VRV与行天 98作为国内的知名病毒软件，都拥有数量不小的用户群，在这
方面也有一定优势。在病毒库的升级频率方面，PC-cillin 98、Norton AntiVirus和
McAfee VirusScan等都提供了最长为一周的病毒库更新频率，表现最为出色。而Kill 98
和VRV提供了大约两周一次的更新服务，也能够满足需要。行天 98虽然以前更新速度很
快，大约每周一次，但最近不知为什么其网站上的病毒库从5月22号以后就没有更新过
（至本文截稿期）。不管是什么原因，我们都希望时代先锋公司迅速行动起来，因为这
样长时间不更新病毒特征库对一个反病毒软件而言是致命的失误。
具有实时监控功能
实时监控指的是反病毒软件在每次系统启动后均被自动加载，然后监视所有对文件的操
作，包括拷贝、运行、改名、创建、从网上下载、打开E-Mail附带文件等，在系统 执行
这些操作之前先自动检测文件是否被病毒感染，如果发现病毒则采用由用户选择的处理
手段（如清除或者做出提示并制止下一步操作等）处理文件，防止病毒的感染和破坏行
为。VRV提出的病毒防火墙与实时监控是一个意思。实时监控功能是一个合格的反病毒产
品所必须具备的功能。如果用户的计算机上安装的是不具有此项功能的反病毒产品，那
么病毒依旧可以在没有任何障碍的情况下侵入系统，只有在用户运行杀毒程序时才会被
检测出来。在用户两次运行程序之间的这段时间内，病毒是可以自由传播并很有可能发
作的。大多数用户只有在觉得机器不正常时才会运行杀毒软件，但对于象CIH这样一发作
后果就不堪设想的毁灭性病毒，这时已经没有机会去杀毒了。因此，反病毒的根本在于
防止病毒侵入计算机，防止病毒的传染和破坏，而不是在病毒进入计算机后再清除。而
只有具有实时监控功能的产品能做到这一点。值得高兴的是，所有参加本次评测的产品
都具备这一功能，但行天 98安装后的缺省设置是不开启监控器，这让人有些费解。不同
产品的实时监控程序的优劣主要体现在系统资源占用，稳定性和监控有效性等几个方
面。我们通过分别考察开启和卸载监控器这两种不同情况下系统资源占用率的改变和
Business Winstone 99测试得分的变化，对参测产品做了测试。所有产品均顺利通过了
Winstone 99测试说明它们的稳定性都不错，而在影响系统性能方面，VRV和Kill 98以仅
仅1.8%的性能下降成为对系统影响最小的产品。而Norton AntiVirus也许是由于中文版
的缘故，测试成绩不很理想。当行天 98的监控器处于有效状态时，测试人员在打开Word
文档时能感到明显的延迟，用秒表测了一下大约是两秒，这显然会给用户使用带来影
响。在监控有效性方面，我们发现Kill 98存在着"盲点"，当在解压缩程序WinZip执行窗
口内直接双击打开处于压缩状态下的带毒文档或在邮件管理程序Outlook Express执行窗
口下直接打开邮件附带的文件时，Kill 98的实时监控器似乎被屏蔽了，没有检查将被打
开的文件是否带毒。这是非常危险的，希望能引起冠群金辰公司的技术人员的重视，早
日推出修正问题后的产品。
优秀反病毒产品 所应具备的条件
完善的升级设计
前面已经讲过，使用反病毒软件必须及时升级。因此升级功能设计的好坏，是衡量反病
毒产品易用性高低的重要标准。一个好的升级设计应该包括以下几个方面：
升级提示，即在启动实时监控器或杀毒程序自身时，检查所用病毒特征库日期与当前日
期之间的间隔，如果间隔较长则发出警告，提示用户去更新。参测产品中行天 98、Kill
98具有此项功能。
一键更新，即用户如果连接在Internet网上，只需按下升级按钮，程序就会自动连接到
特定网站并检查是否需要升级，如果需要可自动下载升级文件并完成升级工作。除VRV外
其余参测产品都已具备这项功能。
自动升级设置，具有这一功能的产品可以由用户设置升级过程的启动时间，譬如用户设
置成每天早上10:00自动升级，那么到了这个时间，如果计算机连接在英特网上，升级过
程会自动启动并完成所有步骤。这一设计使用户不用总是挂念着升级这件事，非常体
贴。PC-cillin 98、McAfee VirusScan和Norton AntiVirus均有这一功能。
良好的自我验证功能
虽然是反病毒软件，但它和别的软件一样，有被病毒感染的可
能。设计优秀的软件应该考虑到各种情况，包括自身被感染的情况。Norton AntiVirus
和Mcfee VirusScan在被病毒感染后，都会拒绝运行并且提示自身已被改变，要求用户使
用应急盘杀毒后再重新安装该软件。PC-cillin 98、Kill 98和VRV防火墙在这方面就逊
色一些，在被病毒感染后，程序依旧可以执行。不过如果病毒是可识别的，它们的实时
监控器会发出报警。但是由于自身处于被运行状态之下，因此无法清除自己的病毒。这
样就出现了一个循环，每次开机都提示程序有毒，但却无法清除。碰到这种情况，用户
应该使用干净系统盘启动后，用DOS版杀毒程序清除病毒，然后再重新安装该软件。这几
种产品都能够允许用户制作带DOS版杀毒程序的应急盘，而VRV本身带有DOS杀毒程序。
可查出压缩文件中的病毒
随着Internet网的发展，压缩文件的使用越来越广泛。当带毒文件被压缩进压缩包后，
其内部包含的病毒码也会由于压缩的作用而被改变，这时采用通常的特征值扫描法就不
能发现其中的病毒了。我们把带病毒的文件分别压缩成.ZIP和.ARJ两个常用压缩格式来
检测产品对压缩病毒的识别率。大多数参测产品都支持对这两种格式压缩文件的检测，
能查出隐藏在其中的病毒，但是不能在压缩状态下清除病毒。只有McAfee VirusScan可
以通过将文件自动解压缩在临时目录中，清除病毒后再压缩回来的方法清除.ZIP格式压
缩文件中的病毒，但是它不支持ARJ格式的压缩文件。VRV不能检测出压缩状态下的病
毒，虽然其病毒防火墙（即实时监控器）可在压缩包被打开的时候检测出病毒，防止病�
厩趾Γ撬荒芊乐勾《镜难顾跷募目奖矗虼苏庑┎《居锌赡茉谟没Р恢赖
那榭鱿卤豢奖吹奖鸬幕鳎衅苹怠Ｔ诮辛苏２馐院螅颐怯指庑┤砑隽烁
瞿烟猓航《镜�.ZIP压缩文件用ARJ进行二次压缩，然后用各产品检测，让人惊讶的
是，Kill 98、PC-cillin 98和行天 98仍旧能检测出其中的病毒，它们的技术确实让人
佩服。
拥有较好的虚拟机技术和启发式扫描技术
虽然特征值扫描法可以用来对付大多数病毒，但对于变形病毒和未知病毒来说，它就没
有什么用了。作为一个优秀的反病毒软件，应该对各种病毒都有一定的防御能力，虚拟
机技术和启发式扫描技术就是针对这两类病毒产生的。虚拟机技术可完成文件在虚拟环
境的执行过程并提取文件特征。而启发式扫描依靠对病毒常见行为的汇总，分析当前程
序与病毒程序的近似性从而判定是否有可能是未知病毒。虚拟机技术与启发式扫描技术
关系极为密切，通常通过虚拟机提取文件特征，再依赖启发式扫描对特征进行加权判
定。从参测产品所提供的技术资料上看，所有产品都采用了这两种技术，只是各厂家起
的名称不一样。
通过ICSA认证
衡量反病毒软件产品质量的标准主要有三个，一是病毒检测
率，二是病毒误报率，三是安全性和兼容性。但是让用户自己来评价这些特性是不可能
的。用户不可能拥有成千上万种病毒的标本自行进行检测，并且全球病毒数量在以每月
数百种左右的速度在不断增加。考察软件产品安全性和兼容性也是极其复杂的。要完成
这样的工作只可能由专业机构来进行。ICSA(International Computer Safe
Association)是指国际计算机安全协会，其所进行的反病毒产品质量认证是国际上最具
权威性的。ICSA对于反病毒软件质量的评定有着严格规范的标准。送检产品必须在缺省
状态100%检测到新样本子库内的病毒（这个样本子库取自最近两个月以来被发现的新病
毒）以及90%大样本子库的病毒（这个样本子库包含了新样本子库中的所有病毒，也包括
了所有被称为“研究性病毒”的病毒，这些病毒由病毒研究者制造，但从未被外界遇到
过）。通过检测认证的产品，每年要经过四次复检，当某项指标不符合要求时，送检公
司必须在七天内提供对产品作出修正的补丁，否则该公司将被ICSA从获得认证的公司名
单中除名。对于已经被取消认证的公司，ICSA不再接受其对产品的修正补丁，该公司必
须通过其正常销售渠道销售一个可被认证的软件版本才有可能继续获得认证。本次参加
测试的产品中Kill 98、PC-cillin 98、McAfee VirusScan和Norton AntiVirus均顺利通
过了今年四月进行的最近一次ICSA认证测试，用户可以放心地选择它们。我们希望国内
的优秀反病毒软件也能早日参加ICSA认证测试，进入国际市场。
安装前应该先对系统进行查毒
在一台确认没有病毒的机器上安装反病毒软件当然很容易，但是如果系统在安装前就已
经被病毒感染了呢？
如果反病毒产品在把自己安装到目标机器之前不对它做初步的病毒检测，而是上来就拷
贝的话，那么很有可能在安装过程中自身就被染上了病毒。我们测试了在被CIH病毒感染
的系统上安装反病毒软件的情况。先运行一个带毒程序使病毒驻留内存，然后使用产品
的缺省安装模式进行安装。PC-cillin 98在测试中表现最好，先对系统内存和重要目录
进行查毒，发现有毒时提示你用应急盘启动机器后使用它的DOS版杀毒软件进行杀毒。行
天 98由于自身带有时代先锋研制的CIH疫苗，安装完毕后没有被感染，但它在安装前没
有进行查毒，从理论上讲有被感染的可能。Kill 98在安装前对系统内存查过毒，但由于
安装光盘上病毒特征库版本太旧，安装完毕后依旧被感染了。Norton AntiVirus、
McAfee VirusScan、Kill 98和VRV防火墙在安装后也均被感染。不过VRV本身就带有DOS
版的查杀病毒程序，因该先用该程序检查过系统后再安装防火墙。Norton、McAfee和
Kill的产品都可以制作带有杀毒程序的应急盘，可以用干净系统盘启动后除去系统内的
病毒，然后再安装。
良好的杀毒能力，特别是在杀除宏病毒时应该不影响正常宏
查病毒与杀病毒是两个概念，能查出的病毒多可以更好地防止病毒进入计算机，但不表
示能够对已被感染的文件中的病毒做出有效的清除。在测试中我们常遇到这种情况，对
于被某些病毒感染的文件，一个产品说病毒能被杀除，而另一个产品却说文件已被破坏
建议删除。这些都说明不同产品清除病毒的能力不一样。在宏病毒方面，杀毒程序能否
将病毒宏完全去除，能否使病毒宏的传染性和破坏性完全失效则是衡量程序水平的标
准。
区分正常宏与病毒宏是反病毒产品的一个难题，尤其因为微软不公开Word文件内部结
构，使得这一工作更加难以完成。各种产品都宣传自己可以解决这个难题，那具体情况
又怎么样呢？在实验室中，我们首先将Word自己提供的能产生符号栏的模板Symbar.dot
中的宏复制到Normal.dot中，这样Normal.dot中就包含了一些正常宏，这些宏的作用是
在Word应用界面上显示一个符号栏并使其功能有效，然后打开带有“台湾一号”宏病毒
的文件，让Normal.dot被病毒感染。执行杀病毒程序对Normal.dot中的病毒进行清除，
所有程序都显示病毒被成功清除了。如果杀毒程序真的是完全杀除病毒宏而没有影响正
常宏，那么再次启动Word时符号栏应该依旧存在并功能正常，同时通过点击工具菜单下
的宏选项出现的宏对话框中不应该有病毒宏存在。实际的测试结果是，被PC-cillin 9
8、McAfee VirusScan和Norton AntiVirus清除过的Normal.dot完全恢复正常，病毒宏消
失并且符号栏宏没受影响；用行天98清除过的Normal.dot中，符号栏宏功能正常，但是
在宏对话框中可以看到病毒宏名，对它进行编辑发现其内部代码已被完全清除掉（见图
８），也就是说在效果上该程序已经完成了清除工作。用VRV清除过的Normal.dot中所有
的宏都消失了，符号栏宏和病毒宏被一起删除了，我们又用“七月杀手”病毒重复做了
一遍，发现结果一样，VRV把所有的宏都给删除了。这说明VRV对付宏病毒采用的方式就
是清除文件中所有的宏，这样的方式虽然不太合适，但对于一般用户来说，因为含有有
用宏的Word文件并不多种，所以也基本可以接受。用Kill 98清除过的Normal.dot中的符
号栏宏功能被破坏了，点击任何一个符号按钮，都会出现“文件未找到”的错误信息并
出现宏编辑窗口（见图９），这说明在正确清除宏病毒这一方面Kill 98有待改善。
快速的查毒速度
随着硬盘容量变得越来越
大，存储在上面的文件数也越来越多。现在使用反病毒软件检查系统往往需要检测数万
个文件。因此快速的查毒速度也是优秀反病毒软件所应具备的。我们在完全相同的系统
环境下使用一个含有各种格式文件在内的目录测试了参测产品的查毒速度：Kill 98在参
测产品中查毒速度最快，Norton AntiVirus和PC-cillin 98表现也不错。VRV由于不检查
压缩文件，虽然其所花时间最短，但是与其他产品没有可比性。
期 待
从这次参测产品的总体情况来看，反病毒产品生产厂商在提高产品的性能、易用性上都
下了很大功夫。总的来说，用户可以毫无困难地使用这些产品，保护自己的系统和数
据。但是，我们还是碰到了一些问题，感到了一些不足。下面我们就将这些问题列出
来，希望在以后的产品中我们可以看到改进。
1．在软件集成的一键更新功能中下载升级文件时不支持断点续传
要正确使用反病毒软件，升级将是一件非常频繁的事。一个升级文件小则800k～900k，
大则两兆左右。在现有的网络条件下，一次下载这么大的文件是很有可能出现中断的。
断点续传功能已经被很多下载工具实现，想必在技术上已经不是什么难题。希望今后的
产品能够在这方面有所改进。
２．应该对含密码的特殊文件做出提示
常见的含密码带毒文件一般有两类，一类是Word文件，另一类是压缩文件。对于第一类
含密码的Word文件，多数产品都能检测出病毒，但没有任何产品可以清除病毒。有些产
品的提示说已经将病毒清除，但实际并没有做到。这会给用户特别是初级用户带来困
惑。对于含密码的压缩文件，所有产品在检测过后都说没有病毒，显然这是由于密码的
缘故它们无法将文件还原进行检测。我们不能要求产品对这样的文件也查出病毒，但是
当遇到这类文件时应该给出类似提示：“所检测的文件含有密码，无法判定其中是否带
毒”。对不明查毒原理的普通用户而言，他们是不会知道密码会导致文件中的病毒无法
查出这一点的，希望这一问题能引起厂家的高度重视。
--
※ 来源:．紫 丁 香 bbs.hit.edu.cn．[FROM: hitsat.hit.edu.c]
Powered by KBS BBS 2.0 (http://dev.kcn.cn)
页面执行时间：214.451毫秒