文/钟小平

　　很多专家认为，病毒已经从早期的偶尔破坏演变为如今的Internet祸患。也有专家认为，自上世纪80年代后期以来，病毒并没有太大的变化，基于邮件的病毒和利用软件漏洞的程序，基本上都是模仿和重复过去的病毒。当然，反病毒业界仍然要继续与病毒和诸如蠕虫、特洛依木马之类的其他恶意软件做斗争。这些恶意软件可通过Internet传播，并可造成重大破坏。面对一系列新威胁，反病毒厂商积极回应，以尽可能快的速度生产签名文件来探测新的攻击，并使用启发式技术来预防病毒。但是，按照一些安全专家的说法，Internet威胁不 断演变，例如，使用多种攻击机制，还有所谓的“零日”攻击渐渐出现，让病毒防护达到了极限。“反病毒厂商就其快速反应能力来说丝毫没有退步。他们慢慢地改进，但是，文件大小的问题已发生根本改变，”分析师Eric Hemmendinger说，“在这一点上，没有什么能减缓蠕虫的扩散，蠕虫扩散机制正在绕过速度问题。”

　　因此，反病毒公司正在探索新的策略来阻击恶意软件。他们让用户更容易部署安全解决方案，将反病毒技术、控制突发流、侦察间谍软件和恶意移动代码等结合起来，而不局限于病毒防护。将反病毒作为单一任务的传统观念已经行不通了，必须扩大反病毒范围，集成多种技术以形成更完善的解决方案。在反病毒方面不仅仅需要一个启发式引擎，为了更好地解决问题，还需要防火墙保护和入侵检测。

　　签名文件仍然重要

　　反病毒技术的核心是签名文件。Sophos的资深安全分析师Belthoff说，“目前，总是存在基于签名的方法已经过时的说法。我们预测，签名还会广泛使用，并能真正跟得上病毒威胁。”Network Associates的反病毒应急响应小组(AVERT)副主任Vincent Gullotto预言，签名技术将会存在相当一段时间。他说，“通用技术是有效的，过去几年，在这方面取得很大进展。”通用探测技术使用单一的病毒定义来探测同一病毒家族的许多不同类型，这种技术做出的假设是基于启发式的，但是，实践证明，它是一种有效的深度防御机制。

　　大部分反病毒公司都能在同一时间快速发布签名更新。但是，签名文件并不能广泛使用，大文件对企业来说难于快速部署，除非将文件变得很小，许多提供商正着手解决这个问题。例如，Sobig-F病毒是以邮件方式，作为.pif文件扩散，在部署大文件的反病毒更新之前，公司能够快速安装邮件过滤器来剥离带有.pif扩展名的附件。Sophos将安全更新文件设计为较小的二进制文件，而不是可执行文件，大小通常是2KB到4KB，这样公司部署大量的桌面和服务器更加快速和容易。就病毒防护的发展趋势来说，近期内还将显著依赖签名方法。如果操作便捷，又有提供商响应，签名文件还将是对付病毒的合适方法。

　　选择合适的管理工具

　　反病毒提供商也需要提供合适的管理工具。当“尼姆达”蠕虫在2001年首次发作时，美国某大学的市场中心受到重创，花费了3天时间才修复，损失达数千美元，这迫使该大学重新考虑自己的反病毒解决方案。之后，该校重新选择了Sophos的解决方案，因为它提供了必要的企业级管理功能，通过管理控制台，就可以对整个网络集中管理，而不是工作站级分别管理。

　　随着病毒和垃圾邮件开始融合，反病毒厂商也开始合并垃圾邮件和Web地址过滤技术。反垃圾邮件工具善于识别恶意IP地址或Web站点。F-Secure的研究人员近几年在反垃圾邮件技术方面付出了很大努力。该公司认为，“垃圾邮件制造者和病毒编写群体互相支持，这也意味着反病毒公司要应付有组织的团体编写的病毒。而且，病毒的编写质量越来越高，从技术角度看，以前没有反垃圾邮件业务的反病毒公司将进入这一领域，这样，可以同时解除两类威胁。”

　　阻止间谍软件和恶意代码

　　反病毒厂商也在关注间谍软件，即跟踪计算机使用的软件。间谍软件发展很快，并且变得越来越歹毒，其中有一些已经被归入病毒。许多反病毒厂商的工具都可以扫描间谍软件，因为它有类似病毒的行为。

　　通过邮件、Web和其他途径传播的恶意代码范围很广，这就要求更多的内容安全解决方案，而不仅仅停留在传统的病毒防护层面上。