网络防病毒技术

1、病毒查杀能力 病毒查杀能力是衡量网络版杀毒软件性能的重要因素。用户在选择软件的时候不仅要考虑可查杀病毒的种类数量，更应该注重其对流行病毒的查杀能力。很多厂商都以拥有大病毒库而自豪，但其实很多恶意攻击是针对政府、金融机构、门户网站的，而并不对普通用户的计算机构成危害。过于庞大的病毒库，一方面会降低杀毒软件的工作效率，同是也会增大误报、误杀的可能性。

2、对新病毒的反应能力 对新病毒的反应能力也是考察防病毒软件查杀病毒能力的一个重要方面。通常，防病毒软件供应商都会在全国甚至全世界建立一个病毒信息收集、分析和预测的网络，使其软件能更加及时、有效地查杀新出现的病毒。这一搜集网络体现了软件商对新病毒的反应能力。

3、病毒实时监测能力 对网络驱动器的实时监控是网络版杀毒软件的一个重要功能。很多企业中，特别是网吧、学校、机关中有一些老式机器因为资源、系统等问题不能安装杀毒软件时，就需要用该功能进行实时监控。同时，实时监控还应识别尽可能多的邮件格式，具备对网页的监控和从端口进行拦截病毒邮件的功能。

4、快速、方便的升级能力 和个人版杀毒软件一样，只有不断更新病毒数据库，才能保证网络版防病毒软件对新病毒的查杀能力。升级的方式应该多样化，防病毒软件厂商必须提供多种升级方式，特别是对于公安、医院、金融等不能连接到公共互联网络的用户，必须要求厂商提供除Internet以外的本地服务器、本机等升级方式。自动升级的设置也应该多样。

5、智能安装、远程识别 对于中小企业用户，由于网络结构相对简单，网络管理员可以手工安装相应软件，只需要明确各种设备的防护需求即可。但对于计算机网络应用复杂的用户(跨国机构、国内连锁机构、大型企业等)选择软件时，应该考虑到各种情况，要求能提供多种安装方式，如域用户的安装、普通非域用户的安装、未连网用户的安装和移动客户的安装等。

6、管理方便，易于操作 系统的可管理性是系统管理员尤其需要注意的问题，对于那些多数员工对计算机知识不是很了解的单位，应该限制客户端对软件参数的修改权限；对于软件开发、系统集成等科技企业，根据员工对网络安全知识的了解情况以及工作需要，可适当开放部分参数设置的权限，但必须做到可集中控管。对于网络管理技术薄弱的企业，可以考虑采用远程管理的措施，把企业用户的防病毒管理交给专业防病毒厂商的控制中心专门管理，从而降低用户企业的管理难度。

7、对资源的占用情况 防病毒程序进行实时监控都或多或少地要占用部分系统资源，这就不可避免地要带来系统性能的降低。如一些单位上网速度太慢，有一部分原因是防病毒程序对文件过滤带来的影响。企业应该根据自身网络的特点，灵活配置网络版防病毒软件的相关设置。

8、系统兼容性与可融合性 系统兼容性是选购防病毒软件时需要考虑的事。防病毒软件的一部分常驻程序如果跟其它软件不兼容将会带来很多问题，比如说引起某些第三方控件的无法使用，影响系统的运行。在选购安装时，应该经过严密的测试，以免影响正常系统的运行。对于机器操作系统千差万别的企业，还应该要求网络版防病毒能适应不同的操作系统平台。 网络病毒防治技术

苏武荣 (suwr@163.com) 一、网络病毒的特点

电脑网络系统的建立是为了使多台电脑能够共享数据资料和 外部资源，然而也给电脑病毒带来了更为有利的生存和传播环境。 在网络环境下，病毒可以按指数增长模式进行传染。病毒侵入电 脑网络，可以导致电脑效率急剧下降、系统资源遭到严重破坏， 短时间内造成网络系统的瘫痪。因此网络环境下病毒防治必将成 为电脑防毒领域的研究重点。 在网络环境中，电脑病毒具有一些新的特点： 1.传染方式多 病毒入侵网络的主要途径是通过工作站传播到服务器硬盘中， 再由服务器的共享目录传播到其它的工作站。但病毒传染方式比 较复杂，通常有以下几种： （1）引导型病毒对工作站或服务器的硬盘分区表或DOS引导 区进行传染。 （2）通过在有盘工作站上执行带毒程序， 而传染服务器映 像盘上的文件。 由于LOGIN.EXE文件是用户登录入网的首个调用 的可执行文件， 因此该文件最易被病毒感染，而一旦LOGIN.EXE 文件被病毒感染，则每个工作站使用其登录时便遭感染，并进一 步感染服务器共享目录。 （3）服务器上的程序被病毒感染后， 则所有使用该带毒程 序的工作站都将被感染。混合型病毒有可能感染工作站上的硬盘 分区表或DOS引导区。 （4）通过工作站用拷贝操作将病毒带入服务器， 进而在网 上传播。 （5）利用多任务可加载模块进行传染。 （6）若NOVELL服务器的DOS分区的开机SERVER.EXE已被病毒 感染，则文件服务器系统有可能被感染。 2.传染速度快 在单机上，病毒只能通过软盘从一台电脑传染到另一台电脑， 而在网络中则可通过网络通信机制，借助高速电缆进行迅速扩散。 由于病毒在网络中传染速度非常快，使其扩散范围很大，不 但能迅速传染局域网内所有电脑，还能通过远程工作站将病毒在 一瞬间传播到千里之外。 3.清除难度大 在单机上，再顽固的病毒也可通过删除带毒文件、低级格式 化硬盘等措施将病毒清除，而网络中只要有一台工作站未能消毒 干净就可使整个网络重新全部被病毒感染，甚至刚刚完成消毒工 作的一台工作站就有可能被网上另一台工作站的带毒程序所传染， 因此，仅对工作站进行病毒杀除不能彻底解决网络病毒问题。 4.破坏性强 网络上病毒将直接影响网络的工作，轻则降低速度，影响工 作效率，重则造成网络系统的瘫痪，破坏服务器系统资源，使多 年工作毁于一旦。

二、基于网络安全体系的防毒管理措施 针对网络上的病毒传播方式，我们可以充分利用网络操作系 统本身提供的安全保护措施，加强网络安全管理。 在NetWare网络操作系统中， 提供了目录和文件访问权限与 属性两种安全性措施。访问权限有：A访问控制权、 C建立权、E 删除权、F文件扫描权、M修改权、R读权、S超级用户权、W 写权 等。属性有：A需归档、 C拷贝禁止、E只执行、Ro只读、Rw读写、 R改名禁止、S可共享、Sy系统等。属性优先于访问权限，根据用 户对目录和文件的操作能力，分配不同的访问权限和属性。例如： 对于公用目录中的系统文件和工具软件，应该只设置只读属性， 系统程序所在的目录不要授予M修改权和S超级用户权。这样，病 毒就无法对系统程序实施感染和寄生，其他用户也就不会感染病 毒。由此可见，网络上公用目录或共享目录的安全性措施，对于 防止病毒在网上传播起到积极作用。至于网络用户的私人目录， 由于其限于个别使用，病毒很难传播给其它用户。采用基于网络 目录和文件安全性的方法对防止病毒起到一定作用，但是这种方 法毕竟是基于网络操作的安全性的设计，存在着局限性，现在市 场上至少还没有一种能够完全抵御病毒侵染的网络操作系统，从 网络安全性措施角度来看，在网络上也是无法防止带毒文件的入 1、基于工作站的DOS防毒技术 工作站是网络的门，只要将这扇门户关好，就能有效地防止 病毒的入侵。工作站防毒主要有以下几种方法： （1）使用防毒杀毒软件 不少DOS防毒杀毒软件都兼顾网络上的DOS病毒。如：CPAV中 的VSAFE 就具有探测网络安全能力，设置相应的参数后，每当遇 到网络访问时，它都会提供安全检测。CPAV中还有网络支撑文件 ISCPSTSR.EXE，用于检测VSAFE是否常驻内存。 美国 McAfee Associates 防毒协会推出的扫毒软件中也有 一个网络扫毒程序NETSCAN.EXE，该程序适用于 3COM, 3/Share 和 3/Open, Artisoft LANTastic, AT&T StarLAN, Banyan VINES, DEC Pathworks, Microsoft LAN Manager, Novell NetWare, 以及其它与 IBMNET 或 NETBIOS 兼容的网络 操作系统。该程序专用于扫描网络文件服务器，如果发现病毒也 可用相应的CLEAN清除病毒。 这种方法的特点是软件版本升级容易，防毒软件实时监测， 查毒杀毒软件能够发现病毒并加以清除，但与DOS 防毒杀毒软件 一样，防毒软件有兼容性问题， 杀毒软件有被动性问题。 （2）安装防毒卡 现有的防毒卡一般都是以单机为防毒对象，虽然一些厂商声 称具有网络防毒功能，但其实质上只是解决与网络操作系统（如 中断向量等）的冲突问题。另一方面，由于厂商从市场角度考虑， 将防毒卡与产品加密合二为一，这样一个工作站必须安装一个防 毒卡，给用户带来了许多不便，并且防毒卡占用硬件资源，如扩 充槽口、I/O地址等， 易发生防病毒系统与其它系统的软硬件冲 突，也影响电脑执行速度。 （3）安装防毒芯片 这种方法是将防毒程序集成在一个芯片上，安装在网络工作 站上，以便经常性地保护工作站及其通往服务器的路径。其基本 原理是基于网络上每个工作站都要求安装网络接口卡，而网络接 口卡上有一个Boot ROM芯片，因为多数网卡的Boot ROM并没有充 分利用， 都会剩余一些使用空间，所以如果防毒程序够小的话， 就可以把它安装在网络的Boot ROM的剩余空间内， 而不必另插 一块芯片。这样，将工作站存取控制与病毒保护能力合二为一插 在网卡的EPROM槽内， 用户也可以免除许多繁琐的管理工作。 市场上Chipway防病毒芯片就是采用这种网络防毒技术， 当 工作站DOS引导过程时，在ROM BIOS、Extended BIOS装入之后， Partition Table 装入之前，Chipway将会获得控制权， 这样可 以防止引导型病毒。然而目前，Chipway 对防止网络上广为传播 的文件型病毒能力还十分有限。

2、基于服务器的NLM防毒技术 服务器是网络的核心，一旦服务器被病毒感染，就会使服务 器无法启动，整个网络陷于瘫痪， 造成灾难性后果。 目前基于