8.2.4　檢測(cè)病毒方法

在與病毒的對(duì)抗中，及早發(fā)現(xiàn)病毒很重要。早發(fā)現(xiàn)，早處置，可以減少損失。檢測(cè)病毒方法大致有：特征代碼法、校驗(yàn)和法、行為監(jiān)測(cè)法、軟件模擬法，這些方法依據(jù)的原理不同，實(shí)現(xiàn)時(shí)所需開銷不同，檢測(cè)范圍不同，各有所長(zhǎng)。

1．特征代碼法

特征代碼法是使用最為普遍的病毒檢測(cè)方法，同時(shí)是檢測(cè)已知病毒的最簡(jiǎn)單、開銷最小的方法。特征碼查毒就是檢查文件中是否含有病毒數(shù)據(jù)庫中的病毒特征代碼。采用病毒特征代碼法的檢測(cè)工具，必須不斷更新版本，否則檢測(cè)工具便會(huì)老化，逐漸失去實(shí)用價(jià)值。病毒特征代碼法對(duì)從未見過的新病毒，無法檢測(cè)。

2．校驗(yàn)和法

將正常文件的內(nèi)容，計(jì)算其校驗(yàn)和，寫入文件中保存。定期檢查文件的校驗(yàn)和與原來保存的校驗(yàn)和是否一致，可以發(fā)現(xiàn)文件是否感染病毒，這種方法叫校驗(yàn)和法，它既可發(fā)現(xiàn)已知病毒又可發(fā)現(xiàn)未知病毒。

由于病毒感染并非文件內(nèi)容改變的唯一的非他性原因，文件內(nèi)容的改變有可能是正常程序引起的，所以校驗(yàn)和法常常誤報(bào)警。而且此種方法也會(huì)影響文件的運(yùn)行速度。因而用監(jiān)視文件的校驗(yàn)和來檢測(cè)病毒，不是最好的方法。

校驗(yàn)和法的優(yōu)點(diǎn)是：方法簡(jiǎn)單能發(fā)現(xiàn)未知病毒、被查文件的細(xì)微變化也能發(fā)現(xiàn)。其缺點(diǎn)是：對(duì)文件內(nèi)容的變化過于敏感、會(huì)誤報(bào)警、不能識(shí)別病毒名稱、不能對(duì)付隱蔽型病毒。

3．行為監(jiān)測(cè)法

利用病毒的特有行為特征性來監(jiān)測(cè)病毒的方法稱為行為監(jiān)測(cè)法。通過對(duì)病毒多年的觀察、研究，有一些行為是病毒的共同行為，而且比較特殊。當(dāng)程序運(yùn)行時(shí)，監(jiān)視其行為，如果發(fā)現(xiàn)了病毒行為，立即報(bào)警。

行為監(jiān)測(cè)法的長(zhǎng)處：可發(fā)現(xiàn)未知病毒、可相當(dāng)準(zhǔn)確地預(yù)報(bào)未知的多數(shù)病毒。行為監(jiān)測(cè)法的短處：可能誤報(bào)警、不能識(shí)別病毒名稱、實(shí)現(xiàn)時(shí)有一定難度。