火絨首款產(chǎn)品發(fā)布 互聯(lián)網(wǎng)再添利器
簡(jiǎn)介
【火絨劍-互聯(lián)網(wǎng)安全分析軟件】是一款用于發(fā)現(xiàn)、分析、處理系統(tǒng)安全問題的軟件產(chǎn)品。
用戶在使用電腦和上網(wǎng)過程中，面臨著電腦病毒、流氓軟件、流氓網(wǎng)站以及各種商業(yè)軟件、商業(yè)網(wǎng)站的侵權(quán)行為的危害?！净鸾q劍-互聯(lián)網(wǎng)安全分析軟件】可以幫助安全工程師以全面地發(fā)現(xiàn)、了解上述各種危害的程序行為和活動(dòng)信息，并提供了高強(qiáng)度的處理方法以突破惡意軟件的自我保護(hù)機(jī)制。安全工程師可以借助【火絨劍】清楚地解析上述惡意軟件行為，進(jìn)而幫助普通電腦用戶清除和防范上述各種威脅。
特點(diǎn)
1.創(chuàng)新的“內(nèi)核純凈化”反Rootkit技術(shù)；
2.全面、詳細(xì)的程序監(jiān)控信息；
3.快速、完整的系統(tǒng)啟動(dòng)項(xiàng)、程序代碼檢查；
4.支持64位Windows系統(tǒng)；
5.系統(tǒng)資源占用??；
功能
【火絨劍-互聯(lián)網(wǎng)安全分析軟件】提供了系統(tǒng)監(jiān)控、進(jìn)程管理、啟動(dòng)項(xiàng)檢查、內(nèi)核信息查看、代碼鉤子掃描五大功能。
一、系統(tǒng)監(jiān)控
系統(tǒng)監(jiān)控功能用于監(jiān)控和記錄系統(tǒng)中活動(dòng)程序動(dòng)作。所記錄的內(nèi)容包括：
【火絨劍-互聯(lián)網(wǎng)安全分析軟件】可以監(jiān)控的動(dòng)作種類包括文件類、注冊(cè)表類、進(jìn)程類以及網(wǎng)絡(luò)類。查看監(jiān)控記錄的詳細(xì)信息時(shí)，可以看到動(dòng)作產(chǎn)生時(shí)的調(diào)用棧以及詳細(xì)的調(diào)用參數(shù)，方便用戶找到可能存在問題的程序模塊。
此外，【火絨劍-互聯(lián)網(wǎng)安全分析軟件】還對(duì)惡意軟件常見的行為進(jìn)行了抽象和總結(jié)，并將這些行為列入監(jiān)控功能中，以簡(jiǎn)化用戶分析問題的工作量。
二、進(jìn)程管理
進(jìn)程管理功能以樹型方式展示活動(dòng)進(jìn)程以及已經(jīng)退出的進(jìn)程。用戶可以看到進(jìn)程間啟動(dòng)關(guān)系、進(jìn)程加載的模塊、進(jìn)程的內(nèi)存塊以及進(jìn)程的句柄信息。查看進(jìn)程的詳細(xì)信息，用戶可以了解到進(jìn)程的活動(dòng)線程以及建立的網(wǎng)絡(luò)連接。
進(jìn)程管理功能還提供了模塊查找、句柄查找、字符串搜索、數(shù)據(jù)搜索功能，可以幫助用戶快速找到可疑的進(jìn)程以及模塊。
針對(duì)惡意軟件的自我保護(hù)機(jī)制，【火絨劍-互聯(lián)網(wǎng)安全分析軟件】使用“內(nèi)核純凈化”技術(shù)可以強(qiáng)制結(jié)束進(jìn)程、復(fù)制文件、轉(zhuǎn)儲(chǔ)模塊內(nèi)存數(shù)據(jù)。
三、啟動(dòng)項(xiàng)檢查
惡意程序通常會(huì)伴隨系統(tǒng)或者某些應(yīng)用程序一起啟動(dòng)。 啟動(dòng)項(xiàng)檢查功能將掃描系統(tǒng)以及部分應(yīng)用程序啟動(dòng)過程中需要運(yùn)行的程序，并把結(jié)果以列表的方式展示給用戶。
當(dāng)發(fā)現(xiàn)可疑的自啟動(dòng)程序時(shí)，用戶可以禁用或者刪除對(duì)應(yīng)的啟動(dòng)項(xiàng)。如果選擇刪除操作，程序?qū)o法自啟動(dòng)，啟動(dòng)項(xiàng)對(duì)應(yīng)的信息將會(huì)被徹底刪除并且無法恢復(fù)。禁用操作能夠使程序?qū)o法自啟動(dòng)，同時(shí)備份啟動(dòng)項(xiàng)對(duì)應(yīng)的信息，用戶可以恢復(fù)啟動(dòng)項(xiàng)。
四、內(nèi)核信息查看
內(nèi)核信息查看功能展示“驅(qū)動(dòng)對(duì)象信息”、“內(nèi)核服務(wù)表”、“內(nèi)核通知”以及“中斷表”?！膀?qū)動(dòng)對(duì)象信息”以樹形的方式展示系統(tǒng)內(nèi)核中活躍的驅(qū)動(dòng)對(duì)象、設(shè)備對(duì)象以及設(shè)備對(duì)象的附屬關(guān)系，用戶可以查看這些項(xiàng)對(duì)應(yīng)的驅(qū)動(dòng)模塊信息。“內(nèi)核服務(wù)表”展示了SSDT、Shadow SDT、Win32K這幾個(gè)服務(wù)函數(shù)表，并標(biāo)注了被修改過的地址項(xiàng)以方便用戶找到可能是Rootkit的驅(qū)動(dòng)程序。
“內(nèi)核通知”展示了進(jìn)程通知、線程通知、映像通知、關(guān)機(jī)通知?！爸袛啾怼闭故玖嗣恳粋€(gè)CPU對(duì)應(yīng)的中斷表?！皟?nèi)核服務(wù)表”、“內(nèi)核通知”、“中斷表”這幾個(gè)子功能所列的記錄均可以查看反匯編代碼，用戶可以通過反匯編分析是內(nèi)核服務(wù)、中斷表項(xiàng)以及內(nèi)核通知所指向的代碼是否為惡意代碼。
五、鉤子掃描
鉤子掃描功能可以檢查“Windows消息鉤子”、“進(jìn)程模塊鉤子”、“內(nèi)核模塊鉤子”，“驅(qū)動(dòng)對(duì)象鉤子”。
“驅(qū)動(dòng)對(duì)象鉤子”將掃描特定的驅(qū)動(dòng)對(duì)象數(shù)據(jù)，檢查它們的IRP派發(fā)表、FastIO派發(fā)表以及附加設(shè)備對(duì)象。用戶可以通過“驅(qū)動(dòng)對(duì)象鉤子”的掃描結(jié)果分析是否存RootKit或者間諜軟件。
“進(jìn)程模塊鉤子”與“內(nèi)核模塊鉤子”會(huì)檢查進(jìn)程與內(nèi)核中已經(jīng)加載的模塊是否存在鉤子代碼，可以檢查的掛鉤方式有“IAT”（模塊導(dǎo)入表掛鉤）、“EAT”（模塊導(dǎo)出表掛鉤）、“Inline”（模塊代碼掛鉤）。通過查看鉤子的詳細(xì)信息，用戶可以看到鉤子的原始數(shù)據(jù)、當(dāng)前數(shù)據(jù)以及鉤子指向的模塊等信息。此外，用戶還可以通過反匯編鉤子的代碼分析是否存在惡意代碼。
關(guān)注我們
