什么是杀毒软件？

杀毒软件是一种安全程序，旨在预防、检测、搜索和移除计算机、网络及其他设备中的病毒和其他类型的恶意软件。通常作为安全套件的一部分提供，也可作为独立选项购买。

作为网络安全的主动防护措施，杀毒程序通常安装在计算机上，可帮助缓解各种网络威胁，包括键盘记录器、浏览器劫持者、特洛伊木马、蠕虫、Rootkit、间谍软件、广告软件、僵尸网络、网络钓鱼攻击和勒索软件攻击。

由于网络犯罪的不断演变和每天发布的新版本恶意软件（包括零日攻击），没有任何杀毒程序能够检测和防护所有威胁载体。

杀毒软件的工作原理

杀毒软件通常作为后台进程运行，扫描计算机、服务器或移动设备以检测和限制恶意软件的传播。许多杀毒软件包含实时威胁检测和防护功能，以防范潜在漏洞并执行系统扫描，监控设备和系统文件以寻找可能的风险。

最佳杀毒软件通常执行以下基本功能：

• 针对已知恶意特征库扫描目录或特定文件，检测指示恶意软件存在的异常模式
• 允许用户安排扫描自动运行
• 让用户随时启动新扫描
• 自动在后台移除检测到的恶意软件，或通知用户感染并提示清理文件

为全面扫描系统，杀毒软件必须拥有对整个系统的特权访问权限。这使得杀毒软件本身成为攻击者的常见目标，近年来研究人员已在杀毒软件产品中发现了远程代码执行和其他严重漏洞。

杀毒软件的优势

杀毒软件的目的是保护系统免受安全威胁和漏洞侵害，并通过自动化漏洞扫描提供实时保护。

杀毒软件提供多项优势：

病毒和恶意软件防护：杀毒软件的主要优势是防护恶意病毒，如恶意软件和间谍软件。

防护垃圾邮件和弹窗：病毒渗透和感染系统的最常见方式是通过弹窗广告和基于垃圾邮件的网页。

网络保护：杀毒软件帮助防护威胁行为者用来从毫无戒心的用户收集信用卡和银行信息的诈骗网站。

实时保护：杀毒软件充当实时防护盾，扫描每个传入文件和程序。

启动扫描命令：复杂病毒通常能在系统活动时自我复制。然而，杀毒程序可通过调用启动扫描命令防止病毒自我复制。

暗网扫描：大多数数据泄露（如勒索软件攻击）的数据通常会在暗网上泄露。

防护外部设备：大多数人定期将外部设备（如硬盘驱动器和USB适配器）插入计算机。

杀毒程序的类型

杀毒软件以多种形式分发，包括独立杀毒扫描器、机器学习和基于云的程序、恶意软件特征码以及提供杀毒防护的互联网安全软件套件，同时包含防火墙、隐私控制和其他安全防护。

一些操作系统更常成为病毒开发者的目标，但大多数操作系统都有可用的杀毒软件：

Windows杀毒软件：大多数杀毒软件供应商提供多个级别的Windows产品，从仅提供基本防护的免费版本开始。

macOS杀毒软件：尽管存在Apple macOS病毒，但它们比Windows病毒更少见，因此基于Mac设备的杀毒产品不如Windows标准化。

Android杀毒软件：Android是全球最流行的移动操作系统，安装在比任何其他操作系统更多的移动设备上。

病毒检测技术

杀毒软件使用多种病毒检测技术。六种常见类型包括：

特征码检测：杀毒程序依赖存储的病毒特征码（已知恶意软件特有的独特数据字符串）来标记恶意软件。

启发式检测：此类检测使用算法比较已知病毒特征码与潜在威胁。

行为检测：杀毒软件也可使用行为检测分析对象的行为或潜在行为以寻找可疑活动，并基于这些观察推断恶意意图。

云分析：根据Atlas VPN的数据，2025年已发现超过3400万个新恶意软件样本。

沙箱分析：此检测技术在允许进入系统前，在虚拟沙箱环境中运行程序或文件以分析其行为。

主机入侵防御系统（HIPS）：安全和杀毒软件常用此技术，通过特征码检测程序中的潜在恶意活动。

杀毒软件面临的挑战

虽然杀毒程序最初是为对抗病毒和网络威胁而开发，但它们确实存在一些局限性。

以下是杀毒软件的当前和未来挑战：

• 仅使用特征码检测的杀毒软件无法暴露新型恶意软件，包括现有恶意软件的变种
• 即使最佳杀毒软件有时也会错误地将安全程序或文件部分识别为恶意软件
• 杀毒软件有时会干扰系统更新
• 杀毒软件在后台安静运行且几乎不被注意，但可能消耗大量系统资源
• 常规杀毒软件仅提供一层病毒防护
• 技术中不断发展的趋势，包括元宇宙、Web3、金融科技和自动驾驶汽车

如何为组织选择杀毒软件

考虑到市场上众多不同的杀毒产品，建议采用谨慎的选择过程。在获取产品前应解决几个重要决策因素。以下是一些考虑事项：

可靠性和兼容性

• 程序不应与其他软件应用引起冲突或故障
• 产品应与现有操作系统兼容
• 产品应与要保护的设备兼容

易用性

• 寻找直观产品，无需特殊技能和培训即可正确操作
• 应有用户友好界面，便于轻松访问和功能配置

功能和防护级别

• 程序应提供24/7防护，抵御广泛恶意软件
• 寻找强大的反恶意软件和勒索软件检测功能

维护

• 定期数据库更新和补丁使杀毒软件与最新威胁行为者保持同步
• 应有技术支持以促进维护和处理中断

防护方法

• 防护应持续进行，并在访问文件和网站时进行扫描
• 考虑包含恶意软件和勒索软件检测的产品

性能特征

• 确定软件是否会对计算机性能和资源使用产生实质性影响
• 关键扫描属性包括可实时管理的全面扫描和快速扫描

第三方评估

• 检查独立公司进行的测试结果
• 用户评论和评价可作为独立测试的有益补充

财务和管理问题

• 选择提供所需功能和防护且符合技术预算的产品
• 考虑开源和免费产品

杀毒软件供应商

以下是杀毒产品供应商的简要列表：

• Avast
• Avira
• Bitdefender
• ESET
• G Data Antivirus
• Kaspersky
• Malwarebytes
• McAfee
• Microsoft Defender
• Norton Antivirus
• Norton 360 Select with LifeLock
• Sophos
• Surfshark Antivirus
• Total AV Antivirus
• Trend Micro
• Webroot

在考虑新安装或升级现有产品时，请考虑本文提到的所有选择标准。在生产环境中部署系统前，离线测试软件的能力非常重要。

虽然杀毒软件可以缓解某些勒索软件攻击，但一旦勒索软件控制了系统，它无法停止或移除勒索软件。