什么是杀毒软件？

杀毒软件（防病毒程序）是一种安全程序，旨在预防、检测、搜索并清除计算机、网络及其他设备中的病毒和其他类型的恶意软件。它常作为安全套装的一部分，也可作为独立选项购买。

通常，杀毒程序以防患于未然的网络安全方法安装在计算机上，有助于缓解各种网络威胁，包括键盘记录器、浏览器劫持者、特洛伊木马、蠕虫、Rootkit、间谍软件、广告软件、僵尸网络、网络钓鱼尝试和勒索软件攻击。

由于网络犯罪的不断演变以及新版本恶意软件（包括零日攻击）的每日发布，没有哪个杀毒程序能够检测和防护所有的威胁载体。

病毒只是杀毒软件旨在预防、检测、搜索并清除的多种恶意软件类型之一。

杀毒软件的工作原理

杀毒软件通常作为后台进程运行，扫描计算机、服务器或移动设备以检测并限制恶意软件的传播。许多杀毒软件包含实时威胁检测和防护功能，以防范潜在的漏洞，并执行系统扫描，监控设备和系统文件，寻找可能的风险。

最佳的杀毒软件通常执行以下基本功能：

• 根据已知恶意特征库扫描目录或特定文件，以检测表明存在恶意软件的异常模式。
• 允许用户安排扫描计划，使其自动运行。
• 允许用户随时启动新的扫描。
• 自动在后台删除其检测到的任何恶意软件，或通知用户感染并提示清理文件。

为了全面扫描系统，杀毒软件必须拥有对整个系统的特权访问权限。这使得杀毒软件本身成为攻击者的常见目标，近年来研究人员已在杀毒软件产品中发现了远程代码执行和其他严重漏洞。

杀毒软件的优势

杀毒软件的目的是防御系统免受安全威胁和漏洞攻击，并通过自动漏洞扫描提供实时保护。

杀毒软件提供多项优势：

• 病毒和恶意软件防护。杀毒软件的主要优势是防范恶意病毒，如恶意软件和间谍软件。当今大多数网络威胁呈现为多管齐下的威胁载体，可以同时攻击系统数据、窃取机密信息、监视系统资源并降低系统性能。因此，始终运行可靠的杀毒软件至关重要。
• 防护垃圾邮件和弹窗。病毒渗透和感染系统最常见的方式之一是通过弹出广告和基于垃圾邮件的网页。杀毒软件通过自动拦截来自恶意网站的弹窗和垃圾邮件来保持系统安全。
• 网络保护。杀毒软件有助于防范威胁行为者用来从毫无戒备的用户那里收集信用卡和银行信息的诈骗网站。通过限制对有害网站的访问，可靠的杀毒程序可以防止用户访问未经授权的网络。
• 实时保护。杀毒软件充当实时防护罩，扫描每个传入的文件和程序。根据杀毒程序的设置，一旦检测到受感染的文件或程序，它要么被自动删除，要么被移动到隔离文件夹以供进一步分析。被隔离的文件被阻止与机器的其余部分及其程序交互，以减轻损害。
• 启动扫描命令。复杂的病毒通常可以在系统活动时自我复制。然而，杀毒程序可以通过调用启动扫描命令来防止病毒自我复制。该命令关闭操作系统，重启计算机，并扫描整个硬盘驱动器以查找病毒和恶意软件。在扫描期间，病毒被检测到，并且由于操作系统停用而没有机会自我复制。
• 暗网扫描。大多数数据泄露（如勒索软件攻击）的数据通常会在暗网上泄露。许多杀毒工具可以帮助组织发现其敏感数据是否在暗网上泄露。例如，如果他们在暗网上发现关联的电子邮件地址或帐号，他们可以通知用户并将密码更新为新的、更复杂的密码。
• 防护外部设备。大多数人定期将外部设备（如硬盘驱动器和USB适配器）插入计算机。杀毒软件扫描所有连接的设备和外围设备，以阻止潜在的病毒通过外部来源进入系统。

杀毒程序的类型

杀毒软件以多种形式分发，包括独立的杀毒扫描器、机器学习和基于云的程序、恶意软件特征码，以及提供杀毒防护以及防火墙、隐私控制和其他安全保护的互联网安全软件套件。提供免费和商业杀毒产品的流行供应商包括 AVG Technologies、卡巴斯基、Malwarebytes、McAfee、诺顿和趋势科技。

一些杀毒软件供应商提供其产品的免费基本版本。这些提供基本的杀毒和间谍软件防护，但更高级的功能和保护通常仅对付费客户可用。

不幸的是，间谍软件无处不在，并且有几种形式，包括此处显示的那些。

虽然某些操作系统更频繁地成为病毒开发者的目标，但大多数操作系统都有可用的杀毒软件：

• Windows 杀毒软件。大多数杀毒软件供应商以不同价格点提供多个级别的 Windows 产品，从仅提供基本保护的免费版本开始。用户必须手动执行扫描和更新。免费版本的杀毒软件通常不会防范指向恶意网站的链接或电子邮件中的恶意代码和附件。杀毒软件的高级版本通常包括端点安全工具套件，提供安全的在线存储、广告拦截器和文件加密。自 2004 年以来，微软一直将免费杀毒软件作为 Windows 操作系统的一部分提供，通常名称为 Windows Defender，不过在 2006 年之前，该软件主要限于检测间谍软件。微软现在通过其 Microsoft 365 Defender 门户提供 Microsoft Defender Antivirus，适用于 Windows 10、Windows 11 和一些版本的 Windows Server。
• macOS 杀毒软件。尽管存在 Apple macOS 病毒，但它们比 Windows 病毒少见，因此基于 Mac 的设备的杀毒产品不如 Windows 的标准化。有多种免费和付费产品可用，提供按需工具，通过全系统恶意软件扫描以及筛选特定电子邮件线程、附件和各种网络活动的能力来防范潜在的恶意软件威胁。
• Android 杀毒软件。Android 是全球最流行的移动操作系统，安装在比任何其他操作系统都多的移动设备上。由于大多数移动恶意软件针对 Android，专家建议所有 Android 设备用户在其设备上安装杀毒软件。供应商提供各种 Android 杀毒软件的基本免费版和高级付费版，包括防盗和远程定位功能。有些会运行自动扫描，并主动尝试阻止恶意网页和文件被打开或下载。Play Protect 是 Google 为 Android 内置的恶意软件防护，最初随 Android 8.0 Oreo 发布，现在随每个安装了 Google Play 服务版本 11 或更高版本的 Android 设备提供。

病毒检测技术

杀毒软件使用多种病毒检测技术。六种常见类型是：

• 基于特征码的检测。杀毒程序依赖于存储的病毒特征码（已知恶意软件特有的独特数据字符串）来标记恶意软件。杀毒软件使用这些特征码来识别它遇到的、安全专家已经识别和分析过的病毒。
• 基于启发式的检测。这种检测类型使用算法将已知病毒的特征码与潜在威胁进行比较。通过基于启发式的检测，杀毒软件可以检测尚未发现的病毒，以及经过伪装或修改并作为新病毒发布的现有病毒。然而，当杀毒软件检测到一个程序行为类似于恶意程序并错误地将其识别为病毒时，这种方法也可能产生误报匹配。
• 基于行为的检测。杀毒软件还可以使用基于行为的检测来分析对象的行为或潜在行为是否存在可疑活动，并根据这些观察推断恶意意图。例如，试图执行未经授权或异常操作的代码将表明该对象是恶意的，或者至少是可疑的。一些可能预示危险的行为示例包括修改或删除大量文件、监控击键、更改其他程序的设置以及远程连接到计算机。
• 云端分析。根据 Atlas VPN 的数据，到 2025 年，已发现超过 3400 万个新的恶意软件样本。由于任何杀毒程序都无法应对迅速出现的海量恶意软件变种，杀毒公司现在将云端分析作为其杀毒产品的一部分提供。云端分析是在云端使用杀毒供应商的服务器完成的。这样，如果杀毒程序检测到恶意文件或程序，它会被发送到供应商的实验室进行测试。如果确认是恶意的，则会为其创建特征码，从而在所有检测到该文件或程序的设备上阻止它。
• 沙箱分析。这种检测技术在虚拟沙箱环境中运行程序或文件，以在允许其进入系统之前分析其行为。使用这种技术，杀毒软件仅在沙箱分析确认文件安全的情况下才允许其在真实环境中执行。此功能也用于运行杀毒程序无法加入允许列表或拒绝列表的文件。由于文件是在隔离环境中执行的，即使最终是恶意的，也不会对系统造成伤害，因为它们只在虚拟沙箱容器中执行。
• 主机入侵防御系统（HIPS）。安全与杀毒软件常用此技术，通过基于特征码的检测来检测程序中潜在恶意的活动。HIPS 持续监控每个活动，并通过向用户提供授权选项（如“允许”和“阻止”）来立即通知用户。

杀毒软件面临的挑战

根据《网络犯罪杂志》的数据，到 2030 年，全球 90% 的六岁及以上人口将连接到互联网。互联网连接的这种指数级增长也导致了病毒和网络攻击的显著增加。

虽然杀毒程序最初是为了对抗病毒和网络威胁而开发的，但它们确实存在一些局限性。

以下是杀毒软件当前和未来的挑战：

• 仅使用基于特征码检测的杀毒软件无法暴露新型恶意软件，包括现有恶意软件的变种。基于特征码的检测仅当定义文件更新了有关新病毒的信息时才能检测新病毒。随着新恶意软件特征码数量的快速增长，仅基于特征码开发反恶意软件是不切实际的。然而，基于特征码的检测通常不会产生误报匹配。
• 即使是最好的杀毒软件有时也会错误地将程序或文件的安全部分识别为恶意软件，这可能导致合法且重要的文件或程序被隔离或删除。免费的杀毒选项通常比付费服务更容易出现误报；它们通常不提供企业级的扫描和攻击及威胁载体检测。
• 杀毒软件有时可能会干扰系统更新，阻止其发生或中途停止更新。在大多数情况下，用户在尝试安装系统更新或固件升级之前必须采取额外步骤禁用防火墙。
• 杀毒软件在后台静默运行，几乎不被察觉，但它可能消耗大量系统资源，包括内存和磁盘空间，从而降低设备性能。杀毒扫描功能也可能导致明显的网络延迟。
• 常规杀毒软件仅提供一层病毒防护。为了获得全面保护，大多数组织必须投资于多层方法，例如基于硬件和软件的防火墙，或包含杀毒选项的完整互联网安全套件。

不断发展的技术趋势，包括元宇宙、Web3、金融科技和自动驾驶汽车，使得获得正确的杀毒保护更具挑战性。有如此多的端点需要保护——从加密货币钱包到虚拟现实设备——有时杀毒软件会力不从心。大多数传统杀毒技术无法检测利用受信任系统（如 PowerShell）执行的现代无文件攻击。

如何为组织选择杀毒软件

考虑到市场上众多不同的杀毒产品，建议进行仔细的选型过程。在购买产品之前，应解决几个重要的决策因素。以下是其中一些考虑因素：

可靠性和兼容性

• 该程序不应与其他软件应用程序发生冲突或故障。
• 产品应与现有操作系统（例如 Windows、macOS、Linux）兼容。
• 产品应与待保护的设备（例如计算机、智能手机、平板电脑）兼容。

易用性

• 寻找直观的产品，无需特殊技能和培训即可正确操作。
• 应有用户友好的界面，便于访问和功能配置。

功能和保护级别

• 该程序应提供针对多种恶意软件（例如病毒、蠕虫、特洛伊木马）的 24/7 保护。
• 寻找强大的反恶意软件和勒索软件检测功能，以及检测到攻击时的缓解资源。

维护

• 定期更新数据库和打补丁可使杀毒软件保持与最新威胁行为者的同步。
• 应有技术支持可用于促进维护和处理中断。

防护方法

• 防护应是持续性的，并适应扫描访问的文件和网站。
• 考虑包含恶意软件和勒索软件检测的产品。
• 可能感兴趣的其他功能包括防火墙、家长控制和虚拟专用网络。

性能特征

• 确定该软件是否会对计算机性能和资源使用（例如 CPU 和 RAM）产生实质性影响。
• 关键的扫描属性包括可以实时管理的全面扫描和快速扫描。

第三方评估

• 检查由独立公司（如 AV-TEST 和 AV-Comparatives）进行的测试结果，以获取杀毒软件的评级。
• 关于杀毒软件的用户评论和评价可以作为独立测试的有益补充。

财务和管理问题

• 选择一款提供所需功能且保护能力符合技术预算的产品。
• 考虑开源和免费产品。
• 定价选项可以包括一次性固定价格、年度订阅或月费。
• 识别并权衡问题，如安装和测试、用户培训、访问帮助台以及文档的可用性。

杀毒软件供应商

以下是杀毒产品供应商的简要列表：

• Avast
• Avira
• Bitdefender
• ESET
• G Data Antivirus
• Kaspersky
• Malwarebytes
• McAfee
• Microsoft Defender
• Norton Antivirus
• Norton 360 Select with LifeLock
• Sophos
• Surfshark Antivirus
• Total AV Antivirus
• Trend Micro
• Webroot

在考虑新安装或升级现有产品时，请考虑本文提到的所有选择标准。在将系统投入生产之前离线测试软件的能力非常重要。

虽然杀毒软件可以缓解某些勒索软件攻击，但一旦勒索软件控制了系统，它无法阻止或移除勒索软件。请利用关于如何移除勒索软件并最小化其影响的分步指南。