斩杀毒魔 08年五大杀毒软件之横向评测

network

2008年5款主流杀毒软件

编者按：2008年，电脑病毒与木马数量保持了“爆炸式”的高速增长，仅上半年金山公司累计截获新增病毒、木马124224个，较07年全年病毒、木马总数增长了338%。从各大厂商统计的数据中分析，新增病毒的“繁殖场”主要集中在：广东、江苏、山东、河北、河南等地。而遭遇到病毒损失最严重的地区，是首都北京，依次排名为：北京、山东、江苏、河南、四川等地，年终病毒疫情报告局势不容乐观。
病毒与反病毒的持续斗争
当今我们正面对着严峻为互联网安全形势，病毒已经摆脱了早期单一传播方式，时代的进步促成了病毒的不断发展，通过网页传播、漏洞传播、软件漏洞、电子邮件、恶意软件、恶意链接、移动媒介，今年更是暴出了微软史上最强的GDI+漏洞，看图即可中招，令人防不胜防。如今破坏系统的病毒越来越少，而它们则将更多矛头转向了利益，黑客产业链日渐成熟，植入用户计算机中的木马能长期潜伏于此，用户却浑然不知。
另一方面，病毒的蓬勃发展也刺激了反病毒技术的进步，除了传统特征码识别技术仍在使用以外，启发式扫描技术、虚拟机、主动防御技术均有重大突破，朝着成熟稳定的方向迈进。当今反病毒较量中，最棘手的问题是病毒“集团作战”，当一个下载器类病毒感染了用户，就会去下载另一个病毒，通过“车轮战”向安全软件施压，并试图攻击杀毒软件，让用户彻底裸奔。同时病毒日渐狡诈，纷纷修炼“隐形术”“免杀技术”，都是为了达到与杀毒软件抗衡的目地。

network

细数主流英雄
一、细数2008年5款主流杀毒软件
1、杀毒软件篇：天下纷乱 群雄割据
三大国产厂商鼎足的时代早已远去，回首2007年的杀毒软件市场份额，被瑞星与卡巴瓜分大半，2008年呈现的是多元化的态势，后来者也是虎视眈眈。前有腰包肥厚的卡巴斯基登上央视黄金广告档，后有因为免费事件闹僵的打官司的同行，由此折射出了杀毒厂商们“前有病毒，后有同行”的现状。2008年市场份额的冠亚军得主已无悬念，非瑞星与卡巴斯基莫属，而老三之争还有看头。金山毒霸、ESET NOD32、McAfee、诺顿是老三位置的最有力争夺者，今天要评测的五款杀毒软件几乎吞噬了中国个人杀毒软件市场的全部份额。

瑞星全功能安全软件 2009 体验版21.15.11  
瑞星2009延续了2008主动防御上的辉煌，通过主动防御能从系统基层对计算机实施保护，智能规则判断能提高正常程序的使用效率，同时不放过任何可疑行为。新截获的病毒中有近20%为盗号木马，促成了瑞星公司专门为此设计的组件——瑞星帐号保险柜，让网上社交、网络交易、游戏帐号变得更安全。瑞星2009的自我保护能力较先前版本有巨大提升，在国内率先提出先进的“云安全”概念，同时内含的工具还能对隐藏进程进行检测。目前尚属测试阶段，实力所有保留。
卡巴斯基 2009（8.0.0.454）
卡巴斯基8.0是卡巴斯基进入中国市场以后，第三款大版本号更新产品，卡巴斯基8.0在7.0的基础上重点改进了卡巴斯基的通病“开机速度与网页浏览体验”，新版开机速度与物理内存占用得到巨大优化。卡巴斯基在保护信息，预防钓鱼网站上非常有效。卡巴斯基实验室引擎研发能力长期以来都是业界的“标杆”，在权威机构测试中，尤其在脱壳能力，嵌入式扫描上表现出色，每日病毒库更新也很频繁。卡巴斯基从7.0时代开始大力封杀盗版现象，加速了卡巴斯基走向今日的辉煌的脚步。
金山毒霸 2008.0922
金山毒霸2008运用了成熟的（Bootclean）技术，是指在毒霸检测到病毒时，发现不能在普通模式下安全清除，则调用特殊的驱动程序，在下次启动过程中，直接将病毒清除的技术。毒霸拥有智能化的恶意行为拦截能力，对付在关键位置发作的病毒尤为有效。毒霸将金山清理专家集于其中，使得自动完成补丁修复、恶意软件清除、启动加载与安全性能诊断功能紧密相连。金山清理专家模块中可清晰查看系统进程、加载项，并与服务器一一匹配，最后准确生成建议报告，帮助用户轻松识别“不速之客”。金山毒霸是国内通过VB100国际认证次数最多的产品。本文撰写之时毒霸2009BETA仍处于不稳定阶段，固采用成熟的2008版进行评测。
ESET NOD32 3.0.669
ESET NOD32是一款高效、强劲的杀毒软件。ESET NOD32拥有多项业界领先的特点，身材轻小：通常安装端要比其他杀毒软件小的多；资源控制能力出色；且杀毒扫描十分高效，集此三大优点与一身。如今采用启发式扫描技术的厂商不在少数，但真正像ESET NOD32发挥出启发式扫描威力不多 ，ESET NOD32依仗成熟的ThreatSense系统，打造了最强的扫描体验，ESET NOD32不过度依赖病毒库更新，通过高级启发同样能侦测出大量未知病毒。ESET NOD32是VB100认证纪录的保持者。
诺顿网络安全特警 2009 16.0.0.125
诺顿2009是一款革命性产品，抛开了之前给人的庞大印象，摇身一变走上了蜻蜓点水的风格。根据官方测试数据，诺顿2009在不牺牲性能的前提下，已经达到了业界最快的扫描标准。诺顿产品理念重点是保护数据安全，以往成熟的隔离机制让不少用户为之着迷，也让另一些用户大为贬低，诺顿卓越的全方位防护能力让用户不必过于操心系统安全，开启静默模式后完全由智能系统进行管理，你爱干嘛干嘛去吧。
  本次评测项目
二、评测项目







（点击彩条直接访问）测试病毒包介绍

病毒测试包的来源与质量，将直接影响到本次评测的最终结果，所以采取了多方收集少量，并合成的方法，最大化的追求客观公正：
反病毒厂商贡献（不超过8个病毒/每家)+卡饭样本若干+GDATA样本若干+外国机构测试包合集+本人收集=测试病毒包。
病毒样本总数1212个，分为142个与1070两个批次。

142个病毒用于扫描测试，他们虽然数量不多，却包含了“2008年毒王”的磁碟机、机器狗变种、QQ大盗、AV终结者等重量级的角色，其中还包括刚刚被发现的样本。
1070个病毒运用于拦截测试，这些病毒为2008年截获的病毒汇总，大部分为已知病毒。

network

安装入门体验评测
三、5款主流杀毒软件横向评测
1、安装入门

如今硬盘容量已经朝着“大海无量”的方向发展，随着计算机性能的不断提升，外在的硬件条件已经成熟的前提下，不代表我们用户会放弃安装体验！那么每一款杀毒软件会带给我们什么样的安装体验呢？
统计方式
因为瑞星、金山安装初始化前带有安装环境扫描，为了避免时间统计误差，计时将从正式装载文件算起，直至默认设置完成。每测试完成一款杀毒软件，均会采用GHOST还原初始化，然后才测试下一款。

小编点评
瑞星安装后占用最大，因为默认环境下，除了瑞星卡卡以外，瑞星会安装如“帐号保险柜”等一系列组件，身材臃肿在所难免。与瑞星形成反差的是ESET NOD32，身材确实很苗条，安装组件相对少一些。金山毒霸将“网镖”与“毒霸”分离，对体积也会产生一定影响。ESET NOD32的与诺顿2009虽然在安装时加载杀毒软件驱动文件时速度较慢，但安装后不需要重启无疑把时间全部拉回来了。
使用过程中，无论是正式版的卡巴斯基、还是尚属测试的瑞星2009，每一款软件都表现的非常稳定。中文语言方面，国产厂商不必多虑，ESET NOD32 3.0汉化质量较2.7有显著提升，卡巴斯基自从6以来实行了本土化战略让卡巴斯基中文版使用起来更具有亲和力，诺顿汉化同样很棒，同时我认为诺顿的界面是本次评测中最华丽的，选美冠军非他莫属。
在安装体验环节，总体感觉：

静态资源测试评测
2、杀毒软件对于资源的控制
资源控制是衡量一个杀毒软件性能的重要指标，还是低端机安装杀毒软件的最大门槛。作为一款辅助软件，就不因该过多的占据用户资源，毕竟用户打开计算机要玩的不是杀毒软件。通常我们看中杀毒软件占用多少物理内存，其实虚拟内存占用也不容忽视，相信此环节会受到“古董机”用户的欢迎。
测试方式
静态资源的截取方法采用静默模式下的平均取值，首先排除了安装完成后杀毒软件可能进行的系统启动SCAN，同时也避免了自动任务（如自动升级）的执行，此项测试能较好的反应出杀毒软件对于系统的基本要求。
静态资源测试

瑞星2009 静态资源占用

瑞星的进程达到6个，偏向于占用物理内存。

卡巴斯基2009 静态资源占用

卡巴斯基依旧保持了双avp.exe控制进程，偏向于占用虚拟内存。

卡巴斯基静态占用出色

金山毒霸2008 静态资源占用

毒霸进程也不少，资源主要用于主进程之上，占用情况相对稳定。

ESET NOD32 静态资源占用

ESET NOD32的界面进程几乎不占用资源，基本集中在驻留系统之中的监控内存上。

诺顿2009 静态资源占用

诺顿的资源占用情况相比前4位属于尚可水平。

静态占用点评

<P小编点评经过数据测试，ESET NOD32保持了对外界宣称的资源控制能力佳的特点（内存占用第二/虚拟内存控制最佳）。另一大亮点为卡巴斯基，以往卡巴斯基的资源消耗是它最大的不足，卡巴2009在卡巴7.0的基础上进一步优化了资源占用（内存占用最佳/虚拟内存占用第二）。瑞星占用与软件构架有直接关系，瑞星、金山毒霸的进程数量比另三款国外杀毒软件多出不少，给稳定统计数据带来了难度，另一方面进程多的坏处是可能给日常使用中的用户识别进程带来麻烦。选择瑞星全方位保护用户时，资源占用上会有所牺牲，如果你不需要多余组件可以不安装，如U盘自动杀毒、帐号保险柜、资源皮肤、瑞星多语言资源。
静态资源占用，给用户的感觉：

动态资源测试 卡巴消耗巨大
动态扫描资源测试
我为什么要将资源占用分为两类单独测试呢？首先，从技术角度上来说，杀毒核心技术会与资源占用有着密切的联系。就拿虚拟机技术来说，为了做到高效侦测加壳程序，让病毒脱去马甲显露本尊，就必须模拟系统坏境诱其发作，这样会极大的消耗内存。正因为各大厂商使用的核心技术不同，导致资源占用也不同，但我们是用户，这些烦恼里所应当的让杀毒厂商考虑去吧，我们只关系数据！
测试方式
使用杀毒软件默认设置对全盘进行查杀，经过多次观察，记录平均值。

瑞星2009 动态资源占用对比图

瑞星的扫描过程比较稳定，扫描过程中仅仅出现过2次内存占用瞬间达到150M，被小编及时捕获，瑞星扫描基本能保持在50M左右的占用，在杀毒软件中尚可。
刚才的静态资源测试，卡巴斯基让我们大跌眼镜，到了动态测试结果会如何呢？

卡巴2009 动态资源占用对比图

测试结果如不少朋友所说，卡巴斯基其实在扫描占用上改进不大，而是在虚拟内存上做了文章。测试过程中卡巴斯基多次达到百兆占用，让笔者有点心寒，峰值更是超过了260M，看来不少512条子的卡巴斯基用户是冒着“生命危险”，体验了“俄罗斯核武器”。

network

国产军表现尚可

金山2008 动态资源占用

毒霸占用相对平稳，与瑞星特点一样，多进程。

ESET NOD32 动态占用

ESET NOD32的资源控制非常棒，ekrn.exe监控进程始终保持在40～60M之间游走，egui界面进程占用资源平稳，配合用户能开启NOD32中的“低优先级扫描”功能，扫描的体验很好。


ESET NOD32资源控制最佳

诺顿2009 动态占用

赛门铁克对于2009信心十足，认为他是世界上性能最棒的杀毒软件，而事实告诉我们，资源占用在业内中属不错水准。

小编点评
如果从平均动态占用数据中分析，并不能看出每款产品有多大的区别。卡巴斯基追求安全及引擎的自身特点，使得卡巴斯基不能在扫描状态下稳定的控制资源。与前几代相比，卡巴斯基有所改进（静态中很明显），还在虚拟内存上下了功夫，但终究躲避不了“卡巴特色”。瑞星2009目前公测版的表现一定会比正式版逊色一些。ESET NOD32的资源控制相对稳定，使用过ESET NOD32 2.7的用户一定会觉得不以为然（因为占用更少）。
关于CPU的占用问题，常伴随着进程占用内存增大，机器出现卡动的现象，测试过程中5款软件CPU占用均不错，也就不一一罗列了。
动态资源占用，给用户感觉：

network

扫描速度测试
3、杀毒软件扫描速度测试
时间就是金钱，时间就是杀毒软件的效率，让我们直奔主题吧！
扫描速度测试方法
杀毒软件的设置，采用的是默认设置下的全盘扫描，被扫描的对象是23G 双系统（VISTA+XP)等数据7万6千个文件夹，为何最终扫描的文件数量不统一？杀毒引擎、计数方式各有不同，欲知详情自己百度去吧。
瑞星

统计：185914个文件/21分21秒（145文件/每秒)
瑞星扫描的文件格式最多，导致了速度有些拖沓，总扫描文件量最多。
卡巴斯基

统计：135582个文件/12分02秒（188文件/每秒)
与以往版本相比，速度让笔者较为满意，卡巴斯基2009拥有智能扫描技术，扫描过的数据二次扫描能得到智能加速。
国外产品喜忧参半
诺顿

统计：95817个文件/11分58秒（133文件/每秒)
诺顿2009的快速扫描功能很华丽，扫描默认情况下的文件耗时不到20秒，但开启系统全面扫描就没有快速扫描那么华丽了，虽然耗时不多，但是扫描文件的数量也是最少的。
小编点评
杀毒软件通常扫描到压缩包文件、可执行文件时，速度会锐减，其中以卡巴斯基最具有代表性。如果引擎采用了如虚拟机脱壳技术，将会十分影响及其的性能。ESET NOD32的高级启发技术在业界处于领先水平，它能智能模拟人工判断程序行为，无须依赖特征码——这就是ESET NOD32速度快的秘诀。诺顿虽然速度也很快，是因为在选择性的扫描文件格式上剔除了一些陌生格式。卡巴斯基在扫描速度上有了不少进步。
扫描速度评分，你更喜欢谁呢？

network

扫描压缩样本测试
4、杀毒软件扫描能力测试
擅长防守不擅杀毒的那叫防毒软件，扫描能力的强弱是杀毒软件最重要的性能指标，而压缩包病毒是互联网中比较常见的病毒下载格式，具有典型性的特点。本次测试收集的扫描病毒对象为142个，个个精悍能干。关于本次横评中使用到的测试包情况，请详见前文中 测试病毒包介绍（点击访问）。
测试方式
将杀毒软件统一更新至2008.10.23病毒库，开启各大杀毒软件强势技术，如高级启发、深入扫描等技术对样本包进行全面深入的查杀。

瑞星2009扫描后能实际清除134个病毒，杀毒效率达到了94.3%。

卡巴斯基2009扫描后能实际清除138个病毒，杀毒效率达到了97.1%。

卡巴与NOD32杀毒表现出色

金山毒霸2008 扫描后能实际清除132个病毒，杀毒效率达到了92.9%。

NOD32扫描后能实际清除139个病毒，杀毒效率达到了97.8%。
　

诺顿2009扫描后能实际清除132个病毒，杀毒效率达到了92.9%。
小编点评
扫描测试的最终结果，验证了2大国际品牌的超强杀毒实力，卡巴斯基与ESET NOD32 两者的查杀率非常接近，都超过了97%。诺顿2009的表现不太理想，测试结果与金山2008持平，大家要知道目前金山正在酝酿11月份的毒霸2009盛大活动，毒霸2009究竟有多少提升空间还是个未知数。VB100的洗礼对于瑞星的提升巨大，瑞星2009的扫描表现令人满意，请别忘记它仅仅是一个测试版本。
关于ESET NOD32与卡巴斯基查杀率
概念一：杀毒软件每天每个时段多次更新，上午与下午至少2次。
概念二：新病毒被更新病毒库杀死的几率极大。
卡巴斯基清除了138个病毒，而ESET NOD32查杀了139个，仅差1个而已，因为完成巨幅评测十分消耗时间，而卡巴斯基是先于ESET NOD32测试（NOD32最后一款升级测试），ESET NOD32比卡巴斯基多升级1次，所以小编认为至少杀毒能力是相等的水平！
样本扫描能力，究竟谁更强？

network

解压缩样本防护能力测试
5、解压缩样本防护能力测试
病毒究竟是什么东西？程序，以什么形式存在？文件。普通用户运行了染毒程序，他能自己判断么？不能。所以就需要依靠杀毒软件来帮助我们判断！随着各大厂商的主动防御技术进步，让我们摆脱了杀毒挽救系统的固定思路，而转换成防御在前的巨大进步。通俗的讲，防毒能力越强就能减少你受感染的几率。
测试方式
解开压缩包中的1070个病毒，测试杀毒软件的即时拦截识别能力，拦截无法识别的病毒通过杀毒软件扫描器扫描，最终我们的英雄能拦截多少病毒？！
瑞星杀毒软件 2009
释放1070个病毒，拦截剩余102个，通过瑞星手动扫描检查后，残留101个病毒。
卡巴斯基 2009
释放1070个病毒，拦截剩余35个，通过卡巴斯基手动扫描检查后，残留17个病毒。
金山 2008
释放1070个病毒，拦截剩余86个，通过金山毒霸手动扫描检查后，残留80个病毒。
ESET NOD32 3.0

　
释放1070个病毒，拦截剩余23个，通过手动扫描检查后，残留18个病毒。


诺顿2009 真正的金钟罩
诺顿2009

释放1070个病毒，拦截剩余16个，通过诺顿手动扫描查杀1个后，残留15个病毒。　
小编点评
这个结果突然让我想到了诺顿2款产品的名称，一款叫诺顿网络安全特警，另一款叫诺顿防毒软件……果然名字起的真好！本测试环节国外杀毒软件明显优于国内杀毒软件，瑞星与金山毒霸的表现不理想，希望今后的版本有更好的表现。
诺顿防毒一流，修成金钟罩。

杀毒软件自我保护能力测试
6、杀毒软件自我保护能力测试
杀毒软件唯有先能保护自己，才能保护用户不被木马病毒侵害，这一点病毒们自然也“心知肚明”。瞧瞧AV终结者的横空出世的高招“映像劫持”技术，自动封杀系统内的杀毒软件，并会监视浏览器，当用户试图在互联网中寻找帮助而键入“病毒”“杀毒软件”等关键字时，就会被强制关闭浏览器，用户彻底沦为“肉鸡”。还有相当部分的驱动级病毒，通过加载驱动，从而达到免杀更是让杀毒软件毫无办法。假如让普通用户也能轻松破坏杀毒软件，那么如何为用户带来安全感呢？
测试方式
杀毒软件都有自己的进程，一但进程被关闭，杀毒软件将被沦为废物，而我们做的就是试图关闭杀毒软件进程以及破坏杀毒软件文件或者服务。
瑞星

普通的用户操作：文件移动、删除都无法伤及到瑞星，反而会触发瑞星的自我保护规则。同理，试图通过任务管理器来关闭进程也是徒劳的，请不要继续做傻事了。难道我们就没有办法了么？不用担心，我们可以借助专业工具来实施对瑞星2009防御体系的攻击！
工具介绍
SysCheck反黑工具进程管理页可列出win32级的隐藏进程，并且危险进程将标注红色，经过勾选能同时关闭正在运行的多个进程，但实际关闭功能有待加强。IceSword冰刃是大名鼎鼎的安全工具，冰刃的强悍在于它能对有害程序进行打击时，全身而退的保护自己，因为在内核级别的对抗情况下，通常对抗双方都希望用绝招直接将敌手置于死地。本次评测放弃了SnipeSword狙剑，就放在下次评测中好了。

network

瑞星自我保护能力显著提升
如果我没有记错，SysCheck能关闭瑞星2008的部分进程，对关键进程无奈，到了瑞星2009，所有进程均已无法关闭。看来唯有冰刃出场了！

冰刃出场的瞬间即被瑞星的主动防御规则拦截，并默认提示关闭。因为我知道它是我需要的程序，所以操作瑞星放行冰刃，结果不出意外，瑞星所有进程被冰刃全部“喀嚓”。

卡巴斯基

卡巴斯基默认拦截SysCheck

卡巴斯基的进程保护能力非常强劲，通过其他办法直接关闭进程几乎不可能，而通过工具关闭卡巴斯基的进程与服务的过程中，卡巴斯基都出现了一定的对抗。与瑞星相同，卡巴的主动防御能拦截冰刃程序启动，即使冰刃最终关闭卡巴斯基也费了不少周折。

network

NOD32 坚韧不拔的进程
金山毒霸
这里我就不截图了，简单的来说可能是上一代产品的缘故，金山毒霸2008保护能力很弱。。。期待2008年的11月毒霸2009有强势表现。
ESET NOD32

ESET NOD32的进程自我保护能力相当出色，虽然不需要工具就能关闭其界面控制进程egui.exe，若想要关闭NOD32真正的核心监控进程ekrn.exe很难，如果不从系统服务下手，syscheck甚至冰刃都无法完成！如果你对此产生了兴趣，只要你关的掉你就去关吧。。
诺顿 2009

诺顿进程对抗syscheck

利用syscheck试图关闭诺顿2009未果，诺顿2009出现对抗，syscheck反黑工具程序失去响应，运用冰刃以后轻松“喀嚓”了ccSvcHst.exe双进程。
小编点评
杀毒软件之间的自我保护能力存在着不小的差距，ESET NOD32已经从2.7版的任人摆布，修炼到了“金刚不坏”。瑞星的自我保护能力提升不小，虽然不能对冰刃进行有效的防御（瑞星工程师为此出过一份声明，详见点击此处)，但主动防御已经能提前拦截冰刃并提示用户阻止，瑞星的进步不小！卡巴斯基与诺顿的防护能力都很出色，用户完全可以放心使用。
只有先保护自己，才能保护用户安全！

network

杀毒软件更新功能对比
7、杀毒软件更新功能对比
作为杀毒软件的附属功能，强大的更新功能能说重要也能说不重要，因为滞后于病毒而更新并非是件好事，这里为大家介绍有特点的更新。
评测标准
有特点、更新频率，易用度、用户反馈等综合评定。
卡巴斯基特色病毒数据库

上周更新卡巴时的截图

用户能通过病毒库很直观的了解卡巴斯基病毒库的组成结构，根据笔者的观察，卡巴斯基升级也颇有特点，其中恶意程序、钓鱼网站、垃圾邮件、可疑站点的更新频率更快一些，网络攻击则稍慢。
静默升级

通常升级信息招人讨厌，交给静默升级吧，基本每款杀毒软件都有此功能，别忘记开启啊！
升级频率
在我看来每天能保持2次更新的厂商，就算是合格了，真的没有必要像发了疯似的频繁升级。当然卡巴斯基的升级频率被外界号称每小时更新，我使用过感觉有些夸张，基本上每家厂商都能完成合格的简单任务。
小编点评
模块更新通常比较重要，如果仅更新病毒库数据，并让杀毒软件养成了“依赖更新才能杀新病毒”的习惯就会显得非常糟糕，好的引擎能助你消灭更多未知病毒，优秀的防御技术才是最小化中毒感染几率的利器。仁者见仁，智者见智，自己喜欢就行了。诺顿升级全部倚仗“LiveUpdate”，仅依靠此组件就能方便的升级赛门铁克全系列产品。ESET NOD32病毒库小升级又快也很不错！
最后一个环节更新功能综合打分，既然各有千秋打分就都得满分吧。