avast DeepScreen技术如何提升病毒检测精准度？-睿诚科技协会

DeepScreen 是 Avast 杀毒软件的核心主动防御技术之一，它不像传统的杀毒软件那样仅仅依赖一个庞大的病毒特征库（“黑名单”）来识别已知的恶意软件，而是通过在虚拟的“隔离”环境中运行可疑文件，并分析其行为,来判断其是否为恶意软件。

（图片来源网络，侵删）

这就像给一个陌生人做一次全面的“健康体检”，而不是仅仅看他是不是“通缉犯名单”上的人。

DeepScreen 的工作原理（它是如何运作的？）

DeepScreen 的核心思想是 “行为分析” (Behavioral Analysis)，它不关心文件叫什么、长什么样，而是关心它做了什么,其工作流程通常包括以下几个步骤：

文件提交与触发
- 当你下载一个新文件、打开一个附件或从U盘拷贝文件时，Avast 会拦截这个文件。
- 如果这个文件不在 Avast 的已知病毒库（Virus Definitions）中，DeepScreen 技术就会被激活。
创建虚拟沙箱环境
（图片来源网络，侵删）
- DeepScreen 会在你的电脑内存中创建一个隔离的、安全的虚拟环境，这个环境被称为 “沙箱” (Sandbox)。
- 这个沙箱与你的真实操作系统是完全隔离的，在沙箱中进行的任何操作（如修改系统文件、注册表、连接网络等）都不会对你的真实电脑造成任何影响，任务完成后,沙箱会被彻底清除。
执行并监控可疑文件
- 可疑文件被在这个虚拟沙箱环境中运行。
- DeepScreen 的监控系统会像一位“侦探”，严密监视该文件在沙箱内的所有行为，这些行为包括但不限于：
  - 文件操作：是否尝试创建、修改、删除其他文件？
  - 注册表操作：是否试图修改系统注册表以达到自启动的目的？
  - 网络活动：是否尝试连接到已知的恶意IP地址或控制服务器（C&C）？
  - 进程注入：是否试图将自己的代码注入到其他合法的进程中？
  - 敏感系统调用：是否调用了系统底层的危险API？
  - 反调试/反虚拟机：是否尝试检测自己是否运行在沙箱中,并采取对抗措施？
行为模式匹配与风险评估
- DeepScreen 将监控到的这些行为数据，与 Avast 云端服务器中存储的海量恶意软件行为模式库进行实时比对。
- 即使这个文件是全新的、从未见过的，只要它的行为模式与已知的恶意软件家族（如勒索病毒、木马、间谍软件等）高度相似，DeepScreen 就能识别出它的恶意意图。
做出决策
- 如果判定为恶意软件：DeepScreen 会立即终止该文件在沙箱中的运行，然后通知主程序，将其隔离或直接删除,并向用户发出警报。
- 如果判定为安全文件：该文件会被放行，允许在您的真实系统中运行，这个“新发现的安全文件”的信息也会被上传到 Avast 的云端数据库,帮助保护其他用户。

DeepScreen 的核心优势

零日威胁防护
（图片来源网络，侵删）

这是 DeepScreen 最大的优势，传统的杀毒软件依赖病毒特征码，对新出现的、未知的“零日攻击” (Zero-Day Attack) 无能为力，而 DeepScreen 通过分析行为，可以在病毒爆发初期就识别并拦截它，提供“先知先觉”的保护。
极高的检测率

由于结合了本地行为分析和云端大数据，DeepScreen 能够检测出大量传统特征码扫描无法发现的“多态变形病毒” (Polymorphic Viruses) 和“无文件攻击” (Fileless Attacks)，这些恶意软件会不断改变自身形态或根本不写入硬盘,极难被传统方式发现。
系统资源占用低

相比于在本地电脑上运行一个完整的虚拟机来进行沙箱分析，DeepScreen 的虚拟化技术更加轻量高效，它主要在内存层面进行操作，对系统性能的影响非常小,用户几乎感觉不到它的存在。
云端智能联动

DeepScreen 不是一个孤立的技术，它紧密连接着 Avast 拥有数亿用户的庞大云端网络，一个用户发现的新威胁，可以迅速通过云端同步给全球所有 Avast 用户，形成集体免疫,这是单个杀毒软件无法比拟的优势。

DeepScreen 与其他技术的区别

技术	工作原理	优点	缺点
DeepScreen (行为分析)	在虚拟环境中运行文件，分析其行为	能检测未知威胁（零日攻击）、检测率高	可能存在误报（某些软件行为激进）、分析需要时间
传统病毒扫描	将文件哈希值与病毒特征库（黑名单）比对	速度快、对已知病毒100%准确	无法检测未知威胁、多态病毒可绕过
实时文件防护	监控所有文件的创建、读取、写入、执行等操作	提供即时保护，防止恶意文件落地	依赖病毒库，对未知威胁效果有限，可能影响系统流畅度
启发式扫描	通过分析文件的代码结构和逻辑，判断其是否有恶意意图	可以发现一些未知病毒	误报率相对较高，技术复杂

总结一下：DeepScreen 是 Avast 的“主动防御大脑”，而传统的实时文件防护更像是“边防哨兵”，哨兵只认识“通缉犯”（已知病毒），而大脑能通过观察一个人的行为（在沙箱中的活动）来判断他是不是一个潜在的“危险分子”。

如何管理和使用 DeepScreen？

对于普通用户来说，DeepScreen 通常是自动开启的，你无需进行任何手动设置，你只需要确保你的 Avast 软件是最新版本，以便获得最新的病毒库和 DeepScreen 引擎。

你可以在 Avast 的设置中找到它的位置：

打开 Avast 用户界面。
转到 “菜单” (Menu) > “设置” (Settings)。
在 “保护” (Protection) 选项卡下，找到 “核心 Shields” (Core Shields)。
点击 “文件系统防护” (File System Shield)，然后进入 “自定义” (Customize)。
你可以找到与沙箱和启发式扫描相关的选项，“启用智能扫描” (Enable Smart Scan) 或类似的选项，这背后就是 DeepScreen 技术在支撑。