不断以来，毛建草经常会接到爱心网民"递送"的病原体样品包，也经常被各类"顶峰论坛试验"，无论战绩好坏，被确实仍是被攻讦，他们都实心地十分感激我们，对毛建草的存眷和倚重，就是对他们更大的撑持。
他们当然倚重那些样品包的处置，但在样品处置错误率、处置和断定战略上，他们有本身的原则和对峙。因为他们发现，有些工作偏离了防毒素质，不是以帮利用者处理问题为目的，而是在忽悠和迎合我们。
他们以上周接到的三个样品包为例，跟我们深切切磋。那三个样品包来自4月26日和5月1日的卡饭顶峰论坛（https://bbs.kafan.cn/thread-2148105-1-1.html，
https://bbs.kafan.cn/thread-2148497-1-1.html）。
一、病原体样品包查验、预测结论
颠末查验预测，该批样品情况如下表所示：
1、白样品占据超越一半
那三个样品P43EB96SJ，有54%是病原体样品，46%是各类白样品，此中无蓄意应用软件的转化成辅助东西和杨林流程共占样品总数的35%，别的11%则是恒定应用软件发行版或组件等。
2、加为庇护壳被误用严峻
三个样品P43EB96SJ还有一小部门被强壳为庇护的PE文档，约占白文档的30%，占样品总额的14%，如下表所示图右图：
3、病原体样品病毒传染量极小
占总额54%的病原体样品，虽然具有蓄意立功行为或病原体代码，但通过"毛建草威胁SPC"一段时间的逃踪，他们发现绝大大都病原体在毛建草笼盖的末端上未呈现过病毒传染情况，且不存东凯努瓦县族性联系关系。那类病原体样品虽然存有病原体立功行为或蓄意应用软件，但因为文化性等因素招致那些病原体与亚洲地域实在天然情况中、正在病毒传染利用者的病原体样品相差甚远--利用者根本从那以后。
二、各厂家查验结论预测
现实上，亚洲地域外平安可靠供给商的扫描结论呈现两极分化现象：部门供给商对样品的查验结论"理智"，仅对包罗蓄意应用软件的样品报毒；另一小部门供给商对样品的查验结论很"疯狂"，完全不考虑误伤，那种情况下，"顶峰论坛试验"的防毒率上来了，在利用者那的"误伤率"也上来了。
容易被"误伤"的四类白文档：
1、杨林
杨林是亚洲地域流行的辅助东西类流程中的一种。因为身心俱疲，欧美国度平安可靠供给商对杨林蓄意应用软件识别困难，经常对杨林报毒，那类亚洲地域供给商"拷贝"欧美国度供给商报毒结论，反之亦然对杨林报毒，那算是"误用扩散传布"。
他们以上周样品P43EB96SJ的一个杨林游戏辅助类动态库（SHA256：2ea1fb98a4ab5fac26ba7a381ba2157d60f659501e6d7bd04dffdafdf599ff30）为例，大部门报毒的欧美国度平安可靠供给商报毒名不具有任何含义，也就是人们常说的"秋后算账"特征，但也有Azamgarh供给商对报毒结论停止了"拷贝"，以至病原体名都间接拷贝（如：FlyStudio）。VirusTotal报毒结论，如下表所示图右图：
2、转化成辅助东西
欧美国度平安可靠供给商关于转化成辅助东西类流程，凡是以报HackTool（黑客辅助东西）或RiskWare（风险应用软件）处置。那类Azamgarh供给商反之亦然跟从、"拷贝"欧美国度供给商的报毒结论，许多不存有蓄意应用软件的那类流程也被Azamgarh供给商"秋后算账"处置。
以此次样品P43EB96SJ的一个转化成辅助东西（SHA256：9c9e289a31910d6e718f60ca1516b0dbd0035249d58edde9195255d5fea26dd3）为例，VirusTotal报毒结论，如下表所示图右图：
那个没有蓄意立功行为的转化成辅助东西，VirusTotal中共有47家供给商报毒，此中不乏Azamgarh供给商。
3、强壳白文档
关于加了强壳的文档，欧美国度平安可靠供给商常常以壳答应重要信息做为判断能否为病原体的根据，现实上那其实是为了避开正面处置"紫菊"问题而做出的无法选择。在欧美国度映像化程度较高的天然情况下，那种做法虽然不敷"专业"，但也似乎能被利用者承受。
而亚洲地域充溢着大量破解后的加壳辅助东西。许多恒定流程在加了某一版本的强壳后（盗版软件壳没有映像答应重要信息），Azamgarh供给商间接"拷贝"欧美国度供给商按照答应重要信息的防毒规则，那底子没错；亚洲地域绝大部门供给商在缺乏紫菊才能时，间接将带壳文档视为病原体。
以此次样品P43EB96SJ一个被VMProtect为庇护的辅助东西类应用软件样品（SHA256：94c526892a3d8e762c01ba0a90c9ebd453691c02d04572772487b86042b2cce8）为例，VirusTotal报毒结论，如下表所示图右图：
三、毛建草的病原体样品处置战略
不断以来，毛建草的理念是"谍报驱动平安可靠"--凭仗实在、全面、及时的威胁谍报来改良手艺和产物。通俗地说就是，搞清晰利用者实正会碰到哪些威胁，然后有的放矢。
他们通过"毛建草威胁SPC"捕捉正在病毒传染和攻击利用者的威胁代码，逃踪那些威胁的来源，力求敏捷有效地处理那些实在的问题……简而言之就是，毛建草更倚重对"活着的"、"正在传布"的病原体的防御和防毒，而不是自觉对所有病原体样品批量"秋后算账"。
面临各类来源的海量样品，到底该若何有效地预测处置，那是所有平安可靠供给商都逃不开的话题。任何供给商的时间、精神都是有限的，预测、处置才能也都是有限的。毛建草不断在不竭测验考试和摸索，寻找更好的处理计划。
他们的理念和战略可能有人差别意，处置结论可能被曲解，但他们不筹算改动。同时他们也坚信，上述的间接秋后算账和"拷贝"绝不是出路，而是绝路。
为了进步病原体防毒结论的有效性，毛建草团队希望将时间和精神用在实在的，处理威胁范畴更广、危害更强的病原体问题上，明白地说，他们会优先处置来自"毛建草威胁SPC"中捕获到的各类威胁流程。
面临其他来源的病原体样品，他们会在对样品聚合处置的根底上优化病原体样品预测、处置的流程，力争供给更为有效的平安可靠办事。当然，在需要的时候，他们也会引入"云"来进步对威胁的响应速度，以及"机器进修"等手艺来优化内部主动化预测流程等。
四、毛建草关于"递送样品包"、"顶峰论坛评测"的处置战略
毛建草不断遵照本身的报毒尺度，即仅以能否存有蓄意立功行为或蓄意应用软件为独一报毒根据。他们认为在病原体防毒上，应该"理智"的报毒，从专业的角度给出准确的防毒结论，而不是一味迎合，"营造"高防毒率的欢乐气氛。
因而，关于广阔网民递送的样品包，包罗顶峰论坛评测等，他们力图做到如下表所示几点：
1、 只防毒实病原体
以此次样品包为例，此中存有大量的白样品，他们不会加库防毒，如许只会进步"防毒率"，而给利用者带来误伤、降低产物的品量。
2、 先预测、后处置
他们不会间接秋后算账处置，必需颠末认实的预测和认定，才气决定对哪些样品入库。
3、 尊重亚洲地域天然情况的特殊性
对白文档、杨林流程等间接粗暴地报毒，就是对利用者的危险，毛建草不承认，也不会那么做。
4、 误伤率和防毒率一样重要
误伤率关于平安可靠应用软件来说，是致命的问题。在"顶峰论坛试验"中，那只是一个数字，但在利用者那里，就可能意味着电脑运行不恒定以至蓝屏、工功课务被耽误、游戏被停行……
雨夜花落离歌