影子系统的发展及虚拟技术

hyq1979

影子系统的发展及虚拟技术


原帖地址：
http://publish.it168.com/2007/0903/20070903039503.shtml
　　计算机是用来应用的，那么我们就有可能需要不断尝试在系统中安装很多的软件，尤其是一些测试版软件。这些软件有可能存在设计上的缺陷，可能会带来一些安全隐患，造成的后果一般用户无法自己正确处理。微软的Windows操作系统自从有了系统还原后，在一定程度上解决了系统故障的快速恢复问题，但是当系统的重要文件受到损坏后，也显得力不从心。
　　而影子系统采用了国际领先的"操作系统虚拟化"技术，用一个虚假替身—"影子"系统来接管真实的操作系统，任何文件的操作，病毒木马都能够都被限制在虚拟系统中使用，从而保证了真实系统的安全。


　　影子系统，自从2004年推出以来，受到了很多用户的好评。影子系统能给网友带来什么样的好处呢？他能帮助我们防范未知病毒、木马和流氓软件！当前互联网病毒泛滥，木马横行，传统的安全软件不能很好的解决系统安全的问题，特别对于未知的木马、病毒更是束手无策，而此时，影子系统可以为系统构筑一道强大的安全屏障。

　　打造一个免维护的操作系统

      使用影子系统以后，你的系统就不用日常维护，不像家用电器使用中还会出现故障，使用以后，系统出现的位置故障，需要IT人员，需要电脑专家的帮助，很多常见问题可以被克服。影子系统还可以使电脑处于一个最优的工作状态，使得我们工作、生活更加方便、轻松。

　　下面来看影子系统如何来做到这一点。传统的没有使用任何软件的电脑，基本上是这样一个形态，他由硬件、操作系统、应用软件构成，硬件就是我们通常说的电脑、CPU、内存，操作系统，我相信广大网友，在这个操作系统之上，我们最常用各种各样的应用软件，应用软件比方说我们上网用的浏览器，我们要收发电子邮件用的软件，我们工作需要用的OFFICE，我们娱乐需要玩的游戏，这些都属于应用软件。一个保护的电脑，一切东西全部是开放的结构，他像所有的互联网上的程序一样，用户使用的任何程序都是开放结构，可以访问任何东西的。

　　我们来看传统杀毒软件，安装杀毒软件以后，系统结构变成什么样，在应用程序和操作系统之间，插入一条红色的线，这条红色的线是什么，其实它是一个隔离保护层。那我们看在这个图上，把这个红色线放大，那么这个图其实形象的告诉大家，杀毒软件通过检查、分析有害的行为进行筛查，找到病毒、木马标准特征，将我们出现标准特征的病毒、木马识别出来，阻挡在外面，从而保障整个系统安全，那么这是整个杀毒软件的方式。



杀毒软件的保护模式


　　影子系统使用的是一种系统虚拟化技术

      系统虚拟化技术，是未来新一代安全技术，国际上很多公司都在研究。说到系统虚拟技术，我们不得不提虚拟系统。在这张展示的图上，大家就可以看到虚拟机技术。在原有的硬件操作系统，应用程序架构上，构件了一台虚拟的电脑出来。大家可以看到，这个虚拟的电脑在我的蓝色图当中表示出来，它也包括硬件、操作系统、应用程序三个部分，它是全新完全的虚拟系统，它的硬件也是虚拟的，应用程序也是另外重新安装在这个程序上的，这是虚拟新技术。那么关于系统虚拟机技术，我们在稍候还会介绍，那我们看到电脑安装影子系统之后，它的结构是什么样。在左边红色的方位，在下面世电脑真实的硬件。我们知道电脑真实的硬件，其实是最坚固的，真是硬件并不是我们需要保护最大的重点，系统安全目前来自于操作系统、应用软件的攻击。那么影子系统安装之后，就变成这种结构，左边红色的框彻底保护起来的原始的、真实的操作系统，在右边的蓝色框中是虚拟的系统，拥有跟真实系统一模一样的操作系统和应用程序。



      安全危害都来自于哪里

　　第一个危害是用户误操作，无知行为是对电脑最大的危害，我们习惯称自己为菜鸟，我们每一个专家也是从菜鸟走过来的，我们的无意乱用，确实可能给电脑带来危害。然后我们日常用电脑需要上网，需要用各种各样的软件，这样我们就可能遭受不良网站的危害，使得我们一不小心遭到病毒、木马入驻我们的系统，这是我们电脑遭受的第二类危害。电脑长期使用，会产生大量的垃圾、无用的文件，这些东西看起来对电脑没有危害，但是另一方面他就如同胆固醇，阻碍我们的大脑，电脑执行越来越慢，其实也是一种危害。



电脑可能受到的损害

　　杀毒软件的工作原理

      在前面一张图上我们看到，杀毒软件通过规则筛查来进行安全检测，我们仔细来看杀毒软件的特征，他表示杀毒软件公司研究出来的每一种病毒它的特征，特征其实就是病毒的携带，具有特征型的数据，我们可以识别它。那么通过病毒的特征，我们可以识别出病毒，那么杀毒软件，建立这么一个过滤层，来把所有的病毒阻挡。我们在这张图上，我们看一下，从做到有，黑色表示未知的，或者有害的行为，绿色表示合法的，无害的行为，行为的意思，值得就是我们电脑使用的时候，电脑中正常执行的命令或者数据。那我们可以看到，在最左边的部分，一个像地雷状的黑球，他就是阻挡我们无法往下形式，比如说我们上网，网页上面数据就会显示到我们屏幕上来，比方我们写文件，文件就可以保存到我们磁盘上去。



杀毒软件的检测原理


　　我们再看第二个绿色的球，因为她没有携带任何一个带有病毒，木马的数据，就允许被杀毒软件通过了，他不会把我们日常使用正常软件认为病毒，比方我们日常使用QQ，作为即时通讯。那么在第三个部分，从左往右看，第三个部分，又一个绿色的方块往下通过，需要进行复杂的比较，大量的数据预算，使得系统执行的效率，就大幅度下降，我想大家都有一个认识，就是我们使用杀毒软件，系统执行效率会下降。

　　第四个部分，一个病毒把自己伪装成长条形的形状，就躲过了杀毒软件的排查，这就是我们目前遇到的未知病毒和恶意行为，杀毒软件很难防范的原因。在最右边的部分，我们看到一个很奇怪的方块，一个很奇怪的绿色方块试图，进入杀毒软件，因为它不被杀毒软件识别，就被杀毒软件当作有害行为或者病毒给查杀，这也是一个很常见的现象，就在今年我们互联网上爆发过几次误杀行为，必然会带来一些问题，未知病毒还是照样入侵进来。

　　影子系统的安全原理

      影子系统完全虚拟的系统，不对任何数据进行过滤，直接让这些行为在虚拟系统上工作。当然带来结果病毒有害的程序，也会照样入侵到虚拟系统中去，影子系统跟杀毒软件原理不一样，你系统可把这个有害的虚拟系统直接丢弃掉，在这张图上我们可以看到，当感染病毒的系统丢到垃圾箱，我们重新构件一个跟真实系统一模一样的虚拟系统出来，这样病毒木马无处藏身，因为它跟杀毒软件机制不一样，它是采用系统虚拟化的技术。



瞬间生成的影子系统


　　虚拟系统跟系统虚拟机有什么不同？

       虚拟系统是在真实系统上完全虚拟出来的一个系统，它跟系统虚拟机的最大区别就是，它跟真实系统没有关系！影子系统是把真实系统虚拟出一个一模一样的出来，我们举个简单的例子，我们使用系统虚拟机，你要再装一个操作系统，再装操作程序，而影子系统不用，它的真实性都是产生一个虚拟系统，但影子系统会直接依赖真实的硬件来完成运算。我们网友都知道使用真实的硬件运算速度，要比使用虚拟的硬件运算速度快。

　　虽然虚拟机也能实现这样的功能，当虚拟系统遭受危害的时候，可以把整个系统丢弃，但是影子系统跟虚拟机有差别，影子系统能够瞬间生成一个一模一样全新的系统出来，而虚拟机就不能，它需要重新安装，它跟我们真实系统被感染，是一样繁琐的维护行为。



普通的虚拟技术（系统虚拟机）

最新版的Returnil多分区保护影子系统
http://bbs.deeptimes.org/forum.p ... &extra=page%3D2

[ 本帖最后由 hyq1979 于 2008-2-4 18:12 编辑 ]

mike521zx

看起来很不错的样子阿~~没有用过！！

Evolutions99

无论什么系统，虚拟机也好虚拟系统，必然会在系统外壳的基础上加载。根据个人看法，如果病毒破坏虚拟系统而不伤害真实系统，那么也就是虚拟系统和真实系统是分离的。分离就会导致互传数据的问题，并且分离最重要的就是执行效率会下降！对于性能足够强大的机器来说也许不算什么，但是资源不是用来浪费的！给我的看法是这种东西没必要……用它还不如用硬盘保护卡呢……一天一个备份……消耗资源少，效率高，绝对安全，哪点比这个东西差呢？

beta1

影子系统还是很有用的，比如突然面对一个陌生的程序，怎样确定这个程序是否安全？运行它吧，这个时候影子系统就有用处了。虽然可能存在效率问题，但影子系统不必常驻——只在需要的时候才启动它。

Evolutions99

但是这种情况虚拟机也可以做到，新型的影子系统对于虚拟机没有任何优势。

hyq1979

原帖由 Evolutions99 于 2008-2-4 18:39 发表
无论什么系统，虚拟机也好虚拟系统，必然会在系统外壳的基础上加载。根据个人看法，如果病毒破坏虚拟系统而不伤害真实系统，那么也就是虚拟系统和真实系统是分离的。分离就会导致互传数据的问题，并且分离最重要的就是执行效率 ...

知道你会这么说，我以前也有这个效率低下的想法，但除了保存资料麻烦外几乎不对系统速度影响什么。
我的配置也比较低 1.3G的CPU
SD的内存  512  133外频
GF440  64MB显存
比杀毒的拖速度小多了几乎没察觉（都知道再好的杀毒也会小卡，毕竟过滤文件需要分析），资源只有5MB内存占用。

Evolutions99

那可能是配置问题。我这里加载的McAfee，几乎无滞后

hyq1979

原帖由 Evolutions99 于 2008-2-6 20:17 发表
那可能是配置问题。我这里加载的McAfee，几乎无滞后

我这么低的配置跑影子感觉比跑杀毒强多了，除了占5MB内存就和裸机跑一样。

Evolutions99

呵呵……推荐你用保护卡

soyi

powershadow和Returnil有啥区别？都是影子系统？