计算机病毒攻击和防御 论文

1988年11月2日，计算机病击和康奈尔大学研究生罗伯特·莫里斯把一段99行的毒攻代码丢进了ARPANET。他本想做个实验，防御看看互联网到底有多大。论文结果代码失控，计算机病击和六千台计算机瘫痪，毒攻占当时联网机器总数的防御十分之一。这就是论文莫里斯蠕虫，第一个引起大规模关注的计算机病击和计算机病毒。它没有恶意破坏数据，毒攻只是防御疯狂复制自己，但足以让整个网络窒息。论文

这件事暴露了一个根本问题：计算机病毒的计算机病击和本质不是“破坏”，而是毒攻“自我复制”。破坏只是防御复制过程中的副作用。理解这一点，防御思路才会清晰。

病毒怎么进来的

大部分攻击入口比人们想象的朴素。钓鱼邮件至今仍是头号通道。我见过一个案例：某公司财务收到一封“发票确认”邮件，附件是.xlsm格式，打开后宏代码自动执行，下载了一个远控木马。整个过程不到三秒。防火墙没拦住，因为流量走的是HTTPS，和正常网页浏览没区别。

另一个常被忽略的入口是供应链。2020年SolarWinds事件，攻击者入侵了网络管理软件Orion的更新服务器，把后门塞进正式签名的更新包里。一万八千个客户自动下载了带毒更新。你信任供应商，供应商的签名有效，系统没有任何理由拒绝。这种攻击绕过了所有基于“信任边界”的防御。

还有更原始的：U盘。伊朗核设施里的震网病毒，就是通过U盘进入物理隔离网络的。气隙隔离听起来安全，但只要有人插U盘，墙就倒了。

病毒进来之后干什么

早期病毒喜欢炫技，弹个窗口、删个文件。现在的恶意软件安静得多。勒索软件加密你的文件，然后留一个比特币地址。加密货币挖矿木马占用你的CPU，你只觉得电脑变慢了。间谍软件潜伏几个月，把数据一点点传出去。目标不是让你发现，而是让你不发现。

震网病毒是个例外中的例外。它不偷数据，不勒索钱财，它修改离心机的转速，让伊朗纳坦兹工厂的铀浓缩设备在正常读数下自我摧毁。这种精确打击说明病毒已经从“破坏工具”进化成“武器”。

防御的核心矛盾

杀毒软件依赖特征库，特征库依赖已知病毒样本。新病毒没有特征，杀毒软件就不认识。这是根本矛盾。行为检测试图解决这个问题——不看文件长什么样，看它做什么。一个Word文档突然调用PowerShell下载外部程序，这行为本身就可疑，不管它是不是已知病毒。

但行为检测也有代价。误报率上去了，运维人员每天处理一堆告警，真正的那一个反而被淹没。安全运营中心最怕的不是没告警，是告警太多。

我的判断是：没有单一技术能解决问题。网络分段限制横向移动，最小权限原则限制单点失陷的影响范围，离线备份保证勒索软件不能通吃。这些措施不酷，但有效。SolarWinds事件里，那些做了网络分段和异常流量监控的机构，发现得明显更早。

莫里斯蠕虫出现三十多年了，病毒从炫技变成产业，从破坏变成潜伏。防御的基本逻辑没变过：假设系统会被攻破，然后限制攻破之后的损失。这个假设不乐观，但比盲目信任靠谱。