概念釐清

技術	核心對象	觸發時機	典型廠商實現
即時監控 (Real-time Monitor)	磁碟 I/O (寫入/讀取/執行)	檔案系統操作發生瞬間	Norton 整合為「即時防護」
記憶體掃描 (Memory Scan)	運行中進程映像、System32 關鍵 DLL	排程/手動/事件觸發	驅逐艦獨立模組
主動防禦 / HIPS	進程行為 (註冊表、檔案、驅動、注入、自啟動)	行為發生前/瞬間 (核心回調)	Kaspersky PD、SSM、江民系統監控

架構對比：整合 vs 分離

整合派 (Norton 風格)

• 優：防護面無縫隙，磁碟/記憶體/行為同步決策。
• 劣：資源佔用高 (每次執行皆掃描)；核心進程一旦被 Kill，全線防護失效 (裸奔)，且無法清除正在被調用的惡意檔案。

分離派 (驅逐艦/江民/Kaspersky 風格)

• 優：資源佔用低；即時監控被終結時，記憶體掃描/主動防禦仍可獨立運行，清除惡意進程並刪除源檔案。
• 劣：即時監控僅覆蓋磁碟寫入，純記憶體駐留惡意碼 (無落地檔案) 可能漏報；依賴使用者/排程觸發記憶體掃描。

主動防禦 (HIPS) 深度剖析

SSM (System Safety Monitor) — 純粹 HIPS 標桿

• 進程執行控制 + CRC/MD5 完整性 + DLL 注入/鍵盤記錄/驅動載入/登錄表關鍵項/視窗標題黑名單/雙模式/插件擴充。
• 非防毒、非網絡防火牆，專注「系統行為審計與攔截」。

Kaspersky Proactive Defense (V6+)

• 預設關閉註冊表監控 (交互複雜)，核心靠行為規則引擎：進程啟動、注入、隱藏數據發送、帶參數啟動 IE 等 100+ 規則即時比對。
• Rootkit 攔截率近 100%，木馬/後門/蠕蟲統一報毒 Trojan.Generic。
• 彌補啟發式相對薄弱環節。

國產三大廠現狀

廠商	啟發式	主動防禦模組	評價
江民 KV	廣譜查殺 (針對變種/巨集病毒)	KV2007: 系統監控 (網絡/進程/記憶體/檔案/完整性) 功能全但交互複雜	有經驗用戶福音，新手易疲勞
瑞星	行為分析 (Win 平台較有效)	註冊表監控 + 瀏覽器執行攔截 (新增)	主動防禦尚淺，瀏覽器防護實用
金山毒霸	自研引擎後啟發式影子不明顯	缺失	需補強行為級防禦

啟發式 vs 主動防禦：互補而非替代

• 啟發式：靜態/仿真，針對「未知檔案」預判惡意意圖。
• 主動防禦：動態/行為，針對「運行中程式」攔截惡意行為。
• 缺一不可：啟發式漏報 → 主動防禦兜底；主動防禦誤報 → 啟發式輔助定性。

結語

殺毒技術已從「特徵碼比對」進入「多引擎融合」時代。理想架構 = 雲端信譽 + 启發式仿真 + 行為 HIPS + 記憶體掃描 + 修復清除。廠商差異在於融合深度與用戶體驗平衡，用戶應依據自身技術能力選擇「全自動」或「專家模式」產品。