背景：傳統特徵碼防毒的滯後性危機

病毒變種爆炸式增長，傳統特徵碼識別永遠落後於新病毒出現，導致「零時差」受害者不斷。廠商雙軌並進：一邊強化特徵碼（脫殼、樣本收集、急速更新），另一邊研發新識別技術——行為識別、註冊表保護、應用程式保護，統稱為「主動防禦」。

主動防禦的源起：從網關 IDS/IPS 到主機 HIPS

• IDS (入侵偵測系統)：依規則庫判斷網路非法存取，但誤報多、分析成本高。
• IPS (入侵防禦系統)：防火牆 + IDS，效能更好、誤報少。
• HIPS (Host-based IPS)：將網關防禦理念下放到單機，監控本機程序行為、註冊表、檔案系統存取。

用戶眼中的「主動防禦」 vs 現狀

用戶期待： 安裝後自動攔截未知威脅，無需用戶干預，「裝上就負責」。
現狀 (HIPS 軟體)： 能實現三層防護：

1. 應用程式層防護： 依規則控制程式啟動、執行緒插入、跨程式呼叫。
2. 註冊表防護： 監控關鍵鍵值讀寫。
3. 檔案系統防護： 監控程式建立/存取磁碟檔案。

但 HIPS 尚未達到「真正主動防禦」：頻繁彈窗詢問用戶允許/阻擋，決策負擔轉嫁給一般用戶，極易誤判或點擊疲勞。若用戶具備專業判斷力，其實本身就較不易中毒。

廠商的努力與困境

• 主動更新、主動漏洞掃描修補、自動處理病毒……符合部分主動防禦特徵。
• 核心難點：如何用技術實現「無需專業知識也能自動正確處理」。
• 誤報困境：如卡巴斯基早期主動防禦誤報 QQ 相關模組（騰訊廣告元件行為類惡意程式），解決靠白名單與病毒庫更新，但此類衝突難以根除。

HIPS 與傳統防火牆 (NIPS) 差異

維度	NIPS (網路防火牆)	HIPS (系統防火牆/主動防禦)
防護面	網路層 (TCP/IP、連接埠、IP)	主機層 (程序呼叫、註冊表、檔案)
離線效用	無	有 (防禦本機惡意行為)
典型功能	封鎖外部攻擊、DoS、ARP 欺騙	阻擋程式竄改系統關鍵區域、記錄鍵盤、注入執行緒

結論

主動防禦是發展方向，非單一技術或產品。目前 HIPS 已提升安全性，但操作複雜、誤報頻繁，距離「裝上即忘、自動免疫」的理想還有距離。廠商需在「防護力」與「易用性」間找到平衡，普通用戶仍需搭配傳統防毒、防火牆、良好習慣，纏深防禦才是王道。