security - 安全软件如何防止未经授权从系统中删除？

Question

根据我的经验，某些安全软件（如赛门铁克的 Norton AntiVirus）通常会禁止通过“添加或删除程序”实用程序从 Windows 系统中删除它们，甚至有时需要从赛门铁克主页获取删除程序。（我认为这是为了防止恶意程序禁用安全软件......还有其他原因吗？）

如何将程序配置为通过系统的卸载实用程序或删除程序目录来抵抗删除？诺顿是唯一采用这种技术的软件套件，还是这种技术在安全软件中很普遍？是否有类似的技术可以在 Unix / -like 系统上使用？

Answer 1

诺顿不是唯一这样做的人，但是迈克菲和诺顿是唯一使几乎不可能删除该软件的人。不是因为他们关心病毒或安全威胁，他们不想放弃对系统的控制。许多其他防病毒软件的效果与诺顿一样好，甚至比诺顿好，例如 AVG、Avast 和其他软件，它们确实允许您从添加删除中卸载。如果他们告诉您任何不同的内容，他们只是在撒谎，因为您必须实际单击添加删除程序才能运行卸载过程。没有程序化的方法可以做到这一点。

他们通过使用自定义过程劫持卸载来做到这一点。没有真正标准化的卸载方法。最接近这一点的是微软提供的 MSI 包，但它不必使用，即使他们确实使用它，他们也可以自定义操作以在卸载时做任何他们想做的事情。

在 NTFS 中，您可以锁定当前在内存中执行的文件夹和文件。诺顿要么使用这种方法，要么使用在后台运行的服务来阻止它。

Norton 和 McAfee 是一些最具侵入性的资源占用者，一旦安装，您就永远无法摆脱系统。他们这样做不是为了安全。他们这样做是因为他们所在的市场拥有比传统软件好 20 倍的免费替代品。因此，他们与 OEM 达成协议，默认安装他们的软件，希望人们继续按年付费订阅他们的软件。最重要的是，如果他们真的很难删除，有些人不会被打扰，只是付钱。

Answer 2

您是否正在寻找防止安全软件在运行时被卸载、停止或“杀死”的想法或方法？如果是这样，我有一些想法是我在一家 AV 公司工作时一直在研究的，但它们都与“试图保持对机器的控制”无关。它只是与音量有关我看到的攻击了最流行的 AV 软件的病毒......我的目标是做到这一点，只有我可以关闭我们的服务以准备升级......

使用密码学，我想我也找到了一些很好的方法。

Answer 3

如果您正在寻找用户不会损坏系统的“解决方案”，那么您不需要任何类似的黑客攻击。只是不要让用户访问管理员帐户。如果用户是您，则更容易，以管理员身份登录时不要运行任何不受信任的内容。