传统杀毒软件只能检测与已知特征模式相符的恶意软件

传统的杀毒工具通过将文件与已知恶意软件特征码数据库进行比对来检测威胁。如果某个文件与任何现有特征码都不匹配，它可能会被放行。这种对先验知识的结构性依赖，会在威胁出现与杀毒软件能够阻止它之间产生可量化的、可被利用的延迟。

根据我们对2026年超过100万份文件检测数据进行的零日漏洞检测分析，传统杀毒引擎在零日漏洞检测方面平均滞后3.0天，中位数为2.0天。 最坏情况下的暴露时间长达26.7天。数据集中仅有3.7%的零日威胁能在24小时内被传统杀毒引擎检测到。约3%的威胁需要超过一周的时间才能获得任何检测响应。

关于 方法论的说明 ：3.0天的平均值排除了反病毒响应时间极长的文件以及没有任何模式匹配历史记录的文件。完整的数据集反映了更广泛的结果范围。基础数据中还存在一个较低但非零的误报率。

数据往往就源于这样的瞬间。在扫描时，我们使用的20个杀毒引擎均未对该文件发出警报，也没有任何信誉服务记录过该文件。但威胁已得到确认。

当杀毒引擎完全无法为某项威胁生成匹配的特征码时，这一时间问题便会进一步加剧。在我们的分析中，约20.8%的零日文件最终被传统杀毒引擎检测出来。约17.9%的文件没有任何特征码匹配记录，这意味着它们完全不在任何被分析杀毒引擎的特征库范围内。 据估计，有54%的文件其杀毒响应时间过长，实际上几乎无法提供任何保护。需要注意的是，与其他数据一样，这一数字虽包含较低但非零的误报率，但应被视为具有方向性参考价值。

即使杀毒引擎最终检测到了该病毒，其覆盖范围仍然有限。后来重新扫描时，这20个杀毒引擎中只有3个对同一文件产生了匹配结果。其余绝大多数仍然一无所获。

MetaDefender 是一款统一的零日漏洞检测解决方案，旨在识别仅靠签名匹配无法检测到的恶意文件。MetaDefender 不会简单地询问文件是否与已知模式匹配，而是针对每个经过检测的文件提出四个层层深入的问题，并将答案整合为一个带有置信度评分的最终判定结果。

每个进入处理流程的文件都会与OPSWAT 威胁情报数据库进行比对。已知的恶意文件会被立即拦截，可信文件则会优先处理。根据我们的分析，仅这一层就化解了 48.7% 的威胁，从而保留了处理流程的容量，并避免了对无需深入检查的文件进行不必要的处理。

通过声誉层检测的文件将进入MetaDefender 的自适应沙箱。该沙箱不使用虚拟机，而是针对 120 多种文件类型，在 CPU 和操作系统指令层级进行模拟。这种方法迫使文件执行完整的代码路径，无论其是否检测到虚拟化环境。那些原本会处于休眠状态的、能够识别虚拟机的恶意软件，在指令级模拟环境下无法抑制其行为。 该层新发现的IOC（入侵指标）会反馈至第1层，随着每次分析周期的进行，不断强化信誉数据库。

签名引擎检测到经过混淆的脚本，却未能找到匹配项。但模拟技术仍会强制执行该文件。一旦它解密隐藏的有效载荷并将其加载到内存中，其真实意图便显而易见。

多个机器学习引擎会分析从沙箱层提取的行为信号、异常模式和指标（IOC）。每个文件都会获得一个结构化、基于置信度的风险评分。原始遥测数据被转化为清晰的决策信号，从而减少误报，并最大限度地减轻分析师因分散的工具输出而产生的审查负担。

请访问filescan.io/scan，使用我们的检测引擎免费扫描您的文件。

Deep CDR™ 技术与 MetaDefender 解决的是不同的问题。对于负责设计文件检查工作流的安全架构师而言，理解两者的区别至关重要，尤其是在受监管或关键基础设施环境中。

Deep CDR™ 技术通过从 200 多种文件类型中剥离潜在恶意内容（包括宏、脚本和嵌入对象），并生成一个干净且完全可用的版本，从而主动消除基于文件的威胁。该技术不依赖于检测机制。无论最终是否确认存在威胁，文件都会被彻底清理。 对于能够安全重建文件的文档工作流，Deep CDR™ 技术会在威胁获得任何执行机会之前将其消除。

点击此处阅读我们之前的文章，了解其工作原理的更多细节。

当文件无法被修改时MetaDefender 便是理想之选。可执行文件、补丁文件、固件、安装程序和脚本必须保持字节级完整性才能正常运行，对其进行数据清理绝非可行之策。此外，医疗、法律和金融领域受监管的文件可能还存在法律或合规要求，禁止对其进行修改。对于此类文件，动态分析是唯一可行的检测途径。

这两项技术并非非此即彼的选择。实际上，大多数企业和关键基础设施环境都会在同一工作流中同时处理可修改和不可修改的文件类型。Deep CDR™ 技术负责处理可以安全重建的文档和办公格式文件，而MetaDefender 则负责处理无法修改的文件。两者结合，能够全面覆盖进入该环境的所有文件类型。

零日威胁不会等待签名出现，您的防御措施也不应如此。