讨论免杀时，最容易把问题简化成一句话：一个程序能不能运行。这个判断太粗了。文件扫描没有提示，执行时没有被拦截，管理端没有生成告警，分别对应不同的观察结果。

要理解终端安全，先把问题换一下：安全产品看到了什么，又依据什么作出判断？从这个角度出发，文件特征、运行行为和 EDR 的关系就容易讲清楚。

一、先分清扫描、监控和响应

扫描是对某个对象进行检查。对象可以是磁盘文件、压缩包里的内容，也可以是进入扫描接口的数据。快速扫描、全盘扫描描述的是扫描范围和方式，不是完全不同的检测原理。

监控关注程序运行时发生了什么。文件落地只是一个时间点，程序启动后的进程活动、文件操作和网络连接，也可能进入检测范围。

响应则是发现问题后采取的动作，例如告警、阻断或隔离。检测到某个事件，不一定立即阻断；没有阻断，也不代表没有记录。

因此，分析一次测试，至少应分别回答：文件是否被识别，程序是否正常执行，是否被阻断，以及管理端是否留下相关记录。

二、几种检测思路，各自解决什么问题

特征匹配：寻找已经认识的模式

特征不一定是整个文件的哈希，也可能是内容片段、结构或多项条件的组合。它适合识别已知模式，但具体覆盖范围取决于规则、引擎和输入对象。

这里容易产生一个误解：文件哈希变了，检测就应该失效。实际上，哈希只反映字节是否一致。两个哈希不同的文件，仍可能具有相同的内容特征和运行行为。

完整性校验：判断文件有没有变化

将文件摘要与可信基线比较，可以帮助发现内容变化。但变化原因还需要分析：正常升级、构建差异、文件损坏和恶意篡改，都可能造成不一致。

完整性检查回答的是“是否改变”，不能单独回答“是否恶意”。如果基线本身不可信，比较结果也缺少判断依据。

行为分析：观察程序实际做了什么

同一个操作，放在不同上下文里可能有不同含义。正常管理软件也会启动子进程、修改配置、访问网络，不能仅凭一个 API 名称就判断恶意。

有用的问题包括：谁发起了操作，作用于什么对象，前后发生了哪些事件，是否符合程序的用途。Microsoft 的行为监控文档也将实时进程行为作为检测的重要观察对象。

机器学习：提供判定依据，不是效果保证

机器学习可以参与风险判定，但“采用了机器学习”并不意味着不存在误报或漏报。输入信息、模型覆盖范围、策略和运行环境，都会影响最终结果。

同样，不能因为某个文件在一次测试中未被识别，就推导出它具有普遍有效的检测规避能力。

三、EDR 为什么不能只按文件查杀理解

EDR 是终端检测与响应。理解它时，除了单个文件，还要关注终端活动留下的事件，以及这些事件之间的联系。

以 Microsoft 公开的 EDR 能力说明为例，其遥测范围涉及进程、网络、内存管理、登录、注册表和文件系统等活动。这些信息可以服务于检测，也可以用于调查。

这意味着，终端没有弹窗，不足以证明后台没有记录；某个进程成功启动，也不代表后续活动没有被关联分析。反过来，产品公开支持某项能力，也不能说明所有部署都启用了同样的配置。

检测、阻断、记录和告警，需要分开核对。把它们混在一起，既容易夸大测试效果，也容易误判防护能力。

四、理解几个容易混淆的概念

文件表示变化，不等于程序行为消失

编码、打包或软件保护处理会改变文件的表示方式，但程序要完成原来的功能，仍然需要执行相应逻辑。仅凭文件外观或字节变化，无法判断整个运行过程是否被观察到。

加壳也应放在这个框架下理解：它描述了一类程序处理方式，不是安全产品必然放行的理由。是否影响某次检测，需要具体证据。

不以普通文件形式保存，不等于没有检测面

程序执行涉及内存和其他运行活动。“没有普通文件落地”与“没有可观测行为”是两个问题，不能互相替代。

讨论内存相关检测时，也不宜只想到内容匹配。运行活动以及多种事件的关联，同样需要纳入分析。至于某个产品具体采集什么、如何判断，没有资料或实测就应保留未知。

资源信息，不等于有效数字签名

图标、版本说明和产品名称属于展示或资源信息。它们与通过密码学验证的发布者身份、签名后内容完整性不是一回事。

Authenticode 用于验证发布者身份并检查签名后内容是否改变。不过，有效签名也不等于程序行为一定安全。签名验证和运行风险判断，承担的是不同职责。

AMSI 是接口，不是独立杀毒软件

AMSI 是应用或服务与反恶意软件产品对接的扫描接口。认识它的意义，是理解内容会经过哪些检查边界，而不是把一个组件名等同于整个终端防护体系。

五、怎样得到可信的测试结论

学习时可以从来源明确的无害程序开始，在可恢复的隔离环境中观察文件结构、启动过程和日志。固定环境后做单变量对照，才有机会判断差异来自哪里。

记录项解决的问题
系统版本与程序架构排查环境和位数差异
安全产品、引擎与策略版本明确结论适用的条件
程序哈希与构建记录确认比较的是哪些文件
启动方式、时间与退出码判断程序执行到了哪一步
终端日志与管理端记录区分故障、阻断、告警和事件留存
无害基线与对照结果排除与测试变量无关的解释

测试时先确认程序自身正常。缺少依赖、架构不匹配、路径错误或程序崩溃，都可能造成“没有运行起来”，不能直接归因于防护拦截。

结论也要写到证据能够支持的位置。例如，“在这套环境下，执行期间未观察到阻断”比“完全免杀”准确得多。前者可以复核，后者把没有验证的范围也算进去了。

正常软件遇到误报时，应保留构建和复现材料，通过厂商支持渠道处理。不要为排查问题随意关闭生产防护，也不要把包含凭据、业务数据或未公开源码的文件直接提交给第三方平台。

六、学习重点应该放在哪里

如果刚从 Web 安全转向终端安全，可以先补程序文件结构、进程与线程、虚拟内存、动态库加载和数字签名。再把这些知识与进程树、文件活动、网络连接和告警记录联系起来。

只记工具名称，很容易停留在“换一种处理方式再试一次”。理解运行机制后，才能区分程序故障与安全阻断，也才能解释一项变化影响了哪个观察点。

面试中被问到免杀或 EDR，可以按这个顺序回答：先明确讨论的是文件识别、执行阻断还是事件告警，再说明如何确认程序正常、如何通过日志与对照定位原因，最后交代结论适用的环境和未验证范围。

没有独立做过的实验，就说明目前掌握到原理或代码阅读层面。能把证据和判断讲清楚，比报一个无法复核的成功率更有说服力。

总结

终端检测不是对一个文件做一次简单判断。文件内容、运行活动和事件关联，可能在不同阶段提供不同的证据。

真正需要掌握的是：程序怎样运行，防护可能观察到什么，以及怎样用日志和对照验证自己的解释。本文讨论原理与分析方法，不对任何具体安全产品作效果承诺。

技术资料