杀毒软件是安装在终端设备（如你的电脑或手机）上的第一道防线。它的核心任务是识别并清除恶意软件。为了完成这个任务，杀毒软件主要依赖两种检测策略：基于特征码的检测和基于行为的启发式分析。

当杀毒软件扫描文件时，它会计算文件的特征码，然后在其庞大的已知恶意软件特征码数据库中进行比对。如果找到匹配项，文件就会被立即隔离或删除。这种方法的优点是准确、快速，但缺点是它无法识别从未见过的新型恶意软件或现有恶意软件的变种。

为了弥补特征码检测的不足，启发式分析应运而生。这种方法不关心文件“长什么样”，而是关注它“做什么”。

启发式分析会监控程序的行为，比如一个程序是否试图修改系统关键文件、加密大量用户文件（勒索软件的典型行为），或者在未经许可的情况下尝试连接到外部网络。杀毒软件会为这些可疑行为设定一个“风险评分”。当一个程序的风险评分累积到超过预设的阈值时，它就会被判定为潜在威胁。这种方法能够检测到未知病毒，但也可能产生误报，将正常软件的某些行为误判为恶意行为。

如果说杀毒软件是保护单个房屋的门锁，那么入侵检测系统（IDS）就是整个小区的安保系统。它不只关注单个设备，而是监控整个网络的流量，寻找恶意活动和违反安全策略的迹象。

IDS通常分为两类：

• 基于网络的IDS (NIDS)：部署在网络的关键节点，像一个交通警察，检查所有流经该点的数据包，寻找攻击企图。
• 基于主机的IDS (HIDS)：安装在单个服务器或终端上，监控该设备的内部活动，如系统日志、文件变更等，类似于杀毒软件的“高级版本”。

与杀毒软件类似，IDS也使用两种核心检测方法：误用检测和异常检测。

误用检测（Misuse Detection）本质上是网络版的“特征码检测”。它维护一个已知攻击模式的数据库，这些模式被称为“签名”。例如，一个签名可能描述了某个特定SQL注入攻击的数据包结构。当IDS在网络流量中发现与某个签名匹配的数据时，就会发出警报。

上面的规则告诉IDS：当发现有任何TCP流量尝试访问内部网络（$HOME_NET）的21号端口（FTP服务），并且数据包内容包含字符串“LIST”时，就触发一条消息为“FTP LIST command”的警报。

而异常检测（Anomaly Detection）则对应杀毒软件的“启发式分析”。它首先会学习网络在“正常”状态下的流量模式，建立一个基线。这个基线可能包括正常的通信协议、流量大小、连接频率等。一旦监控到的实时流量与这个基线出现显著偏差，比如一台服务器突然开始向一个不寻常的外部地址发送大量数据，IDS就会将其标记为异常并发出警报。这种方法对于发现新型的、“零日”攻击非常有效，但和启发式分析一样，它也更容易产生误报。

无论是杀毒软件还是IDS，它们都不是万能的。理解它们的局限性，是理解为何免杀技术能够存在的关键。

这段话指出了分析的核心，但攻击者总是在寻找绕过这些分析的方法。检测系统的主要局限性包括：

1. 对未知的无力：基于特征码的检测系统永远落后于攻击者一步。在新的恶意软件样本被捕获、分析并添加到特征库之前，它对于该系统是“隐形”的。

2. “噪音”中的挑战：启发式和异常检测方法虽然能发现未知威胁，但常常伴随着大量的误报（将正常行为误判为恶意）和漏报（未能识别出真正的恶意行为）。在复杂的网络环境中，区分真正的攻击和无害的异常行为是一项巨大挑战。

3. 加密和混淆的障碍：攻击者越来越多地使用加密技术来隐藏恶意载荷，或使用代码混淆技术来改变恶意软件的“外观”，使其无法与已知特征码匹配。加密流量对于IDS来说就像一个不透明的黑匣子，它无法检查其中的内容，除非进行复杂的解密操作。

4. 资源的限制：对每一个文件、每一个数据包进行深度分析需要消耗大量的计算资源。为了不影响系统性能，检测系统不得不在检测的深度和速度之间做出权衡，这给攻击者留下了可乘之机。

正是这些固有的局限性，为攻击者提供了绕过检测的机会。他们通过修改代码以规避特征码、模拟正常行为以欺骗启发式分析、或利用加密通道来隐藏攻击流量，从而实现“免杀”。

了解这些检测机制的工作原理及其弱点，是构建更强大防御体系的第一步，也是理解后续高级攻击与防御技术的基础。