两种机制的差别
基于特征的防病毒靠比对已知恶意样本的指纹与行为规则来识别威胁，优点是部署简单、覆盖面广，缺点是必须先知道才能识别，且更新通道在隔离网络中很难保持，实时扫描还会占用 CPU 与磁盘。应用白名单换了一个思路：只允许已授权程序运行，其余一律阻止，它能拦住从未出现过的新恶意程序，但需要建立并维护授权清单，且对系统更新、脚本与动态库的处理需要专门设计。工控现场的常见组合是把白名单作为主要控制，特征检测作为辅助，并把病毒库更新纳入介质或内部更新服务的管理流程。
基本信息
| 特征检测前提 | 持续更新的特征库，隔离网络中需通过受控介质或内部更新服务器分发 |
|---|---|
| 白名单前提 | 完整的学习期与可维护的授权清单，含系统组件、驱动与更新程序 |
| 性能影响 | 全盘扫描与实时扫描对实时画面、数据库服务影响明显，需按主机角色调整 |
| 误报代价 | 误杀组态软件或控制器驱动可能直接导致停机，需要测试环境验证策略 |
| 更新通道 | 离线更新包、内部更新服务器或受控介质，均需验证来源 |
| 管理要求 | 策略集中管理，告警有人处理，清单定期复核 |
落地要点
- 先按主机角色定策略：操作员站、服务器、工程师站对性能与中断的容忍度不同，策略应分别设定
- 白名单先行学习：在确认现场状态正常的前提下采集一段时间，再评审清单
- 排除项谨慎处理：对组态软件目录与实时数据库目录的排除必须记录理由并由责任人确认
- 扫描安排到窗口：把全盘扫描安排在检修窗口，避免与生产高峰重叠
- 更新通道受控：病毒库与白名单更新都经受控来源，并记录版本
- 误报演练：在测试环境验证升级后的策略，确认不会误杀关键进程
机制对照与适用
| 机制 | 优点 | 风险 | 适用 |
|---|---|---|---|
| 特征检测 | 识别已知恶意代码，部署成熟 | 依赖更新，实时扫描影响性能，可能误杀 | 老系统与无法上白名单的主机 |
| 应用白名单 | 默认拒绝，可拦截未知程序 | 清单维护成本高，更新与脚本需专门设计 | 可长期维护的主机与关键服务器 |
| 组合策略 | 既拦未知也识别已知 | 两套策略都要维护，配置复杂度高 | 多数关键工控主机的推荐做法 |
| 不部署任何防护 | 无性能开销 | 依赖网络与终端管控完全兜底 | 仅限完全隔离且无法安装软件的特例 |
白名单的学习模式本身有风险：学习期内运行的程序会被视为可信，如果学习期间主机上已有恶意程序，它会顺理成章进入授权清单。学习期开始前应确认主机状态，学习期结束后人工评审清单，重点看是否有来历不明的可执行文件与常驻进程。