主防架构加强建议：ELAM + PPL + VBS协同，兼顾安全、兼容与可运维性
实测结论：
杀毒Pro单装：断网拦MBR ✅
卫士极速版单装：断网写MBR不拦 ❌
同装：引导防护被卫士架空，表现等同卫士单装
自我保护开仍可被BYOVD反杀
我有以下几点建议：不复活核晶，借Windows原生安全底座做不可杀哨兵
1.PPL受保护进程：杀毒主进程签Antimalware证书，管理员/漏洞驱动无法结束、注入、读内存
2.ELAM早期启动：驱动开机优先加载，拦引导区/驱动层破坏，同装不被卫士架空
3.VTL0行为回调+本地规则：补断网场景（写ntdll、注入lsass、停服务、改BCD），不依赖云查杀
4.驱动块表：对接微软漏洞驱动黑名单+自建冷门签名驱动拦截，防BYOVD反杀
5.两级开关：360产品内关主防，仅撤行为回调；HVCI/VBS仍由Windows管
优势：
1.不抢VT-x，和VBS/游戏/虚拟机零冲突
2.Win更新不用每次打补丁，接口微软保证兼容
3.开关体验优于核晶，核晶关了就裸奔，新架构关了HVCI还在
Defender，卡巴斯基等都有此功能，消费版不应落后
简单来说，就是将360的主动防御与WINDOWS安全中心的内核完整性接入，这样可以在增强主防的情况下，增强自我保护，同时拥有和核晶防护引擎差不多的能力（比核晶防护的能力差一些但已经够用）并且维护的费用大大减少，不需要每次WINDOWS更新换代都打补丁，并且内存完整性是WINDOWS原生的，兼容问题大大减少
3代360主防对比
一、核晶（Ring -1 硬件虚拟化）
定位：俯视者
架构：自抢 VT-x，跑在 Ring -1 Hypervisor 层，Windows 内核在它下面
文件/行为：云查杀 + QVM + 用户态主防 + 内核回调
引导防护：强，物理磁盘/MBR 层能拦
自保：强，普通内核代码摘不掉它（但游戏/虚拟机冲突时自动退 VT）
BYOVD：部分能拦，但漏洞驱动若绕过 VT 层仍危险；且自身 360hvm 驱动曾曝 BYOVD 缺陷
断网：本地主防比现在厚
兼容：差（VBS/HVCI/反作弊/虚拟机全打架）
同装：早年核晶归卫士，引导层不被架空
特点：真俯视、真硬，但和 Win11 原生虚拟化冲突，维护成本爆炸
二、现在（核晶移除后）
定位：云查强、本地主防退化
架构：VTL0 正常内核回调 + 云查杀 + QVM，无 Ring -1
文件查杀：强（云+离线库，杀毒Pro断网拦MBR）
引导防护：杀毒单装能拦，卫士单装漏，同装被架空
自保：用户态自我保护 + 服务防停，但 PPL 不完整，BYOVD 可反杀
系统文件篡改：非信任上下文写 ntdll/注入 lsass，行为规则薄，断网漏
BYOVD：弱，漏洞驱动进内核后回调可被清
断网主防：只拦“引导扇区”这类禁区，行为链断
兼容：好（不抢 VT，Win11 默认 VBS 能开）
开关：关主防=撤回调，系统底座有 HVCI 但 360 自己没吃满
特点：轻、稳、不蓝屏，但底层对抗能力退回“半裸奔”。
三、ELAM+PPL+VBS协同，假设落地
定位：杀不死的 VTL0 哨兵，借微软底座做准俯视
架构：
ELAM 早启（开机先于恶意驱动）
主进程 PPL（Antimalware 级，杀不死、不能注入）
VTL0 行为回调（进程/文件/注册表/注入/引导）
HVCI+漏洞驱动黑名单挡内核执行与 BYOVD
KDP/回调完整性防数据级篡改
文件查杀：继承现在云+离线能力
引导防护：ELAM 独立管，单装/同装都不被架空，断网拦 MBR/BCD
自保：PPL+篡改保护，管理员/漏洞驱动难结束 360 进程
系统文件/行为：补本地规则（写 System32、注入、停服务、IFEO）
BYOVD：HVCI 挡执行 + 块表挡漏洞驱动 + PPL 防摘进程，反杀门槛大幅提高
断网：行为闭环，不靠云也能拦底层破坏
兼容：原生吃 VBS/HVCI，不抢 VT，游戏/虚拟机无冲突
开关：360 内关主防=只闭行为层，HVCI/VBS 仍开
测试环境：VMware + Win11 + 断网，样本：大香蕉/MEMZ/引导写入工具
这个是我的个人建议，可提供主动防御加强的参考,如果可以出，可以叫360 V-Defend引擎
页:
[1]