杀毒Pro主防架构加强建议：ELAM + PPL + VBS协同，兼顾安全、兼容与可运维性的

实测结论：

杀毒Pro单装：断网拦MBR ✅

卫士极速版单装：断网写MBR不拦 ❌

同装：引导防护被卫士架空，表现等同卫士单装

自我保护开仍可被BYOVD反杀

我有以下几点建议：不复活核晶，借Windows原生安全底座做不可杀哨兵
1.PPL受保护进程：杀毒主进程签Antimalware证书，管理员/漏洞驱动无法结束、注入、读内存

2.ELAM早期启动：驱动开机优先加载，拦引导区/驱动层破坏，同装不被卫士架空

3.VTL0行为回调+本地规则：补断网场景（写ntdll、注入lsass、停服务、改BCD），不依赖云查杀

4.驱动块表：对接微软漏洞驱动黑名单+自建冷门签名驱动拦截，防BYOVD反杀

5.两级开关：360产品内关主防，仅撤行为回调；HVCI/VBS仍由Windows管

优势：

1.不抢VT-x，和VBS/游戏/虚拟机零冲突

2.Win更新不用每次打补丁，接口微软保证兼容

3.开关体验优于核晶，核晶关了就裸奔，新架构关了HVCI还在
Defender，卡巴斯基等都有此功能，消费版不应落后

简单来说，就是将360的主动防御与WINDOWS安全中心的内核完整性接入，这样可以在增强主防的情况下，增强自我保护，同时拥有和核晶防护引擎差不多的能力（比核晶防护的能力差一些但已经够用）并且维护的费用大大减少，不需要每次WINDOWS更新换代都打补丁，并且内存完整性是WINDOWS原生的，兼容问题大大减少

测试环境：VMware + Win11 + 断网，样本：大香蕉/MEMZ/引导写入工具

3代360主防对比
一、核晶（Ring -1 硬件虚拟化）

定位：俯视者

架构：自抢 VT-x，跑在 Ring -1 Hypervisor 层，Windows 内核在它下面

文件/行为：云查杀 + QVM + 用户态主防 + 内核回调

引导防护：强，物理磁盘/MBR 层能拦

自保：强，普通内核代码摘不掉它（但游戏/虚拟机冲突时自动退 VT）

BYOVD：部分能拦，但漏洞驱动若绕过 VT 层仍危险；且自身 360hvm 驱动曾曝 BYOVD 缺陷

断网：本地主防比现在厚

兼容：差（VBS/HVCI/反作弊/虚拟机全打架）

同装：早年核晶归卫士，引导层不被架空

特点：真俯视、真硬，但和 Win11 原生虚拟化冲突，维护成本爆炸

二、现在（核晶移除后）

定位：云查强、本地主防退化

架构：VTL0 正常内核回调 + 云查杀 + QVM，无 Ring -1

文件查杀：强（云+离线库，杀毒Pro断网拦MBR）

引导防护：杀毒单装能拦，卫士单装漏，同装被架空

自保：用户态自我保护 + 服务防停，但 PPL 不完整，BYOVD 可反杀

系统文件篡改：非信任上下文写 ntdll/注入 lsass，行为规则薄，断网漏

BYOVD：弱，漏洞驱动进内核后回调可被清

断网主防：只拦“引导扇区”这类禁区，行为链断

兼容：好（不抢 VT，Win11 默认 VBS 能开）

开关：关主防=撤回调，系统底座有 HVCI 但 360 自己没吃满

特点：轻、稳、不蓝屏，但底层对抗能力退回“半裸奔”。

三、ELAM+PPL+VBS协同，假设落地

定位：杀不死的 VTL0 哨兵，借微软底座做准俯视

架构：

ELAM 早启（开机先于恶意驱动）

主进程 PPL（Antimalware 级，杀不死、不能注入）

VTL0 行为回调（进程/文件/注册表/注入/引导）

HVCI+漏洞驱动黑名单挡内核执行与 BYOVD

KDP/回调完整性防数据级篡改

文件查杀：继承现在云+离线能力

引导防护：ELAM 独立管，单装/同装都不被架空，断网拦 MBR/BCD

自保：PPL+篡改保护，管理员/漏洞驱动难结束 360 进程

系统文件/行为：补本地规则（写 System32、注入、停服务、IFEO）

BYOVD：HVCI 挡执行 + 块表挡漏洞驱动 + PPL 防摘进程，反杀门槛大幅提高

断网：行为闭环，不靠云也能拦底层破坏

兼容：原生吃 VBS/HVCI，不抢 VT，游戏/虚拟机无冲突

开关：360 内关主防=只闭行为层，HVCI/VBS 仍开

这个是我的个人建议，可提供主动防御加强的参考,如果可以出，可以叫360 V-Defend引擎

感谢反馈，目前杀毒暂时没有大的防护更新计划