PYAS Security 混合端点安全平台

PYAS Security 是什么

PYAS Security 是一个面向 Windows 10/11 的混合端点安全平台，把多种检测与防护能力整合进一个桌面应用：本地 PE 文件机器学习推理、YARA 规则匹配、数字签名校验、可选的云端分析、用户态实时监控，以及一个原生 Windows 微过滤驱动。

它既可作为日常安全软件使用，也可作为研究恶意软件检测、Windows 内部机制、规则驱动防御与模型训练的工程平台。

核心能力

分层检测

• 静态规则：由 rule_scanner 编译并加载 YARA 规则，对文件与进程内存进行匹配。
• PE 机器学习：使用 pefile、NumPy 与 ONNX Runtime 提取特征并本地分类。
• 签名信任：调用 Windows WinVerifyTrust API 校验 Authenticode 签名。
• 云端分析：通过 HTTPS API 上传、轮询、重扫并获取结果，支持分块上传。

行为与内核防护

• 进程保护：新进程检查、可选挂起与终止控制。
• 文件保护：目录变更监控、防抖实时扫描与文件锁定。
• 内存保护：进程内存 YARA 扫描与内核回调。
• 网络可见性：基于 Windows IP Helper API 的进程级 TCP 连接监控。
• 内核执行：C++ 微过滤驱动覆盖文件、进程/线程、注册表、内存、镜像加载与启动/磁盘控制。

运维工具

隔离区、允许/阻止列表、系统修复、启动项管理、清理以及活动报告。多个主动防护开关默认关闭，可按环境按需启用。

检测流程概览

文件或进程事件
  → 范围与策略检查
  → 哈希与元数据
  → 签名校验 / YARA 扫描 / PE 特征提取
  → ONNX 模型推理
  → 本地判定聚合
  → 是否启用云端分析？
      是 → 哈希查询 / 分块上传 → 云端报告
      否 → 本地结果
  → 告警与响应（隔离 / 删除 / 放行）

仓库结构

PYAS/
├── PYAS.py            # 桌面入口、UI 桥接、配置与生命周期
├── PYAS_Engine.py     # YARA、PE/ML、签名与云端扫描引擎
├── PYAS_Scanner.py    # 扫描调度、工作线程、结果与修复
├── PYAS_Protect.py    # 实时防护与驱动生命周期/通信
├── PYAS_Tools.py      # Windows 工具、启动项、进程、网络与清理
├── Engine/
│   ├── Heuristic/     # YARA 签名与规则资源
│   └── Properties/    # PE 特征模型与训练/推理工具
├── Interface/         # WebView2 HTML、CSS、JavaScript 与图标
└── Plugins/
    ├── Filter/        # 原生 Windows 微过滤驱动源码
    └── Rules/         # 驱动防护策略

快速开始

普通用户可从 GitHub Releases 下载最新安装包：

1. 确认安装包来自官方 87owo/PYAS 仓库。
2. 确保已安装 Microsoft Visual C++ 2015–2022 Redistributable 与 Microsoft Edge WebView2 Runtime。
3. 以管理员身份运行安装程序。
4. 打开 PYAS 并按需审阅与配置防护项。

注意：PYAS 是独立安全项目，任何杀毒产品都无法保证检出全部威胁。建议先在受控环境中评估，保留备份，并在删除文件前确认告警。

适用人群

• 希望研究恶意软件检测与规则驱动防御的安全从业者。
• 需要学习 Windows 内核微过滤驱动与用户态通信的开发者。
• 需要搭建在线文件分析或威胁情报服务的团队。