套用別人一句話：新技術(shù)革新到來之時(shí)，總會(huì)面對(duì)傳統(tǒng)思維的各種質(zhì)疑。毒霸“可信”計(jì)劃實(shí)施4年來，同樣面臨業(yè)界各種不同的聲音。有人直接在微博中說，云安全都是騙人的，而這些人從來也不去真的審視這個(gè)正在發(fā)生著變化的安全世界。
在微博、在論壇、在博客，我們看到各種各樣關(guān)于云安全體系的見解和說法，我們非常興奮地發(fā)現(xiàn)有一批普通的網(wǎng)友對(duì)金山的“可信云安全”寄于厚望，他們興奮地憧憬著云安全的未來，面向他的朋友介紹著云安全帶來的種種好處。
這里，金山安全工程師將自己看到的各方面有關(guān)云安全的爭議的聲音逐一解釋，力求讓公眾更多地了解金山“可信云安全”倡導(dǎo)的安全技術(shù)變革。
“金山可信云安全”到底是什么？能給用戶切實(shí)的好處嗎？
云安全，這個(gè)技術(shù)名詞，有人認(rèn)為是噱頭，是安全廠商在騙人。而事實(shí)上，面對(duì)惡意軟件的瘋狂增長，傳統(tǒng)的特征庫升級(jí)這種方式已經(jīng)窮途末路，網(wǎng)絡(luò)安全的現(xiàn)狀要求需要建立更快的響應(yīng)機(jī)制。云安全從早期的探索到部分廠商跟進(jìn)，再到全行業(yè)共識(shí)已經(jīng)走過了三代發(fā)展歷程。
再看金山“可信云安全的體系”結(jié)構(gòu)：本地藍(lán)芯II+云端的緊密結(jié)合。本地客戶端可以優(yōu)化到很小，以提高性能、減少資源消耗。云端自動(dòng)完成樣本收集、鑒定和實(shí)時(shí)響應(yīng)。金山的可信云安全真正的將云安全的技術(shù)應(yīng)用到安全產(chǎn)品中，并讓用戶能夠非常切實(shí)的感受到云安全帶來的變化，這正是第三代云安全的精髓所在。
用戶端的殺毒軟件對(duì)升級(jí)的需求降低，傳統(tǒng)殺毒軟件落后的更新機(jī)制不復(fù)存在。用戶不再需要隔一段時(shí)間就升級(jí)一次，下載若干特征庫。因?yàn)橹灰?lián)網(wǎng)，本地殺毒軟件即可獲得最新的云端的，也就具備對(duì)抗最新病毒的能力。而金山“可信云安全”還有一個(gè)特別的地方，是將行為攔截放在云端完成。傳統(tǒng)的主動(dòng)防御客戶端會(huì)讓最終用戶難以理解，惡意軟件繞過防御、進(jìn)行針對(duì)性的對(duì)抗相對(duì)比較容易。而放在云端則對(duì)病毒木馬作者完全不可見，很難采取措施繞過或?qū)埂?/P>
惡意軟件如果切斷了網(wǎng)絡(luò)，云安全是不是就抓瞎了？
當(dāng)然，如果你故意拔掉網(wǎng)線，云安全就幫不上你什么忙了。但是，目前在我們所偵測(cè)到的病毒事件中，幾乎沒有以破壞網(wǎng)絡(luò)連接為目的的。這里面有兩個(gè)理由：1.病毒也需要借助網(wǎng)絡(luò)進(jìn)行傳播，切斷網(wǎng)絡(luò)，病毒自身傳播通道也切斷了;2.病毒木馬的目的，是為了竊取用戶資料或?qū)嵤┍I竊，網(wǎng)斷了，傳播病毒的人也將一無所獲。
所以，至少我們知道，惡意軟件故意破壞網(wǎng)絡(luò)的，非常少見。并且，一般的網(wǎng)絡(luò)故障，完全是可以通過客戶端殺毒軟件來修復(fù)的，保證網(wǎng)絡(luò)暢通，這不是難題。
斷網(wǎng)之后，云查殺，還能不能工作？
瞧，又有朋友說萬一斷網(wǎng)之后怎么辦了。
為應(yīng)對(duì)這些疑問，金山毒霸2011中默認(rèn)是使用云端的數(shù)據(jù)庫，但本地還有一個(gè)危害嚴(yán)重分布廣泛的流行病毒庫和本地白名單庫，依靠這兩個(gè)庫即使在斷網(wǎng)的情況下也會(huì)提供一定的安全保障，能防范流行病毒攻擊。
如果某些用戶覺得不太放心，還可以選擇將一個(gè)相對(duì)完整的特征庫文件下載到本地緩存起來。斷網(wǎng)時(shí)，可以使用本地緩存的病毒特征庫進(jìn)行查殺。但此時(shí)，如果網(wǎng)絡(luò)是通暢的，仍然會(huì)使用云查殺。
斷網(wǎng)后，金山毒霸2011云防御，還能不能防得?。?/P>
又是斷網(wǎng)的!
再次說明，現(xiàn)階段完全不能上網(wǎng)是個(gè)概率非常小的事件(在我國，寬帶已經(jīng)普及到西部的鄉(xiāng)鎮(zhèn)，知道電腦是怎么回事兒的地方，基本都能上寬帶，這年頭買的電腦里，可曾發(fā)現(xiàn)史前怪物：調(diào)制解調(diào)器？)，并且在這種情況下，你使用普通殺毒軟件一樣上不了網(wǎng)，一樣升級(jí)不了，一樣處理不了新病毒。
再退一步講，假如你的網(wǎng)絡(luò)連接不是很穩(wěn)定，你也可以參考前面說的，把一個(gè)相對(duì)完整的特征庫下載到本地使用。同樣的，只要你的電腦能聯(lián)網(wǎng)，你一定可以感受到云安全給你帶來的高清除率和高速查殺。
云安全會(huì)不會(huì)引起隱私問題，會(huì)把我做的電子相冊(cè)給傳上去嗎？
金山安全只會(huì)收集二進(jìn)制程序文件，對(duì)于用戶的數(shù)據(jù)文件，硬件信息，全無興趣。金山毒霸倡導(dǎo)的云安全體系，客戶端上傳只是獲取樣本的通道之一，金山的樣本獲取，更多是靠爬蟲抓取;靠服務(wù)器的鷹眼系統(tǒng)自動(dòng)跟蹤病毒木馬作者的下載源。當(dāng)某用戶的電腦上出現(xiàn)一個(gè)全新的二進(jìn)制文件特征(請(qǐng)注意，是文件特征，而非文件本身)，云器中沒有找到這個(gè)文件的任何信息，當(dāng)文件比較小時(shí)(1MB以下，大個(gè)兒的病毒也有，但非常少)，客戶端會(huì)上傳。
用戶制作的電子相冊(cè)，除非是采用前所未有的工具制作，一般的工具軟件制作的相冊(cè)都已在金山云安全庫中留下記錄，是不會(huì)上傳的。
隱私問題是金山特別關(guān)注的重大問題，我們不會(huì)拿公司的商譽(yù)開玩笑，尊重用戶的隱私權(quán)利。
我所認(rèn)為的“云”就是指所有終端的后方都有共同的病毒庫服務(wù)器，只要有一個(gè)或者一些電腦同時(shí)發(fā)生危險(xiǎn)，可以及時(shí)把危險(xiǎn)報(bào)告在病毒庫服務(wù)器，然后實(shí)時(shí)更新，讓所有的終端能攔截這種危險(xiǎn)？
不，這不是云安全，這是一個(gè)放大了的網(wǎng)絡(luò)版殺毒軟件，離我們的防毒理念差距甚遠(yuǎn)。金山的云安全包含一些龐大的系統(tǒng)，樣本收集只是其中一個(gè)環(huán)節(jié)。并且，我們并不依賴于客戶端的收集功能。現(xiàn)在是過渡時(shí)期，消費(fèi)者接受一個(gè)完全不需要升級(jí)的云殺毒軟件還有一些障礙，因此，我們目前還是提供升級(jí)病毒庫的功能。未來的病毒特征庫是完全可以放在云端的，用戶任何時(shí)候只要能聯(lián)網(wǎng)，就能獲得全新的病毒防護(hù)能力。
云防御的耗費(fèi)流量的問題，云的誤判排除，出現(xiàn)誤報(bào)怎么辦，出現(xiàn)病毒程序報(bào)無威脅怎么辦？以后是不是有開發(fā)云HIPS的必要？
云安全當(dāng)然要消耗網(wǎng)絡(luò)流量，但我們知道威脅來源于非正常程序文件，一臺(tái)電腦上的非正常程序文件是比較少的，我們只是將這些文件的特征發(fā)送到云服務(wù)器查詢，這些特征只有幾個(gè)字節(jié)，比傳統(tǒng)的下載病毒特征庫的升級(jí)方式需要的流量要小得多。它甚至比你通過QQ聊天發(fā)送的字節(jié)數(shù)還要小。
云安全的海量分析決定了這種方式的誤報(bào)或漏報(bào)概率非常小。關(guān)于HIPS，或其它主動(dòng)防御技術(shù)，我們是把這些技術(shù)應(yīng)用在服務(wù)端的，金山在云安全服務(wù)端部署了超過20種人工智能鑒定器，包含啟發(fā)式分析、沙盒、、行為分析、API序列分析等等。多種方法并行，相互糾錯(cuò)，改良算法，還可以不斷增加新鑒定方法。這些系統(tǒng)遠(yuǎn)比任何普通客戶機(jī)復(fù)雜，是不可能部署在客戶端的。部署在服務(wù)端也有一個(gè)明顯的好處：病毒作者完全不知道金山用什么辦法識(shí)別病毒，也就無法拿出針對(duì)性的對(duì)抗或繞過或反制的措施。
我們認(rèn)為把“是否應(yīng)該選擇哪個(gè)按鈕”交給普通用戶不能算完美的防御，因這些提示，大部分普通用戶看不懂。
云安全掃描的響應(yīng)速度有多快，會(huì)不會(huì)受網(wǎng)速的影響，導(dǎo)致檢測(cè)的速度變慢？
金山云安全體系充分考慮了客戶端查詢的負(fù)載，在執(zhí)行云查殺時(shí)，客戶端發(fā)送的特征數(shù)據(jù)量非常少，這只需要消耗不多的服務(wù)器帶寬。金山的云安全服務(wù)器可以承受峰值千萬計(jì)的瞬間查詢，對(duì)于每個(gè)查詢的響應(yīng)時(shí)間以毫秒計(jì)。在有用戶實(shí)際測(cè)試金山毒霸掃描速度時(shí)，發(fā)現(xiàn)聯(lián)網(wǎng)狀態(tài)比斷網(wǎng)狀態(tài)掃描速度快了一倍，這得益于云安全服務(wù)器的高性能和正常文件白名單的強(qiáng)大。
說到響應(yīng)速度，更重要的是，當(dāng)一個(gè)新的威脅在出現(xiàn)時(shí)，所有金山毒霸具備群防能力的響應(yīng)時(shí)間。我們目前可以做到在1分鐘內(nèi)識(shí)別95%的樣本，再迅速將識(shí)別結(jié)果同步到外網(wǎng)，這樣，當(dāng)一個(gè)全新的威脅出現(xiàn)時(shí)，只需要幾分鐘時(shí)間，全體在線的金山毒霸用戶即可獲得對(duì)該病毒的防御能力。
其它剩下的樣本，通過多種方法最終完成鑒定最長不過一天的。和病毒木馬傳播鏈作戰(zhàn)，最終拼的就是響應(yīng)能力。
云安全不是金山一個(gè)廠商在提，金山如何確保競爭優(yōu)勢(shì)？
有些人講的云安全僅僅是樣本收集，而這些東西，金山早在3年前已經(jīng)具有豐富的經(jīng)驗(yàn)了。最初收集的結(jié)果是，樣本量爆增，曾經(jīng)達(dá)到峰值一天100萬個(gè)，平均30萬個(gè)。 這個(gè)數(shù)字讓程序員即興奮又沮喪：興奮的是，開辟新的樣本收集通道可以收集大量可疑文件;沮喪的是，收集的文件太多，超出了分析處理的能力。
那么，最重要的地方就是云端鑒定。這么多的樣本，怎么處理，這才是最關(guān)鍵的東西。有人說拿所有殺毒軟件查查就是了，有報(bào)毒的就加庫，但很明顯，這樣做，你的誤報(bào)概率是所有殺毒軟件的總和。今天，金山在云端的鑒定器已經(jīng)超過了20種，這些鑒定器并行計(jì)算，95%的樣本可以在1分鐘內(nèi)得到結(jié)果。
金山的優(yōu)勢(shì)在于，我們是最早展開云安全項(xiàng)目，其它廠商折騰云安全時(shí)遇到的種種難題，金山早已經(jīng)歷過了：樣本的處理、服務(wù)器的穩(wěn)定性、能不能做到實(shí)時(shí)更新。非專業(yè)安全廠商追上來，還需要時(shí)間。
金山不做本地主動(dòng)防御，是技術(shù)有問題吧？
金山的防御理念和別的廠商有所不同，金山堅(jiān)持自己的特色，我們的目標(biāo)是讓所有用戶享有金山安全的技術(shù)成果，不想把門檻設(shè)定的很高。把客戶端功能設(shè)計(jì)的很復(fù)雜，會(huì)增加用戶的使用成本：總在回答yes or no的問題，用戶說了，我買你的殺毒軟件，就是讓你幫我解決問題，你反過來問我干什么，我哪兒知道哪個(gè)該點(diǎn)yes，哪個(gè)又要點(diǎn)no.
事實(shí)上，不是金山排斥行為攔截，是我們認(rèn)為行為攔截放在服務(wù)端能更好地幫助用戶解決安全問題。金山在服務(wù)端部署了多款行為識(shí)別、啟發(fā)式分析、沙盒、虛擬化技術(shù)等人工智能鑒定工具，能在服務(wù)端完成程序善惡的鑒定，多種方法并行即提高了效率，也更準(zhǔn)確。而在客戶端是不可能部署這么多的技術(shù)識(shí)別方法的，客戶端的電腦無法和服務(wù)器的性能相比，同時(shí)，客戶端在明處，病毒在暗處，病毒作者可以很容易找到繞過或?qū)沟姆椒?，而這些辦法對(duì)于金山的云端行為識(shí)別就毫無辦法。
云服務(wù)器會(huì)不會(huì)中毒啊，要是一中毒，用戶會(huì)不會(huì)都給害了？
這個(gè)不用擔(dān)心，云端的鑒定器都在特別的環(huán)境運(yùn)行，不會(huì)受病毒之害，客戶端只訪問云端鑒定的成果，更沒有機(jī)會(huì)受害。
服務(wù)器的安全非常重要，這些金山的技術(shù)人員已經(jīng)做好充分的準(zhǔn)備。
可信云安全還能做什么？是不是只能用于文件鑒定？
這是個(gè)很有意思的話題，現(xiàn)在公眾看到的可信云安全主要用在文件鑒定方面，而實(shí)際上這一理論完全可以指導(dǎo)我們達(dá)到安全上網(wǎng)的目標(biāo)。
目前，用戶上網(wǎng)實(shí)際上面監(jiān)三大威脅：1是網(wǎng)頁掛馬，一個(gè)有害的鏈接，有漏洞的機(jī)器點(diǎn)擊就中毒;2是釣魚欺詐類網(wǎng)站，騙子做的網(wǎng)站，不小心點(diǎn)進(jìn)去就上當(dāng);3.有害的URL鏈接，有人從這里下載過病毒，還讓其它人中招么？!解決了這三個(gè)問題，基本就解決了上網(wǎng)安全的問題。
現(xiàn)在頭兩個(gè)威脅，基本上已經(jīng)不能對(duì)金山的用戶構(gòu)成現(xiàn)實(shí)的威脅。安裝了金山網(wǎng)盾的機(jī)器，點(diǎn)擊URL，絕不會(huì)被掛馬網(wǎng)站攻擊成功。同時(shí)，金山網(wǎng)盾攔截的能力也得到極大的提升，這就得益于我們服務(wù)端的自動(dòng)URL收集和快速鑒別，我們的服務(wù)端軟件鑒定釣魚網(wǎng)站的能力得到迅速提升。目前，云安全數(shù)據(jù)庫已經(jīng)在大量收集和鑒定欺詐下載、病毒下載等惡意URL庫，文件云安全庫和網(wǎng)址云安全庫的聯(lián)動(dòng)，某URL只要下載過惡意文件，將通過金山網(wǎng)盾客戶端攔截其它用戶的下載，盡可能減少病毒木馬到達(dá)最終用戶的概率。