套用别人一句话:新技术革新到来之时,总会面对传统思维的各种质疑。金山毒霸可信云安全计划实施4年来,同样面临业界各种不同的声音。有人直接在围 脖中说,云安全都是骗人的,而他们从来不也去真的审视这个正在发生剧变的安全世界。
在围脖、在论坛、在博客,我们看到各种各样关于云安全体系的见解和 说法,我们非常兴奋地发现有一批普通的网友对金山可信云安全寄于厚望,他们兴奋地憧憬着云安全的未来,面向他的朋友介绍着云安全带来的种种好处。
这里,我将自己看到的各方面争议的声音逐一解释, 力求让公众更多地了解金山可信云安全倡导的安全技术变革。
质疑最多的是与断网有关,比如
“恶意软件如果切断了网络,云安全是不是就抓瞎了”
当然,如果你故意拔掉网线,云安全就帮不上你什么 忙了。但是,目前在我们所侦测到的病毒事件中,几乎没有以破坏网络连接为目的的。这里面有两个理由:1.病毒也需要借助网络进行传播,切断网络,病毒自身 传播通道也切断了;2.病毒******的目的,是为了窃取用户资料或实施盗窃,网断 了,传播病毒的人也将一无所获。
所以,至少我们知道,恶意软件故意破坏网络的,非常少见。并且,一般的网络故 障,完全是可以通过客户端杀毒软件来修复的,保证网络畅通,这不是难题。
“断网之后,云查杀,还能不能工 作”
瞧,又有朋友说万一断网之后怎么办了。
为应对这些疑问,金山毒霸2011中默认是使用云端的数据库,但本地还有一个危害严重分布广泛的流行病毒库和本地白名单库,依靠这两个库即使在断网 的情况下 也会提供一定的安全保障,能防范流行病毒***。
如果某些用户觉得不太放心,还可以选择将一个相对 完整的特征库文件下载到本地缓存起来。断网时,可以使用本地缓存的病毒特 征库进行查杀。但此时,如果网络是通畅的,仍然会使用云查杀。
“断网后,金山毒霸2011云防御,还能不能防得住”
偶崩溃了,又是断网的。
再次说明,现阶段完全不能上网是个概率非常小的事 件(在我国,宽带已经普及到西部的乡镇,知道电脑是怎么回事儿的地方,基本都能上ADSL宽带,这年头买的电脑里,可曾发现史前怪 物:调制解调器?),并且在这种情况下,你使用普通杀毒软件一样上不了网,一样升级不了,一样处理不了新病毒。
再退一步讲,假如你的网络连接不是很稳定,你也可 以参考前面说的,把一个相对完整的特征库下载到本地使用。同样的,只要你的电脑能联网,你一定可以感受到云安全给你带来的高清除率和高速查杀。
“云安全会不会引起隐私问题,会 把我做的电子相册给传上去吗?”
金山只会收集二进制程序文件,对于用户的数据文件,硬件信息,全无兴趣。金山毒霸倡导的云安全体系,客户端上传只是获取样本的通道 之 一,金山的样本获取,更多是靠服务器爬虫抓 取;靠服务器的鹰眼系统自动跟踪病毒***作者的下载源。当某用户的电脑上出现一 个全新的二进制文件特征(请注意,是文件特征,而非文件本身),云安全服务器中没有找到这个文件的任何信息,当文件比较小时(1MB以下,大个儿的病毒也 有,但非常少),客户端会上传。
用户制作的电子相册,除非是采用前所未有的工具制 作,一般的工具软件制作的相册都已在金山云安全库中留下记录,是不会上传的。
隐私问题是金山特别关注的重大问题,我们不会拿公司的商誉开玩笑,尊重用户的隐私权利。
“我所认为的“云”就是指所有终端的后方都有共同的病毒库服务器,只要有一个或者一些电脑同时发生危险,可以及时把危险报告在病毒 库服务器,然后实时更新,让所有的终端能拦截这种危险”
不,这不是云安全,这是一个放大了的网络版杀毒软 件,离我们的防毒理念差距甚远。金山的云安全包含一些庞大的系统,样本收集只是其中一个环节。并且,我们并不依赖于客户端的收集功能。现在是过渡时期,消 费者接受一个完全不需要升级的 云杀毒软件还有一些障碍,因此,我们目前还是提供升级病毒库的功能。未来的病毒特征库是完全可以放在云端的,用户任何时候只要能联网,就能获得全新的病毒 防护能力。
“云防御的耗费流量的问题,云的误判排除,出现误报怎么办,出现病毒程序报无威胁怎么办?以后是不是有开发云HIPS的必要。”
云安全当然要消耗网络流量,但我们知道威胁来源于 非正常程序文件,一台电脑上的非正常程序文件是比较少的,我们只是将这些文件的特征发送到云服务器查询,这些特征只有几个字节,比传统的下载病毒特征库的 升级方式需要的流量要小得多。它甚至比你通过QQ聊天发送的字节数还要小。
云安全的海量分析决定了这种方式的误报或漏报概率 非常小。关于HIPS,或其它主动防御 技术,我们是把这些技术应用在服务端的,金山在云安全服务端部署了超过20种人工智能鉴定器,包含启发式分析、沙盒、虚拟化、行为分析、API序列分析等 等。多种方法并行,相互纠错,改良算法,还可以不断增加新鉴定方法。 这些系统远比任何普通客户机复杂,是不可能部署在客户端的。部署在服务端也有一个明显的好处:病毒作者完全不知道金山用什么办法识别病毒,也就无法拿出针 对性的对抗或绕过或反制的措施。
我们认为把“是否应该选择哪个按钮”交给普通用户 不能算完美的防御方案,因这些提示,大部分普通用户看不懂。
“云安全扫描的响应速度有多快,会不会受网速的影响,导致检测的 速度变慢?”
金山云安全体系充分考虑了客户端查询的负载,在执行云查杀时,客户端发送的特征数据量非常少,这只需要消耗不多的服务器带宽。金山 的云 安全服务器可以承受峰值千万计的瞬间查询,对于每个查询的响应时间以毫秒计。在有用户实际测试金山毒霸扫描速度时,发现联网状态比断网状态扫描速度快了一 倍,这得益于云安全服务器的高性能和正常文件白名单的强大。
说到响应速度,更重要的是,当一个新的威胁在互联 网出现时,所有金山毒霸具备群防能力的响应时间。我们目前可以做到在1分钟内识别95%的样本,再迅速将识别结果同步到外网,这样,当一个全新的威胁出现 时,只需要短短几分钟,全体在线的金山毒霸用户即可获得对该病毒的防御能力。
其它剩下的样本,通过多种方法最终完成鉴定最长不 过一天的。和病毒***传播链作战,最终拼的就是响应能力。
“云安全不是金山一个厂商在提, 金山如何确保竞争优势”
有些人讲的云安全仅仅是样本收集,而这些东西,金 山早在3年前已经具有丰富的经验了。最初收集的结果是,样本量爆增,曾经达到峰值一天100万个,平均30万个。 这个数字让程序员即兴奋又沮丧:兴奋的是,开辟新的样本收集通道可以收集大量可疑文件;沮丧的是,收集的文件太多,超出了分析处理的能力。
那么,最重要的地方就是云端鉴定。这么多的样本,怎么处理,这才是最关键的东西。有人说拿所有杀毒软件查查就是了,有报毒的就加 库,但很明显,这样做,你的误报概率是所有杀毒软件的总和。今天,金山在云端的鉴定器已经超过了20种,这些鉴定器并行计算,95%的样本可以在1分钟内 得到结果。
金山的优势在于,我们是最早展开云安全项目,其它厂商折腾云安全时遇到的种种难题,金山早已经历过了:样本的处理、服务器的稳定性、能不能做到实时 更新。非专业安全厂商追上来,还需要时间。
“金山不做本地主动防御,是技术有问题吧。”
(笑)金山的防御理念和别的厂商有所不同,金山坚持自己的特色,我们的目标是让所有用户享有金山安全的技术成果,不想把门槛设定的 很 高。把客户端功能设计的很复杂,会增加用户的使用成本:总在回答yes or no的问题,用户说了,我买你的杀毒软件,就是让你帮我解决问题,你反过来问我干什么,我哪儿知道哪个该点yes,哪个又要点no.
事实上,不是金山排斥行为拦截,是我们认为行为拦截放在服务端能更好地帮助用户解决安全问题。金山在服务端部署了多款行为识别、启发式分析、沙盒、 虚拟化技术等人工智能鉴定工具,能在服务端自动化完成程 序善恶的鉴定,多种方法并行即提高了效率,也更准确。而在客户端是不可能部署这么多的技术识别方法的,客户端的电脑无法和服务器的性能相比,同时,客户端 在明处,病毒在暗处,病毒作者可以很容易找到绕过或对抗的方法,而这些办法对于金山的云端行为识别就毫无办法。
“云服务器会不会中毒啊,要是一中毒,用户会不会都给害了”
这个不用担心,云端的鉴定器都在特别的环境运行, 不会受病毒之害,客户端只访问云端鉴定的成果,更没有机会受害。
服务器的安全非常重要,这些金山的技术人员已经做好充分的准备。