注册 登录  
 加关注
   显示下一条  |  关闭
温馨提示!由于新浪微博认证机制调整,您的新浪微博帐号绑定已过期,请重新绑定!立即重新绑定新浪微博》  |  关闭

金山印象

金山软件官方博客

 
 
 

日志

 
 

金山安全工程师详解云安全十二大质疑(二)  

2010-04-23 11:00:01|  分类: 默认分类 |  标签: |举报 |字号 订阅

  下载LOFTER 我的照片书  |

  作者:李铁军 金山软件 · 北京
  接上文:金山安全工程师详解云安全十二大质疑(一)

  云安全会不会引起隐私问题,会把我做的电子相册给传上去吗?
  金山安全只会收集二进制程序文件,对于用户的数据文件,硬件信息,全无兴趣。金山毒霸倡导的云安全体系,客户端上传只是获取样本的通道之一,金山的样本获取,更多是靠服务器爬虫抓取;靠服务器的鹰眼系统自动跟踪病毒木马作者的下载源。当某用户的电脑上出现一个全新的二进制文件特征(请注意,是文件特征,而非文件本身),云安全服务器中没有找到这个文件的任何信息,当文件比较小时(1MB以下,大个儿的病毒也有,但非常少),客户端会上传。
  用户制作的电子相册,除非是采用前所未有的工具制作,一般的工具软件制作的相册都已在金山云安全库中留下记录,是不会上传的。
  隐私问题是金山特别关注的重大问题,我们不会拿公司的商誉开玩笑,尊重用户的隐私权利。

  我所认为的“云”就是指所有终端的后方都有共同的病毒库服务器,只要有一个或者一些电脑同时发生危险,可以及时把危险报告在病毒库服务器,然后实时更新,让所有的终端能拦截这种危险?
  不,这不是云安全,这是一个放大了的网络版杀毒软件,离我们的防毒理念差距甚远。金山的云安全包含一些庞大的系统,样本收集只是其中一个环节。并且,我们并不依赖于客户端的收集功能。现在是过渡时期,消费者接受一个完全不需要升级的云杀毒软件还有一些障碍,因此,我们目前还是提供升级病毒库的功能。未来的病毒特征库是完全可以放在云端的,用户任何时候只要能联网,就能获得全新的病毒防护能力。

  云防御的耗费流量的问题,云的误判排除,出现误报怎么办,出现病毒程序报无威胁怎么办?以后是不是有开发云HIPS的必要?
  云安全当然要消耗网络流量,但我们知道威胁来源于非正常程序文件,一台电脑上的非正常程序文件是比较少的,我们只是将这些文件的特征发送到云服务器查询,这些特征只有几个字节,比传统的下载病毒特征库的升级方式需要的流量要小得多。它甚至比你通过QQ聊天发送的字节数还要小。
  云安全的海量分析决定了这种方式的误报或漏报概率非常小。关于HIPS,或其它主动防御技术,我们是把这些技术应用在服务端的,金山在云安全服务端部署了超过20种人工智能鉴定器,包含启发式分析、沙盒、虚拟化、行为分析、API序列分析等等。多种方法并行,相互纠错,改良算法,还可以不断增加新鉴定方法。这些系统远比任何普通客户机复杂,是不可能部署在客户端的。部署在服务端也有一个明显的好处:病毒作者完全不知道金山用什么办法识别病毒,也就无法拿出针对性的对抗或绕过或反制的措施。
  我们认为把“是否应该选择哪个按钮”交给普通用户不能算完美的防御方案,因这些提示,大部分普通用户看不懂。

  云安全扫描的响应速度有多快,会不会受网速的影响,导致检测的速度变慢?
  金山云安全体系充分考虑了客户端查询的负载,在执行云查杀时,客户端发送的特征数据量非常少,这只需要消耗不多的服务器带宽。金山的云安全服务器可以承受峰值千万计的瞬间查询,对于每个查询的响应时间以毫秒计。在有用户实际测试金山毒霸扫描速度时,发现联网状态比断网状态扫描速度快了一倍,这得益于云安全服务器的高性能和正常文件白名单的强大。
  说到响应速度,更重要的是,当一个新的威胁在互联网出现时,所有金山毒霸具备群防能力的响应时间。我们目前可以做到在1分钟内识别95%的样本,再迅速将识别结果同步到外网,这样,当一个全新的威胁出现时,只需要几分钟时间,全体在线的金山毒霸用户即可获得对该病毒的防御能力。
  其它剩下的样本,通过多种方法最终完成鉴定最长不过一天的。和病毒木马传播链作战,最终拼的就是响应能力。

  云安全不是金山一个厂商在提,金山如何确保竞争优势?

  有些人讲的云安全仅仅是样本收集,而这些东西,金山早在3年前已经具有丰富的经验了。最初收集的结果是,样本量爆增,曾经达到峰值一天100万个,平均30万个。 这个数字让程序员即兴奋又沮丧:兴奋的是,开辟新的样本收集通道可以收集大量可疑文件;沮丧的是,收集的文件太多,超出了分析处理的能力。
  那么,最重要的地方就是云端鉴定。这么多的样本,怎么处理,这才是最关键的东西。有人说拿所有杀毒软件查查就是了,有报毒的就加库,但很明显,这样做,你的误报概率是所有杀毒软件的总和。今天,金山在云端的鉴定器已经超过了20种,这些鉴定器并行计算,95%的样本可以在1分钟内得到结果。
  金山的优势在于,我们是最早展开云安全项目,其它厂商折腾云安全时遇到的种种难题,金山早已经历过了:样本的处理、服务器的稳定性、能不能做到实时更新。非专业安全厂商追上来,还需要时间。

  金山不做本地主动防御,是技术有问题吧?
  金山的防御理念和别的厂商有所不同,金山坚持自己的特色,我们的目标是让所有用户享有金山安全的技术成果,不想把门槛设定的很高。把客户端功能设计的很复杂,会增加用户的使用成本:总在回答yes or no的问题,用户说了,我买你的杀毒软件,就是让你帮我解决问题,你反过来问我干什么,我哪儿知道哪个该点yes,哪个又要点no.
  事实上,不是金山排斥行为拦截,是我们认为行为拦截放在服务端能更好地帮助用户解决安全问题。金山在服务端部署了多款行为识别、启发式分析、沙盒、虚拟化技术等人工智能鉴定工具,能在服务端自动化完成程序善恶的鉴定,多种方法并行即提高了效率,也更准确。而在客户端是不可能部署这么多的技术识别方法的,客户端的电脑无法和服务器的性能相比,同时,客户端在明处,病毒在暗处,病毒作者可以很容易找到绕过或对抗的方法,而这些办法对于金山的云端行为识别就毫无办法。

  云服务器会不会中毒啊,要是一中毒,用户会不会都给害了?
  这个不用担心,云端的鉴定器都在特别的环境运行,不会受病毒之害,客户端只访问云端鉴定的成果,更没有机会受害。
服务器的安全非常重要,这些金山的技术人员已经做好充分的准备。

  可信云安全还能做什么?是不是只能用于文件鉴定?
  这是个很有意思的话题,现在公众看到的可信云安全主要用在文件鉴定方面,而实际上这一理论完全可以指导我们达到安全上网的目标。
  目前,用户上网实际上面监三大威胁:1是网页挂马,一个有害的链接,有漏洞的机器点击就中毒;2是钓鱼欺诈类网站,骗子做的网站,不小心点进去就上当;3.有害的URL链接,有人从这里下载过病毒,还让其它人中招么?!解决了这三个问题,基本就解决了上网安全的问题。
  现在头两个威胁,基本上已经不能对金山的用户构成现实的威胁。安装了金山网盾的机器,点击URL,绝不会被挂马网站攻击成功。同时,金山网盾拦截钓鱼网站的能力也得到极大的提升,这就得益于我们服务端的自动URL收集和快速鉴别,我们的服务端软件鉴定钓鱼网站的能力得到迅速提升。目前,云安全数据库已经在大量收集和鉴定欺诈下载、病毒下载等恶意URL库,文件云安全库和网址云安全库的联动,某URL只要下载过恶意文件,将通过金山网盾客户端拦截其它用户的下载,尽可能减少病毒木马到达最终用户的概率。

 

  评论这张
 
阅读(142)| 评论(0)
推荐 转载

历史上的今天

评论

<#--最新日志,群博日志--> <#--推荐日志--> <#--引用记录--> <#--博主推荐--> <#--随机阅读--> <#--首页推荐--> <#--历史上的今天--> <#--被推荐日志--> <#--上一篇,下一篇--> <#-- 热度 --> <#-- 网易新闻广告 --> <#--右边模块结构--> <#--评论模块结构--> <#--引用模块结构--> <#--博主发起的投票-->
 
 
 
 
 
 
 
 
 
 
 
 
 
 

页脚

网易公司版权所有 ©1997-2017