套用别人一句话：新技术革新到来之时，总会面对传统思维的各种质疑。金山毒霸“可信云安全”计划实施4年来，同样面临业界各种不同的声音。有人直接在微博中说，云安全都是骗人的，而这些人从来也不去真的审视这个正在发生着变化的安全世界。

　　在微博、在论坛、在博客，我们看到各种各样关于云安全体系的见解和说法，我们非常兴奋地发现有一批普通的网友对金山的“可信云安全”寄于厚望，他们兴奋地憧憬着云安全的未来，面向他的朋友介绍着云安全带来的种种好处。

　　这里，金山安全工程师将自己看到的各方面有关云安全的争议的声音逐一解释，力求让公众更多地了解金山“可信云安全”倡导的安全技术变革。

　　“金山可信云安全”到底是什么?能给用户切实的好处吗?

　　云安全，这个技术名词，有人认为是噱头，是安全厂商在骗人。而事实上，面对恶意软件的疯狂增长，传统的特征库升级这种方式已经穷途末路，网络安全的现状要求杀毒软件需要建立更快的响应机制。云安全从早期的探索到部分厂商跟进，再到全行业共识已经走过了三代发展历程。

 

主要职能

优点

缺点

第一代云安全

样本收集

可以获得大量样本

只有客户端的样本收集功能，升级数据仍然需要分发，只是放大了的网络版杀毒软件

第二代云安全

样本收集 +MD5 云端匹配

收集了大量样本，但缺乏迅速有效的鉴定工具，只能靠 MD5 匹配来弥补。

客户端计算 MD5 的消耗较高， MD5 匹配只能是一对一匹配，效率低。

第三代可信云安全

云端收集 + 自动识别鉴定，云端鉴定器可随时增加。客户端提交几个字节的 DNA 指纹数据到云端匹配，是将传统杀毒引擎和互联网应用相结合的产物。

云端鉴定器灵活部署，自动鉴定，秒级更新。客户端可相当简洁，只需要提交可疑文件几个字节的数据到服务端匹配。

暂无

　　再看金山“可信云安全的体系”结构：本地蓝芯II+云端的紧密结合。本地客户端可以优化到很小，以提高性能、减少资源消耗。云端自动完成样本收集、鉴定和实时响应。金山的可信云安全真正的将云安全的技术应用到安全产品中，并让用户能够非常切实的感受到云安全带来的变化，这正是第三代云安全的精髓所在。

　　用户端的杀毒软件对升级的需求降低，传统杀毒软件落后的更新机制不复存在。用户不再需要隔一段时间就升级一次，下载若干病毒特征库。因为只要联网，本地杀毒软件即可获得最新的云端的数据库，也就具备对抗最新病毒木马的能力。而金山“可信云安全”还有一个特别的地方，是将行为拦截放在云端完成。传统的主动防御客户端会让最终用户难以理解，恶意软件绕过防御、进行针对性的对抗相对比较容易。而放在云端则对病毒木马作者完全不可见，很难采取措施绕过或对抗。

　　恶意软件如果切断了网络，云安全是不是就抓瞎了?

　　当然，如果你故意拔掉网线，云安全就帮不上你什么忙了。但是，目前在我们所侦测到的病毒事件中，几乎没有以破坏网络连接为目的的。这里面有两个理由：1.病毒也需要借助网络进行传播，切断网络，病毒自身传播通道也切断了;2.病毒木马入侵的目的，是为了窃取用户资料或实施盗窃，网断了，传播病毒的人也将一无所获。

　　所以，至少我们知道，恶意软件故意破坏网络的，非常少见。并且，一般的网络故障，完全是可以通过客户端杀毒软件来修复的，保证网络畅通，这不是难题。

　　断网之后，云查杀，还能不能工作?

　　瞧，又有朋友说万一断网之后怎么办了。

　　为应对这些疑问，金山毒霸2011中默认是使用云端的数据库，但本地还有一个危害严重分布广泛的流行病毒库和本地白名单库，依靠这两个库即使在断网的情况下也会提供一定的安全保障，能防范流行病毒攻击。

　　如果某些用户觉得不太放心，还可以选择将一个相对完整的特征库文件下载到本地缓存起来。断网时，可以使用本地缓存的病毒特征库进行查杀。但此时，如果网络是通畅的，仍然会使用云查杀。

　　断网后，金山毒霸2011云防御，还能不能防得住?

　　又是断网的!

　　再次说明，现阶段完全不能上网是个概率非常小的事件(在我国，宽带已经普及到西部的乡镇，知道电脑是怎么回事儿的地方，基本都能上ADSL宽带，这年头买的电脑里，可曾发现史前怪物：调制解调器?)，并且在这种情况下，你使用普通杀毒软件一样上不了网，一样升级不了，一样处理不了新病毒。

　　再退一步讲，假如你的网络连接不是很稳定，你也可以参考前面说的，把一个相对完整的特征库下载到本地使用。同样的，只要你的电脑能联网，你一定可以感受到云安全给你带来的高清除率和高速查杀。

　　云安全会不会引起隐私问题，会把我做的电子相册给传上去吗?

　　金山安全只会收集二进制程序文件，对于用户的数据文件，硬件信息，全无兴趣。金山毒霸倡导的云安全体系，客户端上传只是获取样本的通道之一，金山的样本获取，更多是靠服务器爬虫抓取;靠服务器的鹰眼系统自动跟踪病毒木马作者的下载源。当某用户的电脑上出现一个全新的二进制文件特征(请注意，是文件特征，而非文件本身)，云安全服务器中没有找到这个文件的任何信息，当文件比较小时(1MB以下，大个儿的病毒也有，但非常少)，客户端会上传。

　　用户制作的电子相册，除非是采用前所未有的工具制作，一般的工具软件制作的相册都已在金山云安全库中留下记录，是不会上传的。

　　隐私问题是金山特别关注的重大问题，我们不会拿公司的商誉开玩笑，尊重用户的隐私权利。

　　我所认为的“云”就是指所有终端的后方都有共同的病毒库服务器，只要有一个或者一些电脑同时发生危险，可以及时把危险报告在病毒库服务器，然后实时更新，让所有的终端能拦截这种危险?

　　不，这不是云安全，这是一个放大了的网络版杀毒软件，离我们的防毒理念差距甚远。金山的云安全包含一些庞大的系统，样本收集只是其中一个环节。并且，我们并不依赖于客户端的收集功能。现在是过渡时期，消费者接受一个完全不需要升级的云杀毒软件还有一些障碍，因此，我们目前还是提供升级病毒库的功能。未来的病毒特征库是完全可以放在云端的，用户任何时候只要能联网，就能获得全新的病毒防护能力。

　　云防御的耗费流量的问题，云的误判排除，出现误报怎么办，出现病毒程序报无威胁怎么办?以后是不是有开发云HIPS的必要?

　　云安全当然要消耗网络流量，但我们知道威胁来源于非正常程序文件，一台电脑上的非正常程序文件是比较少的，我们只是将这些文件的特征发送到云服务器查询，这些特征只有几个字节，比传统的下载病毒特征库的升级方式需要的流量要小得多。它甚至比你通过QQ聊天发送的字节数还要小。

　　云安全的海量分析决定了这种方式的误报或漏报概率非常小。关于HIPS，或其它主动防御技术，我们是把这些技术应用在服务端的，金山在云安全服务端部署了超过20种人工智能鉴定器，包含启发式分析、沙盒、虚拟化、行为分析、API序列分析等等。多种方法并行，相互纠错，改良算法，还可以不断增加新鉴定方法。这些系统远比任何普通客户机复杂，是不可能部署在客户端的。部署在服务端也有一个明显的好处：病毒作者完全不知道金山用什么办法识别病毒，也就无法拿出针对性的对抗或绕过或反制的措施。

　　我们认为把“是否应该选择哪个按钮”交给普通用户不能算完美的防御方案，因这些提示，大部分普通用户看不懂。

　　云安全扫描的响应速度有多快，会不会受网速的影响，导致检测的速度变慢?

　　金山云安全体系充分考虑了客户端查询的负载，在执行云查杀时，客户端发送的特征数据量非常少，这只需要消耗不多的服务器带宽。金山的云安全服务器可以承受峰值千万计的瞬间查询，对于每个查询的响应时间以毫秒计。在有用户实际测试金山毒霸扫描速度时，发现联网状态比断网状态扫描速度快了一倍，这得益于云安全服务器的高性能和正常文件白名单的强大。

　　说到响应速度，更重要的是，当一个新的威胁在互联网出现时，所有金山毒霸具备群防能力的响应时间。我们目前可以做到在1分钟内识别95%的样本，再迅速将识别结果同步到外网，这样，当一个全新的威胁出现时，只需要几分钟时间，全体在线的金山毒霸用户即可获得对该病毒的防御能力。

　　其它剩下的样本，通过多种方法最终完成鉴定最长不过一天的。和病毒木马传播链作战，最终拼的就是响应能力。

　　云安全不是金山一个厂商在提，金山如何确保竞争优势?

　　有些人讲的云安全仅仅是样本收集，而这些东西，金山早在3年前已经具有丰富的经验了。最初收集的结果是，样本量爆增，曾经达到峰值一天100万个，平均30万个。 这个数字让程序员即兴奋又沮丧：兴奋的是，开辟新的样本收集通道可以收集大量可疑文件;沮丧的是，收集的文件太多，超出了分析处理的能力。

　　那么，最重要的地方就是云端鉴定。这么多的样本，怎么处理，这才是最关键的东西。有人说拿所有杀毒软件查查就是了，有报毒的就加库，但很明显，这样做，你的误报概率是所有杀毒软件的总和。今天，金山在云端的鉴定器已经超过了20种，这些鉴定器并行计算，95%的样本可以在1分钟内得到结果。

　　金山的优势在于，我们是最早展开云安全项目，其它厂商折腾云安全时遇到的种种难题，金山早已经历过了：样本的处理、服务器的稳定性、能不能做到实时更新。非专业安全厂商追上来，还需要时间。

　　金山不做本地主动防御，是技术有问题吧?

　　金山的防御理念和别的厂商有所不同，金山坚持自己的特色，我们的目标是让所有用户享有金山安全的技术成果，不想把门槛设定的很高。把客户端功能设计的很复杂，会增加用户的使用成本：总在回答yes or no的问题，用户说了，我买你的杀毒软件，就是让你帮我解决问题，你反过来问我干什么，我哪儿知道哪个该点yes，哪个又要点no.

　　事实上，不是金山排斥行为拦截，是我们认为行为拦截放在服务端能更好地帮助用户解决安全问题。金山在服务端部署了多款行为识别、启发式分析、沙盒、虚拟化技术等人工智能鉴定工具，能在服务端自动化完成程序善恶的鉴定，多种方法并行即提高了效率，也更准确。而在客户端是不可能部署这么多的技术识别方法的，客户端的电脑无法和服务器的性能相比，同时，客户端在明处，病毒在暗处，病毒作者可以很容易找到绕过或对抗的方法，而这些办法对于金山的云端行为识别就毫无办法。

　　云服务器会不会中毒啊，要是一中毒，用户会不会都给害了?

　　这个不用担心，云端的鉴定器都在特别的环境运行，不会受病毒之害，客户端只访问云端鉴定的成果，更没有机会受害。

　　服务器的安全非常重要，这些金山的技术人员已经做好充分的准备。

　　可信云安全还能做什么?是不是只能用于文件鉴定?

　　这是个很有意思的话题，现在公众看到的可信云安全主要用在文件鉴定方面，而实际上这一理论完全可以指导我们达到安全上网的目标。

　　目前，用户上网实际上面监三大威胁：1是网页挂马，一个有害的链接，有漏洞的机器点击就中毒;2是钓鱼欺诈类网站，骗子做的网站，不小心点进去就上当;3.有害的URL链接，有人从这里下载过病毒，还让其它人中招么?!解决了这三个问题，基本就解决了上网安全的问题。

　　现在头两个威胁，基本上已经不能对金山的用户构成现实的威胁。安装了金山网盾的机器，点击URL，绝不会被挂马网站攻击成功。同时，金山网盾拦截钓鱼网站的能力也得到极大的提升，这就得益于我们服务端的自动URL收集和快速鉴别，我们的服务端软件鉴定钓鱼网站的能力得到迅速提升。目前，云安全数据库已经在大量收集和鉴定欺诈下载、病毒下载等恶意URL库，文件云安全库和网址云安全库的联动，某URL只要下载过恶意文件，将通过金山网盾客户端拦截其它用户的下载，尽可能减少病毒木马到达最终用户的概率。