云安全

　　当前，云安全已经成为信息安全界的热门话题。随着安全形势的发展，云安全的内涵在不断演变，新技术、新方案不断被整合入云安全的大概念之中。对企业用户而言，伴随全新一代云安全2.0的技术体系逐渐浮出水面，用户自身的安全防御部署也随之出现新的变革：利用云技术，促进终端安全防御已经成为全新的体验。

　　说到云安全2.0，其实圈内人士都明白，任何一种新技术的出现并非一蹴而就。对安全部署而言，目前的云安全2.0体系是从传统的云安全方案中升级而来，通过添加云客户端文件信誉技术、威胁发现管理技术、终端安全管理技术，全新的云安全2.0技术体系对企业用户的终端安全保护与响应更加到位。

　　看点一：云客户端文件信誉技术

　　此前趋势科技中国区总经理张伟钦在接受本报独家专访时表示，云客户端文件信誉代表了过去 25 年内流行的反恶意软件处理技术的根本性转变。归根结底，这项技术出现的根本原因是为了对付新出现的恶意威胁，也就是海量威胁。

　　对此，梭子鱼中国区总经理何平介绍说，海量威胁是一种新型威胁，其特点是：数量成指数形式增长，此类新型恶意软件需要由反恶意软件防护解决方案来识别和处理，方可确保用户得到持续保护而又不会影响正常的业务活动。

　　根据IDC的统计，截至到20##年初，全球大约每小时就会增加850个新的恶意软件。预计到20##年，此数量会持续上升，大约每小时就会有26000个新的恶意软件。

　　“鉴于此，企业用户迫切需要一种新型的反恶意软件防护基础设施，该设施可以成功对付新出现的海量威胁，避免自身受损，并能将此恶意软件对业务操作的影响降至最低。换句话说，云客户端文件信誉技术就这样应运而生了。”张伟钦如是说。

　　记者的看法是，当前的云客户端文件信誉还属于一种文件信誉类型，或称之为黑名单拦截机制。这种技术采用传统的反恶意软件的防护措施并在云中定义反恶意软件，以减少采用重复和增加的传输模式对客户网络的影响。

　　事实上，云客户端文件信誉技术将文件与客户端扫描分开，确保扫描服务可以通过网络来进行模式查找，这样本地云扫描服务或者通过Internet的扫描服务都可以尽可能地发挥作用。这样一来，也解决了将信息更新数量扩展到网络中大量终端系统的问题。一旦新的内容在扫描服务器上进行了更新，所有企业用户就可立即通过扫描服务器获得保护。

　　总的来看，主流的安全厂商将会拥有多种类型的文件信誉技术，不同产品之间的文件信誉技术也不尽相同，但该技术充分运用了以云安全为基础的威胁防护存储信息和高效的客户端智能过滤，因此所有的文件信誉技术都属于云安全2.0的范畴。

　　看点二：威胁发现管理技术

　　当前，由于网络安全所受威胁越来越复杂，工作场所数据泄漏的问题层出不穷。一些传统的安全技术，如防火墙、IPS\IDS、VPN等着重防范外部威胁进入企业网络，而不能有效地防御因公司员工浏览受感染的网页、访问Web邮件或使用IM软件导致企业网络被入侵而产生的内部威胁。

　　根据趋势科技公布的调查报告，截至到今年二季度，全球范围内企业内部的终端用户在工作时间会比在家时更有可能参与高风险在线活动，如打开未知邮件附件或点击恶意链接等。显然，员工在上班时没有正确认识网络安全问题。

　　此外，根据美国《Network World》的报道，网络访问控制等安全解决方案强调评估、鉴定公司员工端点的初始状态。一旦用户经首次核准，将不再对其进行监控，那么用户同样可以对网络作出恶意行为。如果公司员工未意识到这些恶意行为的危险后果，则有可能违反安全规定，导致数据损失。此外，当今“无界限”的企业可以在全球范围内自由分享员工及合作伙伴的信息，这无疑进一步加重了安全风险。

　　此前Wedge Networks全球CEO张鸿文博士向记者透露，目前开展安全变革的条件已经成熟。他强调说，如果对入侵原因及其精确位置的能见度不足，企业的信息技术部门就不能确定最适当的补救办法。为了有效地增加覆盖面，安全技术人员需要获取更多信息。

　　事实上，如果通过IT技术了解到大部分威胁经由网关产生，则企业应安装适当的网关保护程序。不难看出，企业需要一个“安全预警系统”，以便精确地标识新的已知恶意软件并测量已经发生的损害程度。此外，企业还需要一个能够修补、管理网络威胁的系统，以确保适当、迅速地修复并及时发送报告，确定预防威胁的方法。显然，这些需求都已经被云安全2.0技术体系所包容。

　　对此张伟钦的看法是，只有引进了威胁发现管理技术，才能满足企业检测、降低并管理网络内部威胁的需求。而通过云计算的平台，企业可以迅速、有效地处理恶意软件，大量减少网络损害控制成本并提高整体安全水平。

　　据介绍，目前云安全2.0体系中集成的威胁发现管理技术分为三大阶段：第一，发现阶段，检测网络内部安全威胁;第二，管理阶段，利用云安全技术架构进行关联性分析，广泛识别恶意行为，发现威胁根源，追踪并提供威胁分析;第三，反馈阶段，充分利用云安全技术对最新出现的安全威胁进行识别和反馈，通过云端的安全中心，获得详细而及时的防御支持。

　　记者发现，在当前的体系结构中，威胁探测与威胁发现管理通常配合工作，以便监控网络中的可疑行为，从而检测出传统基于模式匹配而不能发现的恶意软件。新技术可以标记扩散或感染其他用户的恶意软件，包括引起内部资料外泄或从恶意源接收指令(如僵尸网络)的隐藏恶意软件。

　　此外，云安全2.0体系中涵盖的网络内容检测技术，可以在威胁探测器提供的网络协议与应用程序基础上，检测网络流量。这样一来，新的云安全体系就可以通过网络协议层检测出大量存在潜在破坏性特征的应用程序，同时确保网络服务不受任何干扰。

　　看点三：终端安全管理技术

　　IDC在今年六月份公布的安全报告中指出，恶意软件已然变成一个复杂的、具有良好组织性的行业，并且以盈利为目的。在企业内部，终端用户最能感受到这一点。大量的黑客认识到，传统的终端安全方法开始无力反击如此之高的威胁数量：企业疲于应付规模更大、更加频繁的特征码更新，而用户则因为企业在处理威胁过程中可用资源的减少而感到失望。这些问题共同构成了一场大风暴，为针对性攻击和数据盗窃提供了一个理想的环境。

　　基于此，在过去几年中，企业终端安全市场整体上处于飞速发展过程中。然而张伟钦强调，终端产品目前体现出大量的复杂度特征，企业的IT经理会发现他们正在受到安全解决方案的复杂度困扰。

　　在采访中记者发现，对企业终端安全而言，IT部门在部署和管理大量终端的特征码文件更新时，挑战往往不容忽视。特别是一些移动性强、网络基础架构复杂、以及需要频繁维护的终端管理工作，都使得安全技术的效果大打折扣。

　　对此，新一代云安全2.0体系把云端与终端的保护与维护进一步提升了效率。云安全2.0体系无需与扫描引擎和特征码共处，它引入了一种新的协议，把在签名数据库中检查文件信息的负担转移至中央服务器，中央服务器可以放在企业网络(本地扫描服务器)中或由IDC进行托管。

　　记者的看法是，这种技术的改进非常有意义，很大程度上针对服务器的攻击都将会在云端被解决，甚至大量的特征码都无需传输到客户网络中的每一个终端中去，从而节省了大量时间和精力。

　　对此，张伟钦和张鸿文的看法如出一辙，他们认为，一套完整的云安全2.0体系需要从三方面入手，完善对终端安全的保护与管理。

　　第一，完善客户端。它是云安全2.0体系中的集中扫描组件，相当于传统内容扫描的特征码匹配引擎。客户端与扫描服务器互相合作，查询文件信息，以确定特征码和扫描文件的给定文件或文件片段是否受到感染;

　　第二，云安全查询过滤器。作为云安全2.0体系的主要支持技术，无需对其扫描的每个文件查询扫描服务器。云安全服务器可以准确地定位被扫描的文件中是否能够发现实际特征码。目前来看，云安全服务器不会产生漏报，而且误报率也很低;

　　第三，本地扫描服务器。该服务器安装在客户网络中，相当于一个数据库服务器，为云安全2.0体系提供查询服务。扫描服务器在特征码中搜索文件信息，确定被扫描的文件内容是否与给定的恶意软件签名匹配。如果必要，扫描服务器还会对客户端的云安全服务器生成更新信息。与独立终端上部署特征码相比，对这种更新更加有效。

　　云安全，从何而来?

　　紧随云计算、云存储之后，云安全也出现了。云安全最早是趋势科技创造的概念，在国际云计算领域独树一帜，并得到了众多安全厂商的跟随与认可。

　　“云安全(Cloud Security)”计划是网络时代信息安全的最新体现，它融合了并行处理、网格计算、未知病毒行为判断等新兴技术和概念，通过网状的大量客户端对网络中软件行为的异常监测，获取互联网中木马、恶意程序的最新信息，传送到Server端进行自动分析和处理，再把病毒和木马的解决方案分发到每一个客户端。

　　未来杀毒软件将无法有效地处理日益增多的恶意程序。来自互联网的主要威胁正在由电脑病毒转向恶意程序及木马，在这样的情况下，采用的特征库判别法显然已经过时。云安全技术应用后，识别和查杀病毒不再仅仅依靠本地硬盘中的病毒库，而是依靠庞大的网络服务，实时进行采集、分析以及处理。整个互联网就是一个巨大的“杀毒软件”，参与者越多，每个参与者就越安全，整个互联网就会更安全。

　　云安全的概念提出后，曾引起了广泛的争议，许多人认为它是伪命题。但事实胜于雄辩，云安全的发展像一阵风，趋势、卡巴斯基、MCAFEE、 SYMANTEC、江民科技、PANDA、金山、360安全卫士、等都推出了云安全解决方案。据悉，云安全可以支持平均每天55亿条点击查询，每天收集分析2.5亿个样本，资料库第一次命中率就可以达到99%。

第二篇：什么是云安全

什么是“云安全”？

紧随云计算、云存储之后，云安全也出现了。云安全是我国企业创造的概念，在国际云计算领域独树一帜。 “云安全（Cloud Security）”计划是网络时代信息安全的最新体现，它融合了并行处理、网格计算、未知病毒行为判断等新兴技术和概念，通过网状的大量客户端对网络中软件行为的异常监测，获取互联网中木马、恶意程序的最新信息，传送到Server端进行自动分析和处理，再把病毒和木马的解决方案分发到每一个客户端。 未来杀毒软件将无法有效地处理日益增多的恶意程序。来自互联网的主要威胁正在由电脑病毒转向恶意程序及木马，在这样的情况下，采用的特征库判别法显然已经过时。云安全技术应用后，识别和查杀病毒不再仅仅依靠本地硬盘中的病毒库，而是依靠庞大的网络服务，实时进行采集、分析以及处理。整个互联网就是一个巨大的“杀毒软件”，参与者越多，每个参与者就越安全，整个互联网就会更安全。

云安全的概念提出后，曾引起了广泛的争议，许多人认为它是伪命题。但事实胜于雄辩，云安全的发展像一阵风[1]，瑞星、趋势、卡巴斯基、MCAFEE、SYMANTEC、江民科技、PANDA、金山、360安全卫士、等都推出了云安全解决方案。瑞星基于云安全策略开发的2009新品，每天拦截数百万次木马攻击，其中1月8日更是达到了765万余次。趋势科技云安全已经在全球建立了5大数据中心，几万部在线服务器。据悉，云安全可以支持平均每天55亿条点击查询，每天收集分析2.5亿个样本，资料库第一次命中率就可以达到99%。借助云安全，趋势科技现在每天阻断的病毒感染最高达1000万次。

云安全思想的来源

云安全技术是P2P技术、网格技术、云计算技术等分布式计算技术混合发展、自然演化的结果。

云安全的过程

[5]值得一提的是，云安全的核心思想，与刘鹏早在20xx年就提出的反垃圾邮件网格非常接近[2][3]。刘鹏当时认为，垃圾邮件泛滥而无法用技术手段很好地自动过滤，是因为所依赖的人工智能方法不是成熟技术。垃圾邮件的最大

的特征是：它会将相同的内容发送给数以百万计的接收者。为此，可以建立一个分布式统计和学习平台，以大规模用户的协同计算来过滤垃圾邮件：首先，用户安装客户端，为收到的每一封邮件计算出一个唯一的“指纹”，通过比对“指纹”可以统计相似邮件的副本数，当副本数达到一定数量，就可以判定邮件是垃圾邮件；其次，由于互联网上多台计算机比一台计算机掌握的信息更多，因而可以采用分布式贝叶斯学习算法，在成百上千的客户端机器上实现协同学习过程，收集、分析并共享最新的信息。反垃圾邮件网格体现了真正的网格思想，每个加入系统的用户既是服务的对象，也是完成分布式统计功能的一个信息节点，随着系统规模的不断扩大，系统过滤垃圾邮件的准确性也会随之提高。用大规模统计方法来过滤垃圾邮件的做法比用人工智能的方法更成熟，不容易出现误判假阳性的情况，实用性很强。反垃圾邮件网格就是利用分布互联网里的千百万台主机的协同工作，来构建一道拦截垃圾邮件的“天网”。反垃圾邮件网格思想提出后，被IEEE Cluster 2003国际会议选为杰出网格项目在香港作了现场演示，在20xx年网格计算国际研讨会上作了专题报告和现场演示，引起较为广泛的关注，受到了中国最大邮件服务提供商网易公司创办人丁磊等的重视。既然垃圾邮件可以如此处理，病毒、木马等亦然，这与云安全的思想就相去不远了。

云安全系统的难点

要想建立“云安全”系统，并使之正常运行，需要解决四大问题：第一，需要海量的客户端（云安全探针）；第二，需要专业的反病毒技术和经验；第三，需要大量的资金和技术投入；第四，可以是开放的系统，允许合作伙伴的加入（不涉及用户隐私的情况下或征得用户同意）。

第一、 需要海量的客户端（云安全探针）。只有拥有海量的客户端，才能对互联网上出现的恶意程序，危险网站有最灵敏的感知能力。一般而言安全厂商的产品使用率越高，反映应当越快，最终应当能够实现无论哪个网民中毒、访问挂马网页，都能在第一时间做出反应。

第二、 需要专业的反病毒技术和经验。发现的恶意程序被探测到，应当在尽量短的时间内被分析，这需要安全厂商具有过硬的技术，否则容易造成样本的堆积，使云安全的快速探测的结果大打折扣。

第三、 需要大量的资金和技术投入。“云安全”系统在服务器、带宽等硬件需要极大的投入，同时要求安全厂商应当具有相应的顶尖技术团队、持续的研究花费。

第四、 可以是开放的系统，允许合作伙伴的加入。“云安全”可以是个开放性的系统，其“探针”应当与其他软件相兼容，即使用户使用不同的杀毒软件，也可以享受“云安全”系统带来的成果。

六个厂商云安全示例

ESET NOD32的云安全

来自于斯洛伐克的ESET NOD32早在20xx年，就在其高级启发式引擎中采用了该项技术，称之为ThreatSense.Net预警系统，并申请了专利。用户计算机作为ESET 云中的一个节点，ESET可以通过ThreatSense.Net预警系统了解用户安装使用软件的情况。当杀毒引擎发现某个软件非常可疑，但又不足以认定它是病毒时，ThreatSense.Net就会收集软件的相关信息，并与中心服务器交换资料，中心服务器通过所有收集到的资料便能够迅速准确的作出反馈。

金山毒霸“云安全”定义

金山毒霸“云安全”是为了解决木马商业化之后的互联网严峻的安全形势应运而生的一种全网防御的安全体系结构。它包括智能化客户端、集群式服务端和开放的平台三个层次。“云安全”是现有反病毒技术基础上的强化与补充，最终目的是为了让互联网时代的用户都能得到更快、更全面的安全保护。

首先稳定高效的智能客户端，它可以是独立的安全产品，也可以作为与其他产品集成的安全组件，比如金山毒霸2009和百度安全中心等，它为整个云安全体系提供了样本收集与威胁处理的基础功能;

其次服务端的支持，它是包括分布式的海量数据存储中心、专业的安全分析服务以及安全趋势的智能分析挖掘技术，同时它和客户端协作，为用户提供云安全服务;

最后，云安全以一个开放性的安全服务平台作为基础，它为第三方安全合作伙伴提供了与病毒对抗的平台支持。金山毒霸云安全既为第三方安全合作伙伴用户提供安全服务，又靠和第三方安全合作伙伴合作来建立全网防御体系。使得每个用户都参与到全网防御体系中来，遇到病毒也将不再是孤军奋战。

金山毒霸“云安全”的体系结构

1.可支撑海量样本存储及计算的水银平台

2.互联网可信认证服务

3.爬虫系统

趋势科技——在Web威胁到达之前予以阻止

趋势科技SecureCloud云安全6大杀手锏：

1.Web信誉服务

借助全球最大的域信誉数据库之一，趋势科技的Web信誉服务按照恶意软件行为分析所发现的网站页面、历史位置变化和可疑活动迹象等因素来指定信誉分数，从而追踪网页的可信度。然后将通过该技术继续扫描网站并防止用户访问被感染的网站。为了提高准确性、降低误报率，趋势科技Web信誉服务为网站的特定网页或链接指定了信誉分值，而不是对整个网站进行分类或拦截，因为通常合法网站只有一部分受到攻击，而信誉可以随时间而不断变化。

通过信誉分值的比对，就可以知道某个网站潜在的风险级别。当用户访问具有潜在风险的网站时，就可以及时获得系统提醒或阻止，从而帮助用户快速地确认目标网站的安全性。通过Web信誉服务，可以防范恶意程序源头。由于对零日攻击的防范是基于网站的可信程度而不是真正的内容，因此能有效预防恶意软件的初始下载，用户进入网络前就能够获得防护能力。

2.电子邮件信誉服务

趋势科技的电子邮件信誉服务按照已知垃圾邮件来源的信誉数据库检查IP地址，同时利用可以实时评估电子邮件发送者信誉的动态服务对IP地址进行验证。信誉评分通过对IP地址的“行为”、“活动范围”以及以前的历史进行不断的分析而加以细化。按照发送者的IP地址，恶意电子邮件在云中即被拦截，从而防止僵尸或僵尸网络等web威胁到达网络或用户的计算机。

3.文件信誉服务

现在的趋势科技云安全将包括文件信誉服务技术，它可以检查位于端点、服务器或网关处的每个文件的信誉。检查的依据包括已知的良性文件清单和已知的恶性文件清单，即现在所谓的防病毒特征码。高性能的内容分发网络和本地缓冲服务器将确保在检查过程中使延迟时间降到最低。由于恶意信息被保存在云中，因此可以立即到达网络中的所有用户。而且，和占用端点空间的传统防病毒特征码文件下载相比，这种方法降低了端点内存和系统消耗。

4.行为关联分析技术

趋势科技云安全利用行为分析的“相关性技术”把威胁活动综合联系起来，确定其是否属于恶意行为。Web威胁的单一活动似乎没有什么害处，但是如果同时进行多项活动，那么就可能会导致恶意结果。因此需要按照启发式观点来判断是否实际存在威胁，可以检查潜在威胁不同组件之间的相互关系。通过把威胁的不同部分关联起来并不断更新其威胁数据库，使得趋势科技获得了突出的优势，即能够实时做出响应，针对电子邮件和Web威胁提供及时、自动的保护。

5.自动反馈机制

趋势科技云安全的另一个重要组件就是自动反馈机制，以双向更新流方式在趋势科技的产品及公司的全天候威胁研究中心和技术之间实现不间断通信。通过检查单个客户的路由信誉来确定各种新型威胁，趋势科技广泛的全球自动反馈机制的功能很像现在很多社区采用的“邻里监督”方式，实现实时探测和及时的“共同智能”保护，将有助于确立全面的最新威胁指数。单个客户常规信誉检查发现的每种新威胁都会自动更新趋势科技位于全球各地的所有威胁数据库，防止以后的客户遇到已经发现的威胁。

6.威胁信息汇总

来自美国、菲律宾、日本、法国、德国和中国等地研究人员的研究将补充趋势科技的反馈和提交内容。在趋势科技防病毒研发暨技术支持中心TrendLabs，各种语言的员工将提供实时响应，24/7的全天候威胁监控和攻击防御，以探测、预防并清除攻击。

趋势科技综合应用各种技术和数据收集方式——包括“蜜罐”、网络爬行器、客户和合作伙伴内容提交、反馈回路以及TrendLabs威胁研究——趋势科技能够获得关于最新威胁的各种情报。通过趋势科技云安全中的恶意软件数据库以及TrendLabs研究、服务和支持中心对威胁数据进行分析。

卡巴斯基--全功能安全防护：无缝透明安全体系的搭建

卡巴斯基的全功能安全防护旨在为互联网信息搭建一个无缝透明的安全体系：

1.针对互联网环境中类型多样的信息安全威胁，卡巴斯基实验室以反恶意程序引擎为核心，以技术集成为基础，实现了信息安全软件的功能平台化。系统安全、在线安全、内容过滤和反恶意程序等核心功能可以在全功能安全软件的平台上实现统一、有序和立体的安全防御，而不是不同类型和功能的产品的杂凑;

2.在强大的后台技术分析能力和在线透明交互模式的支持下，卡巴斯基全功能安全软件2009可以在用户“知情并同意(Awareness&Approval)”的情况下在线收集、分析(OnlineRealtimeCollecting&Analysing)用户计算机中可疑的病毒和木马等恶意程序样本，并且通过平均每小时更新1次的全球反病毒数据库进行用户分发(InstantSolutionDistribution)。从而实现病毒及木马等恶意程序的在线收集、即时分析及解决方案在线分发的“卡巴斯基安全网络”，即“云安全”技术。卡巴斯基全功能安全软件2009通过“卡巴斯基安全网络”，将“云安全”技术透明地应用于广大计算机用户，使得全球的卡巴斯基用户组成了一个具有超高智能的安全防御网，能够在第一时间对新的威胁产生免疫力，杜绝安全威胁的侵害。"卡巴斯基安全网络"经过了卡巴斯基实验室长期的研发和测试，具有极高的稳定性和成熟度。因此，才能够率先在全功能安全软件2009正式版的产品中直接为用户提供服务。

3.通过扁平化的服务体系实现用户与技术后台的零距离对接。卡巴斯基拥有全球领先的恶意程序样本中心及恶意程序分析平台，每小时更新的反病毒数据库能够保障用户计算机的安全防御能力与技术后台的零距离对接。在卡巴斯基的全功能安全的防御体系中，所有用户都是互联网安全的主动参与者和安全技术革新的即时受惠者。 McAfee推云安全

著名安全厂商McAfee宣布，将推出基于云计算的安全系统Artemis。该系统能够保护计算机免受病毒、木马或其他安全威胁的侵害。

McAfee旗下AvertLabs的研究人员表示，该系统能够缩短收集、检测恶意软件的时间，及配置整个解决方案的时间。

随着安全系统的发展，这一时间已经从以往的几天减少到数小时，目前又下降到"数毫秒"。

AvertLabs安全研究及通信主管DaveMarcus表示："Artemis系统管理一个窗口，企业用户的所有活动都在该窗口中进行，而该窗口将会持续分析有无恶意软件。Artemis的目的是为了使所用时间最小化。"

传统安全系统使用威胁签名数据库来管理恶意软件信息，而作为一款云计算服务，Artemis可以在签名文件尚未发布之前就对威胁作出反应。

Marcus表示，AvertLabs研究人员每周会发现上万个新的签名文件。如果用户电脑装有Artemis系统，那么一旦电脑被检测到存在可疑文件，那么会立刻与McAfee服务器联系，以确定可疑文件是否是恶意的。通过这一方式，McAfee还能利用所收集的数据为企业提供定制的安全解决方案。

专家表示，Artemis能够提供实时的安全保护。而在传统的基于签名的安全系统中，发现安全威胁和采取保护措施之间往往存在时间延迟。

IDC安全产品研究主管CharlesKolodgy表示："传统的基于签名的恶意软件检测方式存在不足。随着用户行为的改变，安全威胁也在改变，恶意软件检测技术总体上来看没有保持同步发展。"

瑞星“云安全”计划白皮书

“云安全”(CloudSecurity)计划：将用户和瑞星技术平台通过互联网紧密相连，组成一个庞大的木马/恶意软件监测、查杀网络，每个“瑞星卡卡6.0”用户都为“云安全”(CloudSecurity)计划贡献一份力量，同时分享其他所有用户的安全成果。

“瑞星卡卡6.0”的“自动在线诊断”模块，是“云安全”(CloudSecurity)计划的核心之一，每当用户启动电脑，该模块都会自动检测并提取电脑中的可疑木马样本，并上传到瑞星“木马/恶意软件自动分析系统”(RsAutomatedMalwareAnalyzer，简称RsAMA)，整个过程只需要几秒钟。随后RsAMA将把分析结果反馈给用户，查杀木马病毒，并通过“瑞星安全资料库”(RisingSecurityDatabase，简称RsSD)，分享给其他所有“瑞星卡卡6.0”用户。

由于此过程全部通过互联网并经程序自动控制，可以在最大程度上提高用户对木马和病毒的防范能力。理想状态下，从一个盗号木马从攻击某台电脑，到整个“云安全”(CloudSecurity)网络对其拥有免疫、查杀能力，仅需几秒的时间。

“云安全”(CloudSecurity)计划：瑞星如何每天处理10万个新木马病毒

瑞星如何分析、处理每天收到的8-10万个新木马病毒样本的呢?光凭人力肯定是无法解决这个问题，“云安全”(CloudSecurity)计划的核心是瑞星“木马/恶意软件自动分析系统”(RsAutomatedMalwareAnalyzer，简称RsAMA)，该系统能够对大量病毒样本进行动分类与共性特征分析。借助该系统，能让病毒分析工程师的处理效率成倍提高。 虽然每天收集到的木马病毒样本有8~10万个，但是瑞星的自动分析系统能够根据木马病毒的变种群自动进行分类，并利用“变种病毒家族特征提取技术”分别将每个变种群的特征进行提取。这样，对数万个新木马病毒进行自动分析处理后，真正需要真正人工分析的新木马病毒样本只有数百个。

江民打造“云安全”+“沙盒”

以云方式构建的大规模特征库并不足以应对安全威胁的迅速增长，国内外杀毒厂商还需要在核心杀毒技术上下足功夫，例如虚拟机、启发式、沙盒、智能主动防御等未知病毒防范技术都需要加强和发展，多数杀毒软件本身的自我保护能力也需要加强。病毒增长的再快，只是量的变化，而现实当中，造成巨大损失的，却往往是极少数应用了新病毒技术的恶性病毒，。

“云安全”必然要建立在“内核级自我保护”“沙盒”“虚拟机”等核心技术的基础上才能显出威力，没有这些核心技术，杀毒软件在病毒面前就可能会出现“有心无力”的尴尬，现实中许多杀毒软件扫描发现了病毒，却无力清除，甚至反被病毒关闭的现象比比皆是。这也是为什么江民在推出KV2009时，首先强调的是“沙盒”“内核级自我保护”“智能主动防御”“虚拟机”等核心技术，而把“云安全”防毒系统排在后面的原因。杀毒和其它行业一样，首先是基础要足够强大，基础不扎实，楼建的再高也不牢靠。

“沙盒”是一种更深层的系统内核级技术，与“虚拟机”无论在技术原理还是在表现形式上都不尽相同，“沙盒”会接管病毒调用接口或函数的行为，并会在确认为病毒行为后实行回滚机制，让系统复原，而“虚拟机”并不具备回滚复原机制，在激发病毒后，虚拟机会根据病毒的行为特征判断为是某一类病毒，并调用引擎对该病毒进行清除，两者之间有着本质的区别。事实上，在对付新病毒入侵时，应用了“沙盒”的KV2009已经开始发挥了强大的效力。有用户在关闭江民KV2009杀毒软件各种实时监控，仅开启了“带沙盒技术的主动防御”模式，结果运行“扫荡波”新病毒后，病毒的所有行为被拦截并抹除，没有机会在系统中留下任何痕迹。

目前反病毒面临的最主要问题是驱动型病毒对杀毒软件的技术挑战。因此，目前反病毒的首要任务是进一步提升反病毒核心技术，在确保反病毒技术的前提下，充分借助“云安全”防毒系统的快迅响应机制，打造“云安全”加“沙盒”的双重安全保障体系。