瑞星“云安全”发展历程

2. 瑞星“云安全”发展历程 Slek束磊 瑞星公司2009年7月 http://www.rising.com.cn/ 2

3. 1 瑞星“云安全”的发展历程 2 “云安全”的技术本质 3 “云安全”改变了信息安全行业 4 畅想未来的“云安全” 目录

4. 瑞星“云安全”发展历程 • 瑞星“云安全”发展历程 “云安全2.0” “云安全1.0” 2008年12月，瑞星2009新品发布，“云安全”系统升级到2.0，在检测、查杀木马病毒的基础上，增加了对挂马网站的拦截、监测和封杀功能 试运行 2008年7月，随着瑞星卡卡6.0的发布，瑞星正式推出“云安全”系统，用户安装“瑞星卡卡”之后即可加入“云安全” 2008年3月，初步搭建成功的云安全系统，与瑞星卡卡5.0对接，利用“瑞星卡卡”的“在线诊断”功能，用户电脑上扫描到的可疑文件上传到“云安全”服务器，服务器返回处理结果，帮助用户查杀木马和病毒 雏形 2005年7月7日，瑞星疫情监测网正式启动，这是瑞星“云安全”系统最原始的雏形 2005.7 2008.3 2008.7 2008.12 启点 发展 成熟

5. 瑞星“云安全”发展历程 启点：瑞星疫情检测网 —“云安全”的雏形 2005年7月7日，瑞星疫情监测网正式启动，信息来源于瑞星免费查毒、瑞星在线杀毒、新样本上报服务和客户服务中心的电话、邮件求助信息。该网络可以处理新病毒样本、攻击案例统计等，并根据这些信息作出处理。从某种意义上说，这是瑞星“云安全”系统最原始的雏形。

6. 瑞星“云安全”发展历程 发展：卡卡自动可疑文件在线诊断 — “云安全”系统试运行 2007年12月，瑞星卡卡5.0beta版发布，其中加入“可疑文件在线诊断”功能， 2008年3月，初步搭建成功的云安全系统，与瑞星卡卡5.0对接，利用“瑞星卡卡”的“在线诊断”功能，用户遇到系统异常后，用“瑞星卡卡”扫描后，软件会把可疑文件列出来，用户点击“一键搞定”之后，会把这些可疑文件上传到“云安全”服务器，由服务器对其进行分析，并给用户反馈分析结果，帮助用户查杀木马和病毒。 这是瑞星“云安全”系统在原始雏形上的进一步发展，其服务器端的很多功能已经具备，是“云安全”发展过程中一个重要的阶段。

7. 瑞星“云安全”发展历程 成熟：云安全系统的大规模构建 — “云安全”1.0 2008年7月，随着瑞星卡卡6.0的发布，瑞星正式推出“云安全”系统，用户安装“瑞星卡卡”之后即可加入“云安全”。将用户和瑞星技术平台通过互联网紧密相连，组成一个庞大的木马/恶意软件监测、查杀网络，每个“瑞星卡卡6.0”用户都为“云安全”（Cloud Security）计划贡献一份力量，同时分享其他所有用户的安全成果。 云安全1.0实现了对互联网上新出现的木马病毒全面、精确、实时的监控和查杀。 “瑞星卡卡6.0”的“自动在线诊断”模块，是“云安全”（CloudSecurity）计划的核心之一，每当用户启动电脑，该模块都会自动检测并提取电脑中的可疑木马样本，并上传到瑞星“木马/恶意软件自动分析系统”（Rs Automated MalwareAnalyzer，简称RsAMA），整个过程只需要几秒钟。随后RsAMA将把分析结果反馈给用户，查杀木马病毒，并通过“瑞星安全资料库”（Rising Security Database，简称RsSD），分享给其他所有“瑞星卡卡6.0”用户。

8. 瑞星“云安全”发展历程 成熟：云安全系统的大规模构建 — “云安全”2.0 2008年12月，瑞星2009新品发布，“云安全”系统升级到2.0。 将海量的云安全探针通过互联网和瑞星智能型云安全服务器实时联系，组成覆盖互联网的木马、恶意网址监测网络，能够在最短时间内发现、截获、处理海量的最新木马病毒和恶意网址，并将解决方案瞬时送达所有用户，提前防范各种新生网络威胁。 瑞星全功能安全软件2009 基于“云安全”策略和“智能主动防御”技术开发的新一代互联网安全产品，集“拦截、防御、查杀、保护”四重防护功能于一身。在检测、查杀木马病毒的基础上，增加了对挂马网站的拦截、监测和封杀功能。

9. “云安全”的技术本质 两种“云安全”技术理念之争 VS “云安全” 国外企业“搜索引擎”式的云安全 瑞星“互联网化”的云安全

10. “云安全”的技术本质 “搜索引擎云安全” 延续单台计算机防毒的思路，以中心服务器建立整个互联网范围内的“病毒特征库” 既然用户受到的安全威胁来自互联网，基本局限于网页、邮件、互联网文件这三种途径。那好，我把互联网上的这三种东西都标上安全等级，用网页爬虫去搜索网页，发现恶意代码就标上不安全，如果用户企图访问这个网页，我就返回结果阻止。同样，邮件和文件也这样做，理论上可以阻止网络上的所有攻击。 互联网内容爆炸，每天新出现的数据以TB计算，如此巨量的网页、视频、邮件、文件，目前硬件能力无法储存海量数据 依靠现有技术条件，任何一家商业公司都无法对互联网上所有文件实时标注安全信息，并存储在数据库里供用户进行安全查询 “搜索引擎云安全”模式造成大量误报漏报 没有改变防御系统的模式，只不过是更多的利用了网络技术，并不没有发挥互联网共享协作的巨大优势，本质上还是单机防毒的思路 （某国外厂商的云安全系统逻辑图）

11. “云安全”的技术本质 “瑞星云安全” 不是简单的搜索引擎技术的引入，它提出了一个更符合互联网精神的安全防御思想 把所有的互联网用户都连接起来，其中一个受到攻击，则服务器收到其上传的信息之后，把分析结果返回给网络中的所有用户。这样无论出现多少种网络威胁，只要最初遭到攻击的客户端及时上报信息，则经过服务器的分析处理，返回结果之后，整个网络可以在最短之间内获取对该攻击的免疫能力。 每个客户端既从服务器“索取”防护信息，又“贡献”自己监测到的网络威胁信息。是真正互联网化的杀毒软件 Internet 恶意威胁 门户网站 下载网站 搜索网站 主要功能放在服务器端，客户端只要连接服务器，就可以获取最新的功能。因此安装在用户电脑上的杀毒软件体积更小，杀毒能力更强，可以最大限度减少对用户电脑资源的消耗 威胁信息 威胁信息分析挖掘集群 Slek束磊 即时查杀 改变了反病毒工程师的工作内容，从手工分析病毒到“人工+机器智能”，处理效率更高 自动分析 处理系统 即时升级 8000万云安全客户端 实时分析海量客户端上报的攻击信息，可以让工程师提前预测到互联网的安全变化，从而提前做好相应的防范 互联网用户 瑞星云安全中心

12. 云安全改变信息安全行业 1 研究方向更加明确 分析“云安全”的数据，可以全面精确的掌握“安全威胁”动向 2 病毒研发模式的改变 “云安全”的出现，使原始的传统病毒分析处理方式，转变为“云安全”模式下的互联网分析模式

13. 云安全改变信息安全行业 研究方向更加明确 — 全面精确的掌握“安全威胁”动向 我们不但可以准确的了解用户感染了哪些木马病毒，被哪些挂马网站攻击，通过云安全系统对这些威胁信息的深入挖掘。我们可以对互联网安全威胁做准确的预估，就像人们通过卫星云图预告天气一样，瑞星云安全系统可以准确预告互联网上的安全大事件。 用户曾经被什么病毒感染过 挂马网站在哪些地区、哪些人群中泛滥 黑客正在利用什么漏洞进行攻击 网民存在什么危险行为……等等 系统分析处理这些数据后，给出预测结果 工程师就可以调整杀毒软件的设置策略，督促用户弥补漏洞，防范挂马网站 例子： 近期微软公告的视频控件漏洞，在补丁未发布之前，瑞星杀毒软件就可以通过“网页防挂马模块”拦截，无需等待微软的补丁

14. 云安全改变信息安全行业 信息安全行业研发模式的改变 — 云安全模式下的互联网分析模式 有了云安全系统，瑞星反病毒工程师的工作大不一样：真正需要手工分析的病毒寥寥无几，大多数工程师都在分析“云安全”系统里的病毒趋势、挂马网站行为等等，从“分析单个病毒”到“分析病毒群的趋势、特征”，这是巨大的转变

15. 畅想未来的“云安全” 未来的“云安全” 杀毒软件可以查杀一切难以处理的病毒，让用户彻底的安全 未来的“云安全” 每个客户都有个性化的病毒库、各种设置规则等 未来的“云安全” 将运行在手机、MID、智能电视甚至联网的冰箱上 未来的“云安全” 客户端只有极小的体积，运行完全感觉不出来

16. Thank You ! Slek束磊 http://www.rising.com.cn/ 16