2007年4月19日下午，由51CTO.COM網站主辦的“51CTO技術沙龍—企業病毒管理講座”在北京理工國際教育交流大廈召開。本次技術技術論壇吸引了近百名網絡工程師、項目經理、網絡管理員等技術人員的關注。 短短的3個多小時里，來自趨勢科技三位專家從多方面對企業病毒管理和防范從進行了技術分析和實例講解，并詳細解答了與會技術人員提出的技術問題。
Web信譽評價技術，是不是只有我們趨勢才獨有？
現場觀眾：我想問一下徐經理，您剛才講到的Web信譽評價技術，是不是只有我們趨勢才獨有？別的廠商是不是還沒有？
徐學龍：從目前來講，我們是通過收購一家公司，這家公司之前在整個Web信譽這塊做得非常好。所以我們把最新的技術集成到我們趨勢科技來。
Web信譽評估怎么處理163大型網站上掛網
現場觀眾：我有幾個問題。首先今天非常感謝徐經理給我們帶來非常精彩的演講，也了解了很多東西。首先第一個問題，您的Web信譽評估里面，在以下兩種情況下是怎么處理的。比如一個是被惡意中毒木馬掛網，一個是主動掛網。據我了解，有很多人為了追求商業利益，掛網。比如在163大型網站上掛網，一天有很多收入。163的網站本身是可信的還是不可信的？這是第一個問題。
第二個問題，您剛才說了軟件下載的問題，是不是有自我攔截下載軟件？因為現在很多木馬程序都是通過嵌入網頁里面下載程序，您這個是不是自動攔截了？
第三個問題，我跟一些朋友聊天的時候了解到，殺毒軟件本身應該說防護機制非常強，現在有人聲稱他已經破壞了殺毒軟件的保護機制。一般來說殺毒軟件防護最弱的時候就是程序更新的時候，我想知道趨勢科技更新防護這一塊怎么樣？
徐學龍：實際上，我們剛才講到的Web信譽服務，從技術上來講，它是采用一種新的方式對整個的訪問目標進行信譽分值的判斷。這里面會涉及到外掛的情況，所以這時候我們要看，比如它是掛在163上，這個時候163就產生風險。我已經評估出來它有風險，這個時候就要看我們的安全策略如何設定。假如我采用一個非常嚴格的級別，那我可能就是要阻止掉的。假如采用相對靈活的策略，比如我可能對重要的站點放在白名單里面，這個時候你可以把它忽略過去。但是我覺得在安全防護里面，還是要采取比較嚴格的策略。如果太寬松的話，風險侵入的機會就會非常大。
第二個你講的訪問，實際上你問阻止的問題，在建立鏈接的時候，一旦我判斷出來這個站點信譽值很低，我就及時進行阻斷。所以，這時候用戶訪問的文件并沒有過來，我就已經給阻斷掉了。
第三個問題，你講到殺毒軟件的更新。實際上你會看到，以前很多軟件更新的時候，它都需要重啟機器，然后新的代碼才能應用起來。但現在你會看到，隨著技術的進步，我不管是安裝還是更新，趨勢軟件都不需要做重啟，這里面有采用一些技術，來保證你講的防護空窗期。以前有這個問題，但是現在隨著技術的完善，這一塊的問題已經解決了。所以我想我們可以很放心的使用。
暴風影音播放軟件，如果病毒捆綁的話，是禁止下載還是剝離？
現場觀眾：我想問一下，比如現在網上很多免費軟件大家會隨時用到，比如暴風影音播放軟件，如果病毒捆綁的話，我們是禁止下載還是剝離呢？
徐學龍：你講的是跟內容相關，它是好的東西里面嵌入壞的程序來欺騙我們。假如這個站點是可信的，比如它是放在一個可信的站點，從這個站點的歷史來看，比如華軍軟件園正好被一個惡意的人放進去了，但是這個軟件園相對來講從評估歷史來看，你的IP地址都非常穩定，所以這個站點是可信的。但是這個文件是不可信的，這個時候要靠我們內容的過濾和掃描。所以我們講，Web信譽服務可以提高針對Web威脅防護的及時性和全面性，因為你的代碼不可能囊擴所有站點的動態風險，但是代碼的過濾程序還是必不可少的。所以兩方面結合，是一個完整的防護方案。
Web信譽服務如何評價一個剛剛注冊的網站
現場觀眾：大家今天關注的都是Web信譽的問題，Web信譽服務對網站的監測都是長期的，都是一個綜合性的。我想問一下Web信譽服務如何評價一個剛剛注冊的網站以及Web信譽度的問題。比如達到什么樣的級別，它才能被稱為是安全的網站？謝謝。
徐學龍：首先，你最后說的信譽評估等級，實際上這個等級是在我們的配置界面上，管理員可以自己調整。它分為四個等級，所以這是我們管理人員可以自我調整，根據我們的需要進行調整。可能最一開始我們放的比較寬松，根據監控日志的情況我們可以進行調整。
另外對新的站點來講，因為我們的評估有50多個參數，所以我不清楚它們中間的加減乘除算出這個分值，但是總體會考慮到這部分的內容。因為這里面有50多個參數來做評估，所以你剛剛出現的話，僅僅是你的站點年齡不夠長，但是還有其他很多的屬性。所以這是一個平衡之后的結果，不會因為僅僅是年齡短，就給它進行偏激的判斷。
現場觀眾：我接著問一下，信譽評估參數采集過程中如何保證不存在問題？比如域名存在時間，能不能會存在欺騙或者造假的問題？比如明明這個域名存在的時間是9個小時，但是采集到的數據可能是幾百、幾千的小時。會不會存在這種情況？
徐學龍：這個數據不是一天產生的，實際上有一篇英文的PPT，類似于FBI。我們收集到的數據一方面有一個動態的評估，同時這個評估的結果背后是存在龐大的數據庫里面，所以既有數據庫，又有評估引擎。假如講到有惡意程序的站點，通常來講它的動態性很活，到處跑，它的周期就比較短。從我們長期的統計來看，它的這種特點就比較明顯了。
現場觀眾：我的意思是說里面的數據本身會不會有問題？
徐學龍：它其實已經采用很長的時間來收集數據了。
王鎖杰：我們可以打個比方，我們對這個站點的監測就像我們派出所監測人口一樣，分暫住人口和常住人口監測。對這種數據是長效性的，一個站點新間建立的時候，對于很好的站點是做域信任、IP傳遞的方式，這個是很堅固的。比如我們統計流動人口，它可能是壞的站點，這個IP地址遷移的很大，這是有很大差別的，這是一個特別的方法。另外一個你說的會不會被欺騙，我們不會因為它是剛出現的域名和地址就認為它有問題，而是經過長期的監測來判斷。所以你要判斷一個人是好是壞，這個是很難判斷的，所以要長時間的判斷。這個時間基本上看站點存在的時間。另外一塊是它的行為方式，它的流量參數等等進行比對，所以是一個綜合的參數。所以這不存在一個參數由一個好的站點變成壞的站點，所以這些參數本身就可以規避欺騙性的行為。到現在為止，如果它真的欺騙的話，真想從一個壞的站點變成好的站點，它可能要欺騙我們50多個參數才可以，目前這個還沒有。我們不保證永遠不會出錯，但是會保證出錯的域很小。
WEB信譽評估會不會影響帶寬，影響對某些網站訪問速度？
現場觀眾：我對咱們的信譽評估想問一下，因為信譽評估要監測幾億個站點，所以那個數據庫一定非常龐大。咱們的庫肯定是建立在咱們的服務器上，假如我要訪問一個站點的話，我要在你的服務器上取回這個站點的信譽評估，會不會影響咱們的一部分帶寬，或者造成對某些網站速度的影響？
徐學龍：從目前的計算程度，網絡的帶寬技術在試用的用戶里面，用戶的感覺不明顯。比如他點擊一下，馬上會看到這個網被阻擋掉了，對用戶感覺沒有那么明顯。
現場觀眾：假設我訪問新浪，我進入新浪的時候，首先從你們反饋的結果會顯示在哪兒？
徐學龍：假如是正常的就沒有結果。
現場觀眾：是惡意的才會有。
徐學龍：對，比如像我在客戶端，它會在你的桌面上彈出一個信息。
怎樣體現趨勢產品的優勢
現場觀眾：我們主要的客戶更多的是教育用戶，而在這部分出現問題的話，本身我們公司是教育骨干，我們是做最后一部分，不光是硬件還是軟件，我們會添加安全的設施。根據國內用到的產品和國外的產品我們會進行對比，有可能或者更多的時候，價格決定了學校購買這款產品。當然我們更多的是需要一個管理性強、安全、更新速率，包括人員培訓有更好的方案。我們以后真正做趨勢產品的時候，你們有沒有更好的方案寫到里面，體現趨勢產品的優勢？
王鎖杰：這個問題問的非常好。大家知不知道大部分國內機器處在網絡中？一塊是教育網，還有一塊就是政府網絡。因為這些機器少有人管，而且通常都是開機的。所以說在這一塊，您剛剛說一個針對性的方案，因為我們現在很多程度上教育網就是一個大網，我們現在普教和高教有很大的差別，普教網絡分布很明顯。對于高教，我們可能以前買幾千點，或者買一些SCS裝上去，但是沒有考慮到學生和老師的差異性。
還有一塊的情況，我們很多的教育網是學校的內部網，宿舍網和辦公網在有些地方是聯通的。所以我們在做解決方案的時候，第一塊做資產的分割，宿舍網、辦公網、實驗室網絡、收費網絡、計費網絡全部分開，不一定要求客戶分的完全好，但是要提供在你物理連接的同時保證安全性，不讓一個網絡出現問題而導致全網癱瘓。
第二點，應用每個網絡的不同特性，比如教師的辦公網絡好管理，機房的網絡好管理，我們可能運用一些基本管理性質的就可以了。比如宿舍網絡是管理虛空的特區，學生可能會進行下載或者屏蔽，他要測試你的防毒軟件的能力，甚至他把病毒弄過來測試你的網絡。這里面我們給客戶的建議，包括您這邊做集成，我們建議防病毒軟件是道結果方案，但是是最后的結果方案。包括很多的客戶在做學生網絡、宿舍網絡的區隔，這樣可以降低出現風險，可控的風險是非常高的。還有包括學生上網的習慣，這里非常多，我們可以提供一種終端的結果方案。還有一種是在線掃描的解決方案，還有一種是完全把它從網絡中剝離開來。所以這里我們覺得，如果您尋求一個針對教育網絡高教的解決方案，我們建議您按照它的網絡應用不同，如果真的做趨勢授權，您可以咨詢我們的解決范圍，這樣可以整合在一起，而且這樣的情況不光是趨勢，所有的廠商面臨的問題是一樣的，因為那是一個失控的網絡。
趨勢的培訓機制是怎樣的？
現場觀眾：剛才已經談到很多的肉雞產生，我的意思是說你們公司說過對客戶進行一定量的培訓。這種培訓的力度和客戶選擇方面是怎么樣監管的？而且怎樣進行定期培訓？
王鎖杰：非常感覺您對技術之外的問題。趨勢科技培訓主要分為幾個部分。一個是對外，我們會把培訓內容外包給一些培訓機構，由他做第三方的培訓認證。包括一些在大學里面進行一些選修課，這個是針對畢業大學生出去應對安全的意識。另外對于趨勢現有的客戶，可能是服務客戶，也可能是產品客戶，這個培訓一方面教導他們最基本的安全應用知識。我們會在培訓之后在間隙里不通知，模擬一下，看看參加培訓的人員是不是還犯同樣的錯誤，或者沒有把這個培訓放到相應的問題上去，還會組織相應的考試。所以這種方式方法是非常豐富的。這個對于終端用戶。
還有一塊培訓可能是針對企業的網管，流程等東西需要網管加固，那么就根據企業的情況進行改變。這方面我們會對網管進行培訓，以及網管的老板進行培訓，所以我們的培訓會豐富多彩，而且也不是培訓之后就結束了，會做演習、控制來看他的培訓結果。
客戶為什么要選擇趨勢？優勢在哪里？
現場觀眾：我想問一下產品方面的問題。我想問一下客戶最關心的問題，因為現在像殺毒軟件、防火墻以及網關的產品非常多，我想知道趨勢產品的最大優勢是什么？以及客戶為什么要選擇趨勢？請您做一下回答。
王鎖杰：我們的優勢可能一句兩句說不完，我們請林先生來回答。
林義軒：剛才其實在王先生的簡報里面有說明，他說趨勢目前提供多重防護的體系，基本上你可以看到從網關、服務器、終端、專家服務來說，這種趨勢的解決方案對客戶來說這些已經非常豐富了。
王鎖杰：我補充一下。我相信決定系數客戶在選擇防病毒軟件的時候，他第一考慮的是品牌。這個品牌趨勢過不過硬呢？一個是我們在全球上的布局，我們在世界上是排名前三位的，這是品牌的基本保障。另外我們針對國內的用戶，能不能提供本地化的快速響應和速度，我們在國內有研發中心、相應中心，有非常強的覆蓋網絡和認證工程師的網絡，我們可以給客戶提供快速響應。因為防病毒和硬件設備不一樣，硬件設備可能換備機，我們這一塊要做的是快速響應和快速恢復，所以我們要有基礎的構架，這樣可以烘托出我們品牌的可依賴程度。
現場觀眾：客戶選擇產品的時候最重要的是性價比。請您談一下。
王鎖杰：性價比這一塊來說，我們還是交給徐學龍先生給大家說一下。
現場觀眾：實際上就是價格這一塊。
徐學龍：我覺得是這樣。實際上價格大家會感覺到，作為安全廠商來講，價格不是由我們來定的，實際是整個市場在競爭的一個環境當中由客戶來決定的。所以大家會看到，今天這個客戶賣多少錢，那個客戶賣多少錢，這些可能是在用戶對我們的認可當中接受我們相應的售價。所以你會看到，為什么工商銀行全行就選趨勢科技，農行也選趨勢科技，國內最大的兩家銀行選擇趨勢科技。那是因為從我的感受來講，趨勢科技是最本地化的國際公司，所以它能夠結合全球的運營經驗和我們國內最本地化的特點相結合。把這兩方面結合，用戶不管是從性價比方面，或者是從管理方面，或者服務方面能夠做的比較安心。
工行領導曾經給我們講，我們在部署一個產品的時候，他說我希望這個產品你能進一步優化，后來他講為什么我們不換一家呢？因為我們認為目前我沒得換，我就希望你做得更好。但是在其他的一些可選的廠商里面，我還看不到能夠把我全國的網絡規模集中管理起來的。所以整個過程中，我想用戶的認可是對我們最大的鼓勵。
趨勢科技是否對自己評過分？
主持人：有一些在線網絡朋友們也提出了問題。有一個朋友問，王先生剛才講到了對企業網絡的評分。趨勢科技是否對自己進行過打分，分數是什么樣的？還有趨勢科技的防護策略是什么樣的？
王鎖杰：非常不幸的是在防病毒軟件的業界分數就趨勢科技家，因為其他的競爭對手不愿意接受我們的評估。因為這個分數我剛才說過了，如果沒有對比就沒有任何意義。我們把我們的分數和不同行業的，比如金融行業、制造業做評比。我們會發現，在流程上我們做得非常好，在技術分上我們做的也比別人高，人工的安全意識上也比別人高。所以這個對比是這樣的。
另外一塊是安全策略，趨勢科技除了應用自己的防病毒解決方案，我們還選擇非常多的優秀合作伙伴，可能是和我們有互補關系的。比方系統自動掃描、防火墻、入侵監測設備都在我們的安全策略考慮清單里面。另外我們策略的更改和維護更新完全是按照事件，我們完全可以根據一個事件做安全系統的加固。所以在這里面，整個評估的目的是為了安全系統的加固。所以在這個策略里面，最重要的是更新。因為這也是防病毒重要的方面。
有漏洞就修補，是否有問題？
主持人：網上還有朋友有疑問，認為自己評價自己的網絡安全過程太復雜了，只要知道有這個漏洞來彌補就可以了。請問一下這種相比是不是存在很多的弊端？
王鎖杰：這個想法在一定的基礎上是正確的。我真的知道我的漏洞在哪里，我有相應的技術手段和保證我解決漏洞，這個基礎上是正確的。但是我們往往發現，我們自己維護的網絡包括趨勢科技自己維護的趨勢網絡有些地方會有疏漏。第一個我的漏洞在哪里，我不一定能夠準確的找到。第二，我找到以后不一定可以依賴現有的解決方案解決，以及相應的我可能找到了，要去解決卻發現沒有落實。在這里面我們發現，如果沒有前面的前提，那么所有解決的方案沒有一個理論基礎和技術基礎，我就沒有辦法落實，購買解決方案不是需要的解決方案，最后一切都是沒有辦法去真正解決問題的。所以在這里面，這個問題確實是我的問題，而且我知道解決方法，同時我保證一定能解決的話，這個想法是正確的。
網站的信譽度低是否可以屏蔽？
現場觀眾：我想問一下比如一個網站信譽度比較低的情況下，是可以屏蔽掉嗎？
徐學龍：在我們的配置里面，管理人員是可以定義級別的。在處理動作上，只要是低于我的分值，我就把它阻斷，或者我記錄到日志中。這是兩種方式可以選擇。我們可能在剛剛啟用的時候，我們會放的寬松一點，慢慢地我們要把它做得更加適合網絡的需求。
怎樣解決移動存儲設備的安全威脅？
現場觀眾：我本身也是做安全的，我提幾個問題。捆綁軟件不知道咱們公司有沒有進一步的安全措施？因為網絡在很多方面防護的很全面，最大的威脅還是主動的執行。剛才說到華軍軟件園，但是還有一些其他的軟件園。但是有的時候檢查不出來，這種東西非常隱蔽的，有沒有途徑，包括很多軟件捆綁以后查不出來。咱們有沒有這種方法檢查出來？這是一個建議吧，因為這是未來里面很大的威脅。
還有剛才大家提到了包括Web威脅，還有關于U盤病毒的問題。像很多網絡游戲、灰鴿子、熊貓病毒都是通過U盤傳播的。咱們有沒有很好的措施阻止U盤病毒的傳播？如果沒有的話，作為一個建議希望加強一下。
林義軒：其實我們公司也有在朝這個方向做研發。目前我們研發到一個初步的階段，在用戶的終端有一個代理器，我們會監控所有下載的東西跟U盤進出的行為。如果這個檔案符合一個標準，因為我們是防毒公司，我們知道大概哪些病毒的大小、形狀。針對這些規則我們會把檔案自動送到南京的解決中心去做判斷。如果發現它是病毒，會馬上分析這個病毒是從IE進來，還是從U盤進來的。所以我們公司目前已經研發到一定階段。
徐學龍：它實際上動態的搜集樣品，自動提交上去，然后我們有一個自動處理系統，自動做出代碼再送回去，其實它是一個自動的來回，后來自動發下去，然后把問題解決掉。
王鎖杰：您剛剛問的問題比較明確，我們有沒有防護。但是在你下載的過程中或者使用移動硬盤的過程中查不出來的，這一塊趨勢科技近期在做，還有我們即將要做的就是對未知病毒的防范。它可以收集病毒的樣本自動檢查，以及解藥的制作，然后自動送回，自動清除。這些完全是通過自動的流程加快相應的速度，因為只有這樣才能避免大規模的爆發。你剛才說的病毒在目前情況下我們看到，我們關注的還是網絡的威脅。因為從我們企業用戶和個人用戶使用U盤的角度看，U盤拷貝的病毒都是已知病毒的或者是隔夜的，所以這里面有一個時延。我們第一關注的還是網頁病毒進行研發的。文件的屬性我們都會進行相應的自測，如何啟動我們并不關心，但是它是被我們整個包含的。