赛门铁克安全响应中心高级发展总监Vincent Weafer视频专访
赛门铁克安全响应中心
对于所有计算机用户来说，安全防护都是至关重要的。面对威胁数量和危害程度的与日俱增，用户对于寻求技术解决方法的依赖日趋显著，计算机用户迫切需要部署全面的安全防护来应对各种风险和威胁的侵害。作为全球安全厂商的领导者，凭借赛门铁克全球智能网络的支持，赛门铁克安全响应中心对全球的网络威胁前景进行分析，为全球用户提供实时的安全更新，从而帮助用户应对不断变化的威胁与攻击。
为了让大家对赛门铁克安全响应中心以及当前的安全威胁趋势有更加深入细致的了解，3月8日上午，赛门铁克邀请PChome等八家国内媒体参加了对赛门铁克安全响应中心高级发展总监Vincent Weafer视频专访会议。在会议上，Vincent Weafer对赛门铁克安全响应中心作了介绍，并对当前互联网安全威胁趋势作了分析。
赛门铁克安全响应中心
首先，Vincent Weafer为大家简要介绍了一下赛门铁克安全响应中心的状况。赛门铁克安全响应中心由赛门铁克全球智能网络，以及赛门铁克研究中心组成。
赛门铁克全球智能网络
赛门铁克全球智能网络是一个全球性的网络，由信息安全专家和运营专家组成，还包括赛门铁克全球范围内成千上万个互联网活动传感器。为确保用户安全以及IT运营团队快速有效的工作，赛门铁克全球智能网络提供的信息对其至关重要。赛门铁克全球智能网络可获得来自全球各地的安全建议，从而帮助企业了解最新的安全威胁。这一网络收集的事实信息来自180个国家的4万个传感器，这也是全球互联网威胁数据最为全面的来源之一。赛门铁克还收集恶意代码数据、间谍软件和广告软件，这些数据来自于使用赛门铁克反病毒产品的1.5亿多名用户、服务器和各种网关系统。
此外，赛门铁克还针对4200家供应商的35,000种产品漏洞进行追踪，从而拥有全球最为全面的安全漏洞数据库之一，覆盖的漏洞达14,000个。赛门铁克同样运行BugTraq这一关于漏洞发布和讨论的最受欢迎的论坛之一。另外，赛门铁克利用赛门铁克Probe网络，这是一个拥有200多万虚假账户的系统，因此吸引了全球20多个国家的邮件信息，使赛门铁克能够检测垃圾邮件和钓鱼攻击。
赛门铁克通过分析其全球智能网络收集到的信息，可以及时发现网络攻击的来源，准确判断其攻击范围、攻击目的等。每隔半年，赛门铁克将会根据该智能网络收集到的信息发布一份网络安全威胁报告。
研究中心
赛门铁克安全响应中心研究中心致力于收集并分析最新的恶意威胁，范围涉及网络安全威胁与漏洞、以及病毒蠕虫等。当发现新威胁或漏洞时，赛门铁克安全响应中心的专家将提供快速应急方案，通过与用户进行沟通，提供安全更新、补丁以及对策。
赛门铁克安全响应中心的研究者们由来自于业内各个领域最资深的安全专家组成。研究中心遍布世界各地，包括北美、亚洲、澳洲和欧洲。同时，赛门铁克研究中心还可以多种不同语言为用户提供服务。(请翻页）
当前网络安全威胁趋势
当前网络安全威胁趋势接下来Vincent Weafer为大家分析了一下当前网络安全威胁趋势。
Vincent Weafer：目前这个网络的安全或者攻击表现形式比以前要多了，并不是单纯的一种。并且攻击的动机跟以前来比也是多种多样的，技术也比过去复杂。把现在进行网络犯罪的人士年龄做一个比较，我们发现跟过去相比，他们都是十几岁的孩子，而且都是非常专业的。另外，他的攻击不是泛泛的，没有目标的，而且越来越趋向于针对某个公司或者某一部分人群。举一个例子，比如说现在所谓的“网络钓鱼攻击”，通常是针对某一个城市或者某一个乡镇具体的银行来进行攻击。个当然，还有一些攻击是针对一些公司，他的目标是盗取一些商业信息。 接下来这张幻灯片给大家小结一下，我们目前的网络安全的情况和以前的情况到底发生了哪些转变。首先，我们发现现在的攻击越来越隐蔽了，不像以前恶意代码或者病毒可以在电视、报纸上看到，现在这种情况已经不见了。现在的攻击有一个特点，就是它越来越复杂了，主要表现是他也不声张，只有一些具体被攻击的用户知道，并不是普通的老百姓都知道他攻击的种类是什么。这些攻击主要的特点、目的是想获取你的信息或者攻击你的电脑里的系统。举一个例子，在中国，我们最近发现了一个病毒，它并不是来自于某一个具体的动机。
虽然一方面我们看到攻击的种类越来越多，但同时我们也发现它们越来越安静，或者越来越不声张他们的做法。另外，我们发现攻击的数量比以前增加了很多，同时攻击的密度和频度也增加了很多。另外，也导致我们预防、修复，所要做的一些工作也比以前大了。 比如说，以前的攻击通常来一拨就过去了，现在有点像台风或者海啸，有很多种类，来的量非常凶猛。出现这样的情况并不是这些攻击者比以前聪明了或者技术手段比以前先进。只是因为他们目前能接触到或者获取一些相关工具，这些工具可以帮助他们接近一些目标市场，目的都是出于获利的角度。所以，现在不管相关的工具也好或者病毒也好，都是为了获取你的信息或者把你金融及其它利益偷走。 过去的情况，很多攻击的目的是为了出名，而现在这些攻击基本上完全是为了赚钱。除了刚才讲的这些情况以外，现在还有一个特点，它已经形成了一个市场。在这个市场当中，网络犯罪人士可以在这个市场当中互相地进行一些买卖，比如说他们买卖一些信息和软件，来达到他们洗钱的目的。
现在网络攻击的种类非常多。比如，不光有所谓的网络钓鱼方式。这个“钓鱼”目的可能是针对某个人的银行帐户，然后把你的钱拿出来。还有其它的类型，就是把你的股票操纵了，操纵完价格以后，他好卖给另外的人。另外还有一个例子，现在的攻击方式是专门攻击分值比较高的游戏，或者我要盗取某一个人玩的游戏，他的价值非常高的话，我盗取他的身份证明，我就可以把他的游戏卖给另外的，从中获利。 关于零日攻击
Vincent Weafer：2006年的时候，我们发现Zero Day攻击做得非常成功，这个攻击还没有出现，我们就开始采取保护措施。比如说像微软，如果他出现了什么漏洞，我们就可以帮他们提供预警的服务，在发生攻击之前，我们就已经把防范措施植入进去了。刚才举的例子有点像门和锁之间的关系，如果我了解了这个锁的状况，我就可以设想一下这个钥匙是什么样的，比如说这个钥匙的尺寸、长度、锋齿的状态，我没有必要在了解漏洞具体的情况下就可以采取措施。 第二，我们可以通过我们全球智能网络进行监测或者验证。比如说俄罗斯有一个病毒入侵，是针对某一个漏洞的，我们在俄罗斯一旦发现这种技术的话，就会创造一种新的签名制度，运用到中国来，而且还可以判断它什么时候会发生，在发生攻击之前就做出这样的判断。当然，在实际操作当中并不像我说的那么简单，因为攻击者也会不断调整他的策略和改变他的产品，所以，我们不是简单地我给你安一个保护就万事大吉了，实际上是全天候地提供服务。
我们过去看到的防病毒都是看到所谓签名的方法/手段，现在我们在开发一些新的引擎或者技术，比如说我们公司新开发的SARA技术，这个技术是通过你的行为特点来判断，并不需要署名。我们刚才举的Zero Day技术，还有针对未知病毒进行一些保护，都是未来的一些新的技术，而且这些新的技术可以应对攻击量很大的病毒。(请翻页）
媒体提问
最后，Vincent Weafer还对媒体就网络安全威胁趋势方面的疑问作出了解答。
媒体提问问：刚才说到部分的威胁受到大家的关注，比如说现在的病毒都是以偷窃为目的，以经济为目标。像“熊猫烧香”这种病毒，影响很大，也是一种偷盗。其它没有造成这么大范围影响的，只是偷盗的病毒现在有多少，造成的破坏有多大？
Vincent Weafer：的确是这样。我们现在发现80%都是属于像你说的熊猫烧香的病毒，一方面是是为了获取信息，一方面是为了起到欺诈的作用。举一个例子，2007年头三个月，在这短短三个月的时间内，我们就对十万个相关的网络进行了保护。而且我们为他们保护就是因为他们被恶意软件所攻击。 问：我指的是静悄悄偷钱的病毒现在有多少？范围有多大？就是没有那么广泛的影响，但是它会静悄悄地偷钱。
Vincent Weafer：以前他是百分之百泛泛攻击没有目标的人，比如说百万或者十万。现在不一样了，现在攻击的人群数量只有100人或者1000人，看上去数量是局部的，但是要把这100人、1000人的数量加起来的话，影响同样是非常大的。 为了进一步说明问题，我再举一个“熊猫”的案例，它的知名度已经非常高了，在它发生病毒之前，很多类似的病毒也在发生，只是知名度没有这么高。实际上熊猫病毒跟其它的恶意软件，方法是比较相同的，比如说造成网络流动的瓶颈或者社会工程的塌陷或者安全软件没法用，或者获取一些磁盘（信息）。 但是我们要把熊猫、蠕虫和美国现在发现的情况做一个比较的话，还是会发现两者的不同。熊猫病毒主要是针对中国最大的网上聊天工具（QQ）。在美国不一样，在美国主要是攻击网络互动聊天的平台。 再举一个例子，有一个叫“Lineage”的，这个蠕虫病毒主要是针对网络游戏的。我们在中国发现，很多恶意软件都是针对网络游戏的，而且数量还非常多，这恐怕是中国独一无二的，在其他国家没有发生。 在美国有3100万的人上网玩网络游戏。这种现象主要发生在中国，我们在美国没有发生这种种类的攻击。我们前几年在欧洲也发现一个情况，攻击是针对博彩公司或者赌博公司，搞一些球类赌博，比如说足球或者篮球，通过攻击这些博彩公司，让他们盈利（获利）。 实际上从全球范围来看，恶意软件还有他们使用的工具都是相同的，只是攻击的方式和动机都是针对各个地区和各个不同的国家而不同。 问：中国很多攻击是通过网络游戏发起的，赛门铁克有没有针对此的产品或者策略？
Vincent Weafer：我们赛门铁克的确提供的是网络安全保护方面的产品，这些产品看上去是针对企业保护的产品或者策略，但是这些产品同样适用于网络游戏的防范，包括我们有些产品是保护网上银行的，如果我们能够保护银行的话，同样在网络游戏当中也能起到防范的作用。包括去年我们推了诺盾安全交易大师，这个产品是针对媒体或者网络信息安全的保护。 我们这个研究中心有一些人士是专门搞这方面的分析工作，他分析目前最流行的游戏或者上网浏览人数最多的网页，我们就针对此有一些网络安全的产品。 问：现在的攻击越来越悄无声息，越来越难发现，而且目的性、区域性强。针对这种趋势，赛门铁克全球智能网络是不是防范这种威胁的困难程度越来越大。本土企业在本国也有类似的监控网络，他们的意义是否会逐渐加强？
Vincent Weafer：首先针对您这个问题，我先泛泛概括一下概况，现在由于攻击的数量和密度比以前增加了，这样就造成了相关业内人士对此进行的防范困难程度都增加了。主要是现在一些新的技术出现了，而且大家都在使用宽带，工作速度也非常快。正是由于这些速度快，很多人也忽视了安全的工作，毫无疑问，和90年代相比，安全方面的风险比以前要多了。 赛门铁克在这个安全保护领域已经做了20多年了。从我们自身来讲，非常有能力来适应新技术的变化，包括电子邮件技术方面的趋势，移动安全方面如何进行保护，还有一些新的平台，我们都会进行适应，掌握这些新的技术，因为我们自己也有很多不同种类的技术和很多方面的研究。 比如像我们给家庭用户提供一些产品，不光是针对他们机器本身，还包括他们网络的基础架构，还包括MSN等等，不管是ISP也好或者其它企业级用户，我们也同样拥有丰富的产品。 2006年从我们全球智能网络来讲，我们在中国的业务有很大的增加，而且在未来的几年当中，我们也非常有信心，它肯定还会继续增长。从我们整个公司的角度来讲，将来在中国的覆盖也会越来越多。 问：刚才您提到安全威胁报告，每年出两次，是一个趋势性的报告。现在您带领的团队在最近一段时间最关注或者得到的最新信息是什么？ Vincent Weafer：我们很高兴，在不久我们将把这份2006年报告公布，在报告当中会有很多方面的趋势或者具体的内容。但是，我们现在最关心的趋势和内容仍然是针对其它的行为或者网络其它方面的攻击手法。 问：我看全球智能网络里面，无论是安全业务中心还是安全响应中心基本上在中国大陆没有点（相关机构）？ Vincent Weafer：是这样的。目前我们在这两块业务在中国还没有开展，但是我们也在积极地进行市场调查，进行选址。我们在中国已经有了研发方面的业务，随着我们进一步深入调查，我们会最后决定什么时候，在哪个地方上这两块业务。 我们现在跟业务的关系还在不断增加，比如说我们有子中国智能方面的帮助，还有样本的获取也来自中国，还有其它方面的伙伴关系。总体来讲，我们在中国提供服务的能力正在增加。 问：周二Gartner发布一个报告表明，从2003——2006年，身份欺诈活动增加了50%，而能挽回的经济损失从2005年的87%下降到了2006年的61%。身份欺诈状况是越来越严重了。赛门铁克对这个现象有什么看法？ Vincent Weafer：您问的问题非常好，我们的确从全球范围来讲，现在网络犯罪也好，身份欺诈越来越多。其中一个原因，操作手法非常容易，不像到银行里面偷窃，就必须跑到银行地点才能实现；在家里进行偷窃，小偷必须要跑到家里这个地点才可以。所以这种犯罪手法比较新颖，不管身处世界哪个地方都可以用这种方式袭击很多人。我首先同意您的观点，这方面的犯罪越来越多。 关于我们如何保护，我们的确在这方面采取了很多措施，正在努力，提供一些不光为今天满足需要，同时为未来一些用户的需要提供相关的产品。我们发现欺诈主要是通过邮件的方式，比如说给你弄一个垃圾邮件。除此之外，我们还发现有病毒攻击你的防火墙或者入侵，找到你的漏洞等等。我们现在的做法，是和一些合作伙伴共同开发一些技术，然后能发现到底这些信息是被谁获取的，都偷到了哪些信息，所以我们正在和各方面努力，来关注身份欺诈和网络入侵的情况。 有两点我想说一下，当一个国家逐步部署或者推开宽带网络以后，这个国家的欺诈或者网络方面的攻击也同时增加了。第二，如何教育大众，或者大众自身对这方面的防范意识，虽然目前市场有很多这方面的防范技术和安全保护的产品，但是如果一个用户本身自己都不知道如何保护自己，随随便便上上网，把信息透露出去，这也是不好的。 举例，尼日利亚20年前有一个病毒，这个病毒已经有20年历史了，最开始的表现形式是发信的形式，后来通过邮信的方式转成发传真的方式，又通过网络发邮件，进入MSN，现在又发现进入移动终端。我想说明的是技术在不断更新，不断进行保护，但是最终还是大众自身的教育程度和自我防范的问题。 我们从技术角度来讲，我们意识到，在过去病毒的攻击主要是来自邮件发送方式，现在和今后主要的攻击方式变成攻击网页浏览器，我们现在正在进行这方面的研究，保护用户的网页浏览器，比如说帮助用户通过我们的技术和产品发现哪些网页模糊或者影像不太好，发现里面有恶意代码，提前进行预警，达到防护的目的。我们这种做法，换一种说法更生动一些，就是帮助我们的用户在因特网当中防止走死胡同或者黑路。 我们现在正在开发一个技术，叫“主动防范技术”。我们通过引擎帮助客户防范已知或者未知的病毒，已知比较容易，我们采取一些措施给它阻断就可以了。另外，我们可以通过新技术发现一些未知的，发现做法和性对比较可疑的，我们同样可以提前来防范。 最后，我想强调一点，我们提供新的技术当中，同时也要给客户提供更多种类的服务。现在我本人发现一个挑战，并不是所有人对技术实时更新非常感兴趣。所以，我们要把及时更新和最好的服务提供给客户，来帮助他们如何来更好地保护自己。我举一个最典型的例子就是诺盾的360，它针对家庭用户还有企业级用户。 问：企业安全方面，赛门铁克认为哪种针对企业的威胁或者安全防范技术会成为热点？ Vincent Weafer：我们认为，今后针对企业的威胁或者攻击，从种类来讲越来越多的是那种非常有目的性的，专门冲着你来的。2006年，我们也发现很多企业或者政府受到针对性的攻击。他们用的技术都是跟所谓微软的技术相关的，通过邮件的方式。但是他发送他攻击的对象并不是像以前一样，针对一百万人或者一万人这样的，可能就发送一个人，但是影响同样让企业非常担忧。 从企业来讲，非常担忧乱七八糟的垃圾邮件过程，或者病毒的侵犯，或者恶意的信息和代码，同时企业更加关注和担忧，他们内部的信息在没有保护的状态下泄露出去，因为里面有一些资料或者敏感的内容。所以我们也在研究如何防范企业的信息泄露，或者减少外露或者泄露的可能性。 我们也在开发一些新的技术，因为从许多国家来讲，有很多网络技术或者移动技术出现，特别是商务人士，他们用非常好的智能手机，它的功能很多，包括上网浏览或者接触公司内部的信息。这些信息往往都是非常机密的，如果染上病毒并因此而泄露出去的话，对公司肯定是一种损失。所以我们要开发这种技术，让这些人使用这些技术，使他们使用的这些设备的信息不会被泄露出去。 现在在美国，大家可能知道，前几年出台了萨班斯法案，主要是针对数据特别是财务数据和信息的保护，保护的要求非常严的，已经上到CEO的级别了。在其他国家我们也发现了美国立法有着同样程度的关注，一方面从私人角度来讲，你肯定对你私人的信息非常在意；公司也一样，不愿意把公司内部的信息外露出去。 问：赛门铁克的安全响应、安全分级分为高、中、低级，怎么来区分这三个等级？赛门铁克在中国的响应周期是多长时间。在中国，发现一个病毒或者木马之后，需要花多长时间来查杀？ Vincent Weafer：攻击通常有这么两种情况，一种是微软自身的操作系统，就是计算机里最核心的部分，首先出现了漏洞，这样的话，肯定会出现安全方面的问题。第二，有些人发现你有这种漏洞，然后利用你这个漏洞来获取信息。接下来他们肯定使用某种方法，针对某一个用户或者几个用户来操控他们的计算机。接下来的情况是非常普遍的，会迅速地就把病毒扩散。比如说，我们发现在未来几周或者几个月当中，恶意代码发生的数量可能将达到几万或者几百万。举一个例子，spambots这种病毒，可以发生9千亿个变种，这样就会攻击很多的漏洞。 病毒从始到终的周期，从我们的判断通常要经过5—6年的时间。病毒的几个阶段，从出现漏洞到几个人利用这个漏洞，通常是几天到几周的时间。中间环节，就是第二个扩散部分，时间同样是从几小时到几天。举一个例子，比如说专门有一个窃取银行密码的病毒，我们发现它每年出现130次。 从我们赛门铁克来讲，我们响应的手法通常是这样，我们首先跟踪这个病毒，然后我们会帮助用户去找出这个病毒。这正是我们服务最核心的部分。再举一个例子，我们有些防范措施都是实时更新的，更新签名的状态。比如说垃圾邮件。我们每隔15分钟就会更新垃圾邮件的户名；关于病毒，我们就会每隔1个小时就要更新一次签名。 通常来讲，你分析一个新的攻击或者新的病毒所需要的时间，有时候可能两分钟就可以了，有时候可能要几周的时间，所以要看具体病毒的复杂情况。如果我们把新的病毒下一个定义的话，在几个小时之内就可以做到。但是我们要全面了解它，它都攻击了哪些网页，从互联的角度来讲，它都跟哪些网页有链接，而且它要针对哪个地方发送这种攻击，整个过程下来需要几周的时间。 比如说，针对某一个公司的广告软件或者间谍软件，我们也要看它具体的复杂程度，都是哪些公司介入进来的？欺诈都有哪些链接，这种链接是否存在欺诈的行为，真正找出是谁来攻击，或者他想攻击什么，是防范当中最难的一部分。 我举去年12月份一个真实的例子，当时我们的客户请求我们检测一下，说“有一个代码上我们公司ISP网100万次”，就是100万人浏览了他们这个网页。当时用户也搞不清楚这种攻击到底是一种什么类型的攻击，到底是一种病毒的攻击还是垃圾邮件的攻击还是出了什么新的程序。后来我们进一步调查，发现他之所以出现浏览人数这么多的原因，就是出现了一个瓶颈，这个病毒我们当时发现叫Rustock。我们后来发现为什么会有这么多数量的人去访问这个网页呢？就是因为这个蠕虫是实时搜寻，就等于是变相的垃圾邮件，可以躲避他们防火墙的防范。当然，当时这个蠕虫病毒本身自己的指令或者控制也非常复杂，但是不管怎么说，这次也是通过垃圾邮件的方式进行欺诈，这是他们最终的目的。当时赛门铁克对这个案例及时做出了垃圾邮件方面的响应、保护，找出IP地址，对于欺诈方面的防范我们也提供了，最终解决了他们ISP方面的瓶颈。 问：赛门铁克如何应对基于互联网以外的网络，比如说手机网络以及CPC的终端设备，比如说手机、电视盒之类的设备，如何防范他们的攻击，以及在产品的防护上是否要建设一个全新的全球监测网络？ Vincent Weafer：这一点是毫无疑问的。因为赛门铁克有专门负责端点保护的部门和业务，不管是PC机也好还是其它的终端设备，像移动这块，我们都可以进行保护。举一个例子，比如说移动，我们针对瑞典的Savin（音）提供移动网络的平台进行了保护，微软提供的移动平台我们也进行了保护，还有SUN公司出台的技术平台，我们也进行了保护。我们现在有针对不同终端进行保护的技术，而且以后这些技术会越来越多。 现在全球有这么一个趋势，从总体来讲，有很多人都在用电脑、互联网，今后这种趋势还会越来越多，很多人都会用非传统的方式进行互联或者链接。包括将来基于计算机的应用会进入到我们生活当中，你可能在某一个餐厅预定，某一个ATM取款或者到银行都可以用到这样的设备。 我们今后要着重考虑，怎么样保护家庭用户，特别是这些用户从家庭到办公室上班的路上或者往返的保护。因为很多工作人员会带着手提电脑或者智能手机来往返他们工作单位。所以，我们一方面要保护企业级的用户，同时我们也要针对家庭用户提供保护的方法。
