《云安全》在线系列讲座之三 --- 云安全的悖论

xgxb2005@126.co

讲座一参见：《云安全》在线系列讲座之一 --- 云安全基本概念，http://bbs.kafan.cn/thread-934671-1-1.html
讲座二参见：《云安全》在线系列讲座之二 --- 人云亦云，http://bbs.kafan.cn/thread-940068-1-1.html

在开讲之前，我们来做个游戏。这个袋子里有10个球，其中1个是黑色的，其它都是白色的。请你告诉我，一次取球，取到黑球的概率是多大？你的答案是1/10吗？好，袋子里的球增加到100个，其中1个是黑色的，其它都是白色的。请你告诉我，一次取球，取到黑球的概率是多大？你的答案是1/100吗？概率越来越小了，对吗？

如果我说，你错了，实际上随着袋子里的球越来越多，你拿到黑球的概率越来越大。你一定觉得我脑子有毛病。

那么，再来看看这个说法，“云安全的策略构想是使用者越多，每个使用者就越安全”，和“袋子里的球越多，拿到黑球的概率越大”，有什么区别吗？

看了讲座一的朋友，自然会理解，云安全的用户越多，对反病毒厂商是越有好处的，因为用户的数据可以免费拿到。Metcalfe’s Law是成立的，“网络的价值同网络用户数量的平方成正比”。但你一定要搞清楚，这个网络的价值是对谁而言的，是反病毒厂商，而不是用户。

用户越多对反病毒厂商越有价值是不能明说的，说出来用户也接受不了，那么，换一种说法就是，用户越多越安全。用户很开心，但是，真的是如此吗？还是去摸摸球体会一下先吧。

第一，性能。这个我不多说，大家都能理解。网络、服务器、数据库，都是有瓶颈的。但这个问题从技术上、硬件上都是可以解决的，这里提一句就是想说明，用户越多对性能的影响自然越大，不可能用户越多，性能越好。

第二、处理时间。不管你是白文件也好、黑文件也好、灰文件也好，都是袋子里的球。云端搜集到的文件越多，相当于袋子里的球越多。如果病毒用黑球来代表的话，是不是查出病毒（黑球）的概率就越低？怎么会反而越安全了呢？

第三、每个用户就是那个唯一的黑球。有人提出，球是越来越多，但黑球同时也增加了呀，被查到的概率也增加了。但是对于某个特定用户来说，自己就是那个唯一的黑球，当反病毒厂商说，我们的用户染毒概率是0.000001时，对这个染毒的用户来说，是100%。

所以，即使我们现在还不能肯定的说用户越多越危险，但也决不是用户越多越安全。

对于这个悖论最好的例证就是大家常说的“第一批牺牲者”问题。

无论对于传统的反病毒还是云安全，“第一批牺牲者”都是不可避免的。“第一批牺牲者”说明了病毒是实际存在的，查杀这样的病毒才有实际意义。如果某个病毒，在没有“第一批牺牲者”的情况下，被某个反病毒产品查杀，这种查杀基本上只存在市场营销方面的意义，对用户是没有意义的。但恰恰，现有的大部分病毒，就是号称每天新出现5000、10000个之类的，都是只存在市场营销方面的意义的病毒。我在讲座一中举例的ITW新增样本集，才是真正业界专业的被“第一批牺牲者”验证过的对用户有意义的病毒。这样的病毒，很少很少，平均每天4个。不用质疑，上个月的ITW我一个一个数的。

但现在问题的关键是，相对于传统反病毒，云安全架构下的“第一批牺牲者”有点儿多了，不是多一点儿，而是多太多。

因为传统反病毒主要面向病毒样本（黑名单），数量少，更多地采用了人工分析。云安全比较贪心，各种文件通吃，黑名单、白名单、不黑不白搞不清楚名单等等，人工肯定不行，累死也不行，只能更多地依赖自动分析。

从这一点上来看，传统反病毒在对病毒样本的快速响应上，绝对是不输于云安全的。准确率更是云安全没法比的。传统反病毒的劣势是特征库到用户的分发时间，相对近乎实时的云安全来说，有点儿太长了。

人工分析，一个样本就够了，病毒分析员可以直接下结论，这是一个病毒，提取特征码，入库。“第一批牺牲者”也许只有一个用户。

自动分析，需要同一样本多次出现，触发预设的阈值，启动自动分析。预设的阈值也许是固定值，例如100，也许是比例值，例如所有用户的0.0001，如果是1000万用户，就是1000。所以云安全的“第一批牺牲者”永远是成批的。

如果预设的阈值是比例值，例如所有用户的0.0001，如果是1000万用户，“第一批牺牲者”就是1000。如果是1亿用户，“第一批牺牲者”就是10000。如果你是恰巧处于“第一批牺牲者”之中，你告诉我，是用户越多越安全吗？

好了，本次讲座到此完毕。逻辑不是很严谨，结论也有点儿强词夺理。不过主题还算明确，那就是“用户越多越安全”的提法纯属扯淡。

（注：1楼内容只包含本贴主题的主要部分，更多讨论，敬请爬楼。相信我，爬楼时一定会有意外收获。）

对网友疑问的补充：
1、“云安全这朵云越大收集到病毒的可能性是否增大的问题，也就是说是否sensor越多越全面的问题”这句话基本上没什么毛病。

但搜集到了病毒样本，并不等于你已经识别出来了。你有所有的病毒样本，但你如果识别不出来的话，跟没有是一样的。“用户越多”=“sensor越多” = “样本越多”是成立的，但“样本越多” = “越安全”是不成立的。这也是本讲座的主题：“用户越多”和“越安全”之间没有必然联系。

lsf888888

了解下，就可以了

413650772

不错哦，支持了