独立防病毒厂商的末日来临

在类似病毒的各种互联网安全威胁成几何倍数剧增的时候,说防病毒厂商的末日来临仿佛是一个伪命题,然而昆明亭长朗然科技有限公司的计算机网络信息安全分析师Bob Xue却坚持认为:独立防病毒软件厂商的好日子快到头了,不过,凤凰涅磐,防病毒产业的全新时代即将来临了。

首先,病毒通过终端设备如软盘、光盘、USB存储等进行感染的渠道和时代已经成为过去。新型的病毒多数会通过网络进行传播,而在技术上,防范网络新型病毒传播的最有效渠道仍然是安装补丁等终端设备加固措施;在管理上,最重要的则是强化终端设备用户的安全意识,比如不乱接收、开启或点击奇怪的不靠谱的附件或链接。即使有多层的防病毒体系保护,倘若没有实施这些关键的技术和管理方面的安全控管措施,终端安全也是一种奢望;反之,如果终端本身的安全控管到位,比如开启了必要的安全设置、保持了软件的更新,并且使用者的安全意识也得到了足够的提升,那防病毒显然是只会影响性能和误报误杀的麻烦东西。

然而,从多重防御的基础安全理念上看来,防病毒可能并不是“麻烦东西”,反而仍然有其作为一层安全“防护带”的价值。不过,了如同我们所讲,过多的低效安全防护反而会严重影响效率,打乱安全与效率之间的平衡。所以,将安全投入的99%给到防病毒,只实现1%的保护功力,完全不合算。

其次,防病毒软件与勒索软件不分家,很多独立的防病毒厂商让防毒软件免费只是个噱头,它们真正的罪恶目的是让免费的软件变成勒索软件Ransomware。勒索软件经常会弹窗,告知用户:如果不花钱升级、如果不点击广告,将会如何如何。个人、家庭及企业用户都深受其害,然而多都抱着“破财消灾”的心态,给恶人汇了款。显然,少数防病毒厂商的这些恶劣非法行径还将继续进行下去,然而,多行不义必自毙,多数受害者开始了信息安全意识方面的自我觉醒和救赎,加上有正气的安全力量比如正牌防病毒厂商开始揭露和阻止这些勒索行为,相信打着“免费防病毒”旗号的的勒索软件日子不会太久。

我们不可否认的是多数的防病毒厂商都是遵纪守法的企业公民,然而,常言道:一颗老鼠屎害一锅汤。市场上几家不良的防病毒厂商能轻松害死整个产业,更何况这个产业在走下坡路呢。

再次,则是在终端层面,独立防病毒软件被替代的时代已经来临,操作系统已经默认整合了防病毒软件,特别是Windows 8的开启时代。实际上,在过去的这些年,微软已经在防范恶意代码袭击操作系统上付出了很多的努力,也收回了不少的回报。防病毒,对微软这种大鳄来讲,投入一点点零花钱都会比其它独立防病毒厂商做得好,而且好的多,因为它更了解自己的操作系统,它的防病毒在兼容性、效能和性能上绝对排在前列。不过此前由于担心被扣上“垄断”的黑锅,而且要考虑独立的防病毒厂商的合作伙伴感情,微软并没有花大力气推动自家的防病毒产品。然而移动计算终端的革命,让微软少了很多顾虑,XP将寿终正寝,Win 7和Win 8时代,使用微软集成的自家防病毒,不花钱,又好用,无疑不再需要独立的第三方防病毒软件。

最后,对独立防病毒软件进行彻底革命的是更猛烈的云计算,主要的病毒感染渠道无疑是通过互联网络。一方面,各类互联网服务商会将恶意代码防范作为其增值或基本服务提供给终端用户,另一方面,企业级的互联网安全网关将强化Web安全、邮件安全和内容安全,这显然会很大程度上将恶意代码等互联网威胁拦在企业的网络大门之外。一年之内,防病毒软件没有报告出一条病毒,你还能指望用户会继续用下去吗?

不过,在结束之前,我们还要强调一下,如果最终用户的信息安全意识不足够,给再多的防病毒软件都帮不上忙。如果最终用户的信息安全意识足够强,不给防病毒软件,他(她)可能还会主动索要,尽管独立防病毒软件厂商的末日似乎不远了。所以,真正的帮助客户提升信息安全的防病毒厂商,是那些在信息安全意识上花功夫进行宣传的,而不是拿着“免费”诱饵的。

计算机病毒

正确认识数据“加密”及信息保密

加密是保障信息安全的基石,在遥远的古代,智慧的人们在传递信息时就知道如何使用暗语,在近代的战争史上,加解密设备更是得到了充分的应用。

我们不需要探讨“高深莫测”的加密算法和分享解密“达人”的高超技艺,更不需要争执多少位的密钥才足够安全。这个世界上顶尖技术大牛很多,我们尊重他们的伟大贡献,但并不需要烧香膜拜。术业有专攻,我们中的大多数人并不需要研究加解密技术,我们需要的只是更为普及的“信息加密”知识,是不是?

拜现代战争和信息技术的创新之赐,用于保障信息安全的加密技术得到了空前的发展,不过再如何厉害,也无非是为了保护机密数据信息免于泄露。数据怎么会泄露呢?有人中途截取,有人入侵偷窃,有人意外披露,有人刻意暴晒,有人搭线窃听,有人悄悄偷看,有人秘密嗅探,有人社交诈骗……

加密又能有什么保护呢?加密实际上是实施密码术的一种过程,密码术Cryptography源自于希腊语krytos“秘密”和graphos“记录”,即是把信息秘密地记录下来,也就是把信息弄乱,让那些截匪或盗贼收获一堆杂乱的东西,专业上称这些杂乱的东西为“密文”,与之相对的则是“明文”。

把信息弄乱不是也不方便自己人使用吗?这是当然,不过有将“密文”和“明文”进行转换的方法,也就是算法,通常程序可以快捷地利用这些算法,帮助完成转换。

我们需要关心算法吗?需要但是不太需要,为什么说需要,是因为有些算法被证明存在安全漏洞,而且随着时间的推移,有些过时的算法会被更强大的计算能力所轻易攻破。说不太需要关心,是因为算法是后台的东西,前端应用层面的用户,了解那多复杂的东西干嘛?

可是又不能一点点基础都不了解,比如一种网络服务,有提供明文的普通登录方式,有提供加密的安全登录方式,要选哪种?当然,明文的机密数据可能会被周边的黑客获得或被运营商中途截取。

那在加密方面,到底需要让最终用户了解到什么层面,了解到多么深入呢?昆明亭长朗然科技有限公司的信息安全意识培训顾问Bob Xue称:要让员工们了解到完成其工作所需的安全加密基础知识很必要,首先是加密本身的基础知识,其次是将加密知识贯穿于各类工作安全实践之中,比如互联网安全、网络通讯安全、数据存储备份、密码和权限等等。

举例讲,有公司会要求员工出差在外进行工作相关任务时,需连接VPN以保障通讯安全,但是有员工可能不理解这些繁琐的操作。如果向其演示搭线窃听或中途截取的案例,再展示加密通讯的效果,则会让公司的信息安全政策及操作流程换来员工的理解和支持。

再举例讲,有公司要求通过邮件传递机密信息时使用GPG加密措施,有员工可能认为邮件系统的基础架构本身就可以保障邮件是加密的,可是却无法理解到邮件接收端可能意外披露机密信息。如果有些相关的机密邮件外泄案例展示,则会换得员工对信息安全的正确认知和对邮件安全措施的赞同。

而移动计算设备的丢失或报修造成的大量机密数据外泄早成了媒体界和安全界炒作的话题,显然对敏感的数据进行存储加密已经成为信息安全的常识。

昆明亭长朗然科技有限公司提供各类安全意识培训课件和教程,包括针对全体员工进行的“信息加密基础”课程,并可根据客户的独特环境进行定制化修改,欢迎联系我们洽谈合作。

要让全体员工正确认识“加密”,并能将信息安全加密知识应用于实际工作实践之中,进行适当的安全保密意识培训是必需的。