昨天用户的网络出现了一些异常，想到IDS里了解一下情况，结果无法登录。让IDS工程师远程指导用户操作，也无法正常登录，于是工程师的建议下，重起IDS系统后恢复使用。      这个项目的实施已经拖了很长时间了，上午去客户那里讨论确定下一步的实施计划，顺便了解一下昨天发生问题的一些情况。登录到IDS界面里后，发现自1月30日凌晨5点至昨天下午2点（重起IDS时间），IDS都没有日志，也就是说，在长达一周多的时间里，IDS处于不工作的状态。

      电话咨询我们的IDS工程师，答复是这个问题在其他的客户那里已经出现过，IDS的主进程死掉了，有时候运行1周后就会死掉，还好这个用户这里是运行1个多月才死的！目前还无法解决，正在查找BUG中！我说，啊！这怎么让我和用户解释，于是，工程师就告诉了我一堆方法，什么网络流量较大啊、什么日志满啊等等导致机器的当机等......

      我想，算了吧，还是向用户实话实说吧。不要将用户当成傻子，不要试图向用户隐瞒你产品的缺陷，这样只会有一个结果，就是用户将不会再信任你的产品，也不会再信任你！

-EOF-

传统的安全服务，包括评估、加固等并不是本文讨论的重点。相反，正是由于这种传统的安全服务，给我这几年的安全生涯带来了很多困惑：一方面，固执的认为服务将会是未来的发展方向；另一方面，这种安全服务是客户所需要的吗？它为客户带来了什么好处？它又为供应商带来了什么好处？

------ 写在之前

一、从产品向服务的发展

 产品和服务各自都有自己的经典代表，那就是微软和Google。

微软是产品时代的经典。微软的Windows和Office产品铸就了这个软件帝国的神话。但这个时代已经不属于产品，尽管微软推出了各种各样的、基于产品的Solutions，这种Solution看似在向服务过渡，但终究还是基于产品。微软虽然也推出了它的Live战略，但迄今也没有找到一个成功的基于服务的商业模式，所以微软离服务时代还很远。

Google则是服务的经典代表，Google到现在也没有一个真正意义上的产品，Google提供全是服务。本来是产品的东西比如Picasa到了Google那里也成了服务。像微软造就了软件神话一样，Google造就了基于互联网的服务的神话。Google的服务有两个特点：

• 不向服务的使用者收费；
• 服务的使用者越多，Google获利就越大。

这两点能否得出一些启示？

在Gartner的Magic Quadrant for Enterprise Antivirus, 2006中，对魔方图里的几个防病毒公司都有一些Comments，我摘录一些要点：

1、Symantec

• 仍在忙于在整合Veritas；
• 开始在SAV 9和SCS 2中整合anti-spyware的功能；
• 2005年在企业桌面安全（Enterprise Desktop Secuirty Businiess）方面有两个动作，即整合Sygate和WholeSecurity：
  • Sygate gives Symantec a best-of-breed PFW, policy enforcement, on-demand functionality...
  • WholeSecurity's offering is a unique form of intrusion prevention that will be incorporated into Client Security...
• Symantec虽然在桌面和企业防病毒市场取得重大的成功（50%以上的market share），但从长远看，SMTP和HTTP的恶意软件防护才是市场增长点，但Symantec的E-Mail安全网关表现令人失望，且没有HTTP恶意代码防护的产品；
• Managed Services and Software as a service will become major growth opportunities for the enterprise, SMB, SOHO and consumer markets...

2、Trend Micro

• Trend Micro继续的亚太地区（Asia/Pacific）保持高速增长；
• 和Symantec的Sygate和McAfee相比，Trend Micro缺乏一个企业级的PFW产品。到目前为止，Trend Micro没有HIPS（Host-based IPS）的产品或功能模块，而且的计划中也没有类似安全套装（a converged security client）的产品。Gartner认为，未来针对于防范未知恶意代码的产品是非常重要的；
• Trend Micro在维持与Cisco的关系方面投入了太多的精力。Gartner甚至警告说不要将鸡蛋放在一个篮子里（Trend should be careful not to put all eggs in the Cisco basket...），因为Cisco完全有能力随时并购另一家防病毒公司；
• Gartner认为微软进军防病毒市场对Trend Micro的影响最大，因为Trend Micro的主要市场是基于Exchange的防病毒产品和InterScan Web Security Suite(IWSS)，而整合了Sybari的Exchange，结合微软的市场优势，将会使Trend Micro失掉这个市场。

3、McAfee

• McAfee成功的阻止了竞争对手对其市场的侵蚀；
• McAfee重视与ISP的合作，发布了Falcon这个和Norton 360、Live OneCare相竞争的MSS产品；McAfee的Total Protection Solutions包含了anti-spyware、PFW、intrusion prevention和policy enforcement模块，以及一些网关防病毒、防垃圾邮件产品等；
• McAfee的主要技术优势是它的ePolicy Orchestrator(ePO)和Host-based Intrusion Detection。McAfee的管理平台 - ePO，由于能够整合Foundstone的Vulnerability detection功能而得到用户的期待；而其PFW也功能强大，但和Symantec Sygate相较仍有不足。

有个朋友的朋友托我看看他的朋友的网站存在什么问题，好象被攻击了。电话打过去一聊才知道是网站最近经常Down机，找到系统管理员沟通一番，才知道不是被DoS，而是长久以来就一直不稳定，3天2头重起（听起来怎么这么熟悉？），后来找人弄了一下后，可能稍好了一点。

让他告诉我域名，上去看了一下：ASP系统，有BBS。找个工具简单扫一下，结果让我大吃一惊，FTP、IIS、pcAnywhere、BBS全都存在严重漏洞，随便一个IIS的漏洞都能获得最高权限。BBS也是一个国内常见的系统，数据库路径、名称全部为缺省值，直接可以下载下来………这个汗啊！

这个朋友的朋友的朋友创业已经好几年了，他的网站上线业已经3年多。他从事的行业竞争也相当激烈、众多的竞争对手，天天都会发生互挖墙角、互相拆台的事情；他的网站不仅仅是一个宣传门脸，也承担着一部分的业务流程，而且这个业务流是必须的…………这样的一个网站，竟然能够在裸奔中度过了这么多年，真的不容易啊！

虽说我现在是做安全的，但我不是黑客出身，不懂很深奥的黑客技术，更不像一些黑客们有事没事就在网上扫来扫去，所以也真不知道现在的互联网就是这个样子。看来那些流氓软件、恶意木马等之所以能够泛滥流行是因为他们有如此肥沃的土壤啊…………

在信息安全领域，Due Care实际上是说一个企业要制定各种各样的策略、规程和标准等，用来对企业信息资产的保护，也就是企业应该做的事情；而Due Diligence则是要保证Due Care要做的那些事情要一直保持在最新状态（being continually maintained and operational）。

下面这一道来自互联网的题比较有助于理解：

Which of the following would violate the Due Care concept?

A. Security policy being outdated
B. Data owners not laying out the foundation of data protection
C. Network administrator not taking mandatory two-week vacation as planned
D. Latest security patches for servers only being installed once a week

根据上面的解释：

A - Due Diligence：制定Security Policy是Due Care,但没有更新就是Due Diligence
B - Due Care: 必须要保护数据安全，这个是Due Care,如果你制定了要保护数据安全，但没有做，就是Due Diligence.
C - Due Diligence：要求定期的休假是Due Care,但没有去休假就是Due Diligence
D - Due Diligence：要求打Patch是Due Care；而每周打一次，不能保证时刻保持系统为最新，违反了Due Diligence.

Due Care就是应该做的事情，有点像计划；Due Diligence则要保证Due Care在执行。

比较孤陋寡闻，刚从网上看到一个测试防病毒软件能力的一个小代码，比较有趣：

X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*

把上面这段代码复制到记事本里，保存为文本文件，然后等待你的防病毒软件的动作，结果参考下面：

• 特等：复制完代码后便提示内存有病毒
• 优等：刚保存完就提示病毒(或者直接删除)
• 中等：保存后几秒提示病毒(或者直接删除)
• 下等：需自己启动病毒扫描查杀才提示病毒(或者直接删除)
• 劣等：无论怎么扫描都无法提示病毒(或者直接删除)

我以前是直接上eicar.org的。