记者： 过去网康是一家销售盒子为主安全厂商，如今在大数据实践方面也有了新产品布局，网康是如何切入大数据安全？在用大数据做安全方面，网康有哪些优势？

左英男：毫无疑问，人类正在从IT时代走入DT时代，根据IDC和EMC的联合调查，到2020年全球数据总量将达到40ZB。近几年，安全数据在数量、种类方面都呈几何级增长，传统安全防御体系已经难以为继，而以云计算、大数据、人工智能、威胁情报等为核心新一代安全防御体系成为了安全防御中流砥柱。网康作为一家专注于网络应用层十多年安全厂商，在产品战略方面也做出了相应调整，过去十多年网康在全国范围内已成功为客户部署了4万多台安全设备（包含下一代防火墙、上网行为管理等）。这些产品基本都部署在互联网出口，每天都会有各种海量数据流通过网康设备。从这个角度讲，网康天生就具备独特“大数据基因”。网康依托十几年在网络应用层技术积累，充分利用边界上设备收集的海量数据，于2015年8月18日率先推出了基于云和大数据技术的下一代网络威胁感知系统——“慧眼云”。作为国内首个失陷主机检测系统，“慧眼云”主要通过异常行为识别技术和威胁情报技术进行失陷主机的分析、发现、溯源，还原整个攻击过程，找到薄弱点，进而部署对抗措施，提升主动防御能力。慧眼云可以与网康的安全网关设备，如下一代防火墙NGFW、上网行为管理ICG等进行联动，实时将分析检测后的结果下发到网关设备，从而构建从发现到阻断的整体防御体系，进行多级的协同防御，彻底提升网络安全防护能力。

记者：安全的未来应该通过大数据技术在态势感知，协同防御、威胁情报等方面发力，网康在这些层面上目前或未来有哪些动作和计划？

左英男：网康科技近年来一直在业界倡导云管端智能协同的主动防御模式，从安全云、边界安全及终端安全等方面多方位、立体化的形成整体安全防御。网康的慧眼云已具备收集大数据，加工生产成威胁情报的能力及全局取证分析与预测能力。采用云查杀、云沙箱以及云恶意网址等技术，通过大数据安全分析平台，网康可以实时为企业提供安全智能的情报服务。而在边界安全层面，网康的下一代防火墙、上网行为管理、网络行为审计、终端准入控制以及web应用防护等产品则可以做到对企业应用进行可视化、局部关联的分析。而在终端安全的防御方面，网康则联合360一起，基于360在终端用户方面海量数据，从PC、服务器及移动设备等方面全面进行杀毒、防护。

通过以上“云、管、端”的协同防御，网康的下一代安全防御模式可以做到对全局进行大数据分析挖掘，对可疑的威胁主机作出告警。并能够基于海量的日志云存储，提供长周期和全局范围的安全事件溯源能力。通过 “云”、“管”、“端”之间的高度智能协同，网康已将传统的安全防护边界延伸到了终端用户。

网康在传统的网络应用层的研究方面有着丰厚的积累，尤其是对应用的识别与控制，网康拥有多项专利技术。而通过与360的合作，网康在云和端方面的能力得到了增强。未来网康还将在APT情报共享与交换方面进行进一步的扩展，而基于Hadoop的大数据引擎、针对未知威胁的虚拟云沙箱技术等都是都将成为网康进一步重点研究与探索方向。

记者：很多企业往往非常关注来自外部攻击威胁，而对企业内部威胁安全意识不够，网康对此现象理解和解决方案是什么？

左英男：造成网络安全的的原因可能是多方面的，有来自外部的，也有可能来自企业网络内部。企业绝大部分IT安全开支都是出于对外部威胁的考虑，但内部威胁因为时常被忽略，所以一旦发生，就会造成致命后果。

随着云计算、大数据技术的不断成熟，将云端的海量威胁情报信息及大数据的高度智能用于判别日趋复杂的威胁，包括不容易检出的内部威胁，已成为业界公认的技术发展方向。基于此，网康将上网行为管理与慧眼云平台对接，由上网行为管理为云端提供员工行为数据，云平台利用语义分析和异常行为分析技术，以人为核心进行全面检测。

该方案根据分析结果创建员工行为基线，基于员工的多维度画像分析得出员工的异常行为。由于不依赖于内容关键字等已知特征，极大的提高了失陷用户的检出率，并且由于实现了行为风险感知和预测，可以做到对内部威胁的主动防范，有效辅助企业提升管理水平。

记者：关于如何用大数据做安全，以及企业将会碰到哪些挑战，您有哪些建议？

左英男：虽然大数据价值得到大家公认，但是任何事物都会有其两面性，大数据也会引入新的安全威胁，存在于大数据时代“潘多拉魔盒”中的魔鬼可能也会随时出现。有以下几个点是需要大家注意：

首先是海量数据的管理问题。大数据是更容易被“发现”的显著目标，大数据经常成为网络攻击的第一演兵场所。一方面，大量数据的集中存储增加了泄露风险，黑客的一次成功攻击能获得比以往更多的数据量，无形中降低了黑客的进攻成本，增加了“攻击收益”;另一方面，大数据意味着海量数据的汇集，这里面蕴藏着更复杂、更敏感、价值巨大的数据，这些数据会引来更多的潜在攻击者。因此一定要将数据分散存储，同时也做好部分设施灾难性损毁工作。

第二是数据来源有效性问题。尝试尽可能使数据类型具体化，增加对数据更细粒度的了解，使数据本身更加细化，缩小数据的聚焦范围，定义数据的相关参数，数据的筛选要做得更加精致。

第三是大数据时代的安全与传统信息安全相比复杂性问题。大数据单位数据的低价值。这种广种薄收似的价值量度，使得信息效能被摊薄了，大数据的安全预防与攻击事件的分析过程更加复杂，相当于安全管理范围被放大了。