联想网御助理总裁马虔谈联想网御的技术战略

网易科技讯 5月15日消息，由计算机世界传媒集团主办，《CSO&信息安全》月刊承办的第六届中国CSO俱乐部大会暨2008中国信息安全年会在北京召开，网易科技频道做为独家门户直播网站在现场做了直播报道。

以下为联想网御科技（北京）有限公司助理总裁马虔做“保障业务安全，促进产业腾飞”的主题发言。

主持人：感谢王军老师的精彩发言，原中国信息安全产品测评认证中心，这也是成立很久了，不久就改成了信息安全测评中心。通过王军老师的发言，我个人对于信息安全服务，至少有一个适合中国产业的环境的分类，以及进行了梳理，让我们在信息安全种类和问题方面有了规划。如果大家对于信息安全服务有相关的话题和需求，欢迎会后与王军老师进行交流。

下面，为我们带来主题发言的是联想网御科技（北京）有限公司助理总裁马虔，不过在他上台之前，给大家播放一个不到1分钟的短片，就是联想网御自己在品牌推广和形象方面的理念。（播放VCR）

下面，有请马虔为我们做“保障业务安全，促进产业腾飞”的主题发言。

马虔：尊敬的各位领导、各位专家、各位来宾，大家早上好！

在我进入汇报主题之前，请允许我代表联想网御表达一下对灾区人民的慰问。联想网御全体员工对于灾区的全部捐款，已经于前天中午送抵中国的红十字会，那么联想网御的自发的20多名员工加入了灾区救援的行列，对灾区的人民提供服务。我想作为社会的一员，我们表达对于灾区人民的贡献，这是义不容辞的责任，同时作为一个企业，我们也是义不容辞的。

我今天主要介绍的包括两个议题，第一个我想向各位阐述一下联想网御的技术战略，因为在后续的如何保障业务安全的战略里面是来自于技术体现。下面，我们探讨一下应用防护的安全制造。

首先，看一下联想网御的大概的发展历程，99年其实在联想研究院已经成立了专门的信息安全研究室，来进行信息安全方面的技术储备和研发。2001年在联想成立了专门的信息安全事业部启动专门的信息安全业务，那么到了03年，根据技术报告，联想的信息安全产品在市场已经取得了前列的位置，04年我们成立了联想网御科技有限公司，那么到了去年我们发布了联想网御下一代安全架构。

那么，我们在未来的一段时间，也会围绕着联想网御下一代安全架构来实现。实际上，这是匹配着信息化建设发展而来的。我们知道，信息化建设是从注重早期的基础建设，到应用数据和系统建设，那么相对应的信息安全建设应该与之相匹配、相支撑。所以，联想网御的下一代安全架构也是围绕着这个方面来发展的。

那么，在IT基础方面，我们主要以弹性技术平台为基础，那么我们看到了数据系统已经成为了重中之重，我们提出了业务导向的可信计算，主要包括了可信接入、应用终端等几个核心的部分。相应地，我们围绕着IT的管理和流程，会有大量的信息系统来展开。相对应的，我们提出的是服务导向的安全管理。

那么，要想支撑这样的一个下一代的安全架构，那么作为一个企业来讲，要有自己清晰的符合自身发展的一个技术发展的战略，才能够比较好的支撑起来这样一个下一代的安全架构。那么，联想网御的基础架构包括三个部分，一个是技术上的公司自研，一个是技术引进，一个是技术合作。

今天，我们看得到，大多数的安全企业非常注重自身的研发能力，强调很多的技术要自己储备、研发。但是，我们客观、冷静地想一想，是不是只有自主研发就足够了？因为客观地讲，大多数的信息技术或者是信息安全技术，它的核心技术或者是前沿技术，还是国外占了比较大的优势。如果我们只是埋头苦干，一步一个脚印往前追，我们在短期不能赶上国外的技术发展。那么，怎么样让我们扎扎实实做好技术研发，同时又缩短国外和国内在技术上的差距呢？联想提出了两条腿走的思路，就是注重自己公司研发的前提下，同时我们广泛地展开技术引进和技术合作，但是重中之重是，我们想清楚，什么东西我们需要自主研发，什么东西可以我们在巨人的肩膀上发展。那么，也就是我们要考虑清楚，什么是有所为，什么是有所不为。

那么，在这个领域里面，联想有一套自己的清晰的指导理论。那么首先自有研发体系，我们注重在软件平台、硬件平台、安全体系和攻防技术方面的研究，因为我们认为这是必须掌握在自己手里的核心技术，没有这些核心技术，谈不上信息安全。这是联想网御的自主的研发体系。

那么，在自主研发体系基础的形成下，这几年的发展以后，联想网御已经形成了一系列自有的技术专利，这都是集中在安全领域里面的自有技术。那么，在这个表上已经列举了一部分，实际上，联想网御有48项的专利技术。

那么，我刚才已经谈到了，还有一些技术，我们需要和国外的技术领先企业展开广泛的技术合作。这个手段有很多，包括花巨资买一些相应的安全技术，甚至是源代码级的安全技术，也可以通过一些收购把安全技术据为己有，那么包括了Intel、IBM等等都是联想网御的战略合作伙伴。

那么，谈到这里，实际上联想网御是提出了这么一个发展的战略。那么，联想网御将借助资本的力量，推动中国信息安全产业的发展。

刚才我谈到的是联想网御的技术战略，下面我们看一下在这种技术战略的发展下，联想网御提供的应用的防护指导是怎么样的。

首先，经过这几年的发展，联想网御在安全方面已经有了很好的积累，我们提出了未来3年的业务是巩固相应地业务，我们联想网御已经有了很深的基础，所以对于这个方面的基础我们要进行很好的巩固。同时，我们要重点发展应用安全业务，就是进入到了我们刚才的下一代架构的第二个阶段，就是注重应用系统与数据管理，为用户提供业务的持续的保障。我们知道，在今天的用户的业务系统对应到IT系统里面，正是一个个重要的应用系统，形成了客户的电子商务、电子政务等各种各样新的业务。同时，我们要立足现在、展望未来，我们要关注下一代安全架构第三个阶段，就是如何进行管理安全业务，就是我们应用安全业务如何发展。

这张图是已经呈现给大家的下一代安全架构，那么在应用与数据安全，那么就是业务的核心导向计算，它包括了三个部分。第一个是可信接入，就是在业务进入应用系统之前，我如何保障这个接入是安全的。第二个是可信的业务系统终端，因为如果这个点有问题，会影响你业务自身的稳定性。第三，接入是安全的，终端也是安全的，那么整个的应用环境和应用流程是不是安全的。那么，这里面要围绕着应用监控来考虑。因此，联想网御的下一代安全架构，数据环节就是这三个环节，它是相对应的业务稳定性的保障。

在具体落地之后，它实际上是一个应用安全的解决方案，它主要包括了4个部分。第一，当你的业务系统在网络上展开以后，那么来自于互联网不管是你的客户、合作伙伴，他的接入我们一定要保证他的安全，因为他要接入到你应用系统内部或者是延伸到业务系统的自身。第二，在接入以后，我们要考虑认证、权限管理、审计的问题，所以要有应用安全管理平台，保证统一的帐户管理、统一的授权管理、统一的认证管理和统一的审计管理。那么，当他进入到你应用系统自身的时候，我们要考虑你业务系统里面千千万万的应用终端，他的操作是不是可以保障，是不是合法，是不是可以合乎你的要求。最后，我们要看应用系统自身是不是可以稳定运转，就是要有一个应用系统的监控。

那么，我们先来看第一个环节，就是应用安全接入我们怎么来保障。在这一部分，我刚才谈到的技术战略里面，其实已经谈到了技术上面战略的另外一种思路。其实，熟悉联想网御的同事可能都知道，联想网御原来是做安全起家的。原来，我们在密码方面也有SSL VPN，在防火墙也有VPN的模块，那么给为方便的安全接入的方式可能是SSL VPN一个方式，但是我们比起世界上先进的技术还是有一定的差距。那么，就不得不考虑到应用技术安全的时候，我们联想网御投入巨资，进行战略收购，收购了SSL VPN技术先进的公司，就是收购了国际顶尖的企业。那么，原来这个厂家从事4A服务器和SSL VPN技术的研发，可能大家对于这个公司的名字并不熟悉，但是国际上很多的企业是贴上了另外的品牌，利用他的产品在销售。所以，这家公司在技术里面是很有独到之处的。

我们通过战略收购这样的技术型的公司，我们有了自己的技术储备，形成了自己的技术方案。同时，这家公司在4A服务器和SSL VPN的技术上面已经有了10年的研发，所以我们可以说它完成了应用技术与产品的相应的储备和研发。这里面包括了密码应用技术、身份鉴别技术、访问控制技术、安全传输技术等等一系列的安全技术产品。我们通过这种战略收购，形成了我们自有的安全技术产品和突破。这样，我们可以为用户提供非常可靠的应用安全接入的一个方案。那么，这个是组成了我们整个应用系统安全防护方案解决系统应用的一个方面。那么，不管你通过什么方式，通过Internet接入到你的专网的时候，可以通过SSL安全接入网关来进行接入，同时它是有密文保护，同时我们对于接入人员的身份、权限等等一系列的问题提供管理，来确保接入人员接入的身份、机器是不是合法的。从而，来保证接入到你的服务器的核心区的时候，所有的操作行为都是可以管理、可控制的。这是我们应用安全接入的一个主要的方案。

那么，它能够实现的具体内容有很多，这里面我们首先列举一小部分。第一个是提供SSL协议在信息加密方面的接入，同时提供身份认证等的接入，我们提供一揽子的解决方案。同时提供访问控制、安全审计等等的功能，在这里我们不一一列举了。

这个是应用安全接入一个典型的案例，我们可以看到不管你是分支机构还是合作伙伴，你不管通过无线接入还是拨号上网，当你要进入你企业的应用系统之前，你都会通过安全接入网关来进行相应地密文传输和身份认证管理，然后你才可以进入真正核心内部的应用服务其，来实现你应用系统的正常运转，就是支撑了你IT的业务保障系统。

刚才我谈到的应用安全接入解决方案是我们整个的应用系统解决方案第一个环节，那么第二个环节就是当你接入进来以后，最为棘手的其实是你分散在各地办事处和合作伙伴那里千千万万个终端。那么，这些终端有可能要操作到你的应用系统，那么这些人员和终端的管理是非常棘手的问题，那么我们业务导向的可信计算，这里面第二个环节的管理就是应用终端的管理。那么，它的子方案包括了可信终端控制、可信行为监管等4个核心部分。我们先来看一下，应用终端到底棘手在什么地方，它面临了哪些问题。这个图上分类列举了几个部分，包括了文件的泄密、USB的泄密，我相信这在大多数的企业涉秘文件里面都非常头疼的问题，尽管国家的法律规定了，但是这样的问题层出不穷。

那么还有资产的管理，资产的非法变更等等我们要进行管理，还有企业系统里面安装了非法的程序，虽然你认为这个程序不相关，但是这可能是某个人或者是非营利组织在互联网上放一个小程序，他的安全性和他的代码是否符合规程，都很难计算。那么，还有不该看的网站。那么应用终端分布在各个地方，你通过一个集中的网管人员，管理到这些很分散的点的话，这是非常困难的。

那么，针对这种复杂、棘手的问题，那么联想网御提供的是应用中断安全防护解决方案。那么这里面包括了补丁的保密、资产的管理、准入控制等等几个环节。

具体的控制如图所示，那么在终端的管理系统里面包括了安全准入管理、补丁管理系统等等。那么，我们知道我们的系统面临很大的干扰是类似蠕虫的病毒，这往往是利用了系统的漏洞在大量的传播，这必须要清楚蠕虫，否则你加上了杀毒软件和防火墙也没办法很好地解决。因此，补丁应运而生，所以我们可以通过这种方式，来增强你系统自身的免疫能力，提供很好地防护。那么，有一些你企业内部的人员，可能无意中造成了文件的泄密，那么通过文件的保密系统可以很好地解决。

那么，这三个子环节，包括应用安全接入、应用终端的管理、应用系统的可信，这不是很多系统的工作的叠加，所以我们形成了一个联动的过程。那么，当你的内网终端如果有某一台机器做一些不该有的操作的时候，并不仅仅在内网里面对他进行限制，同时他会把这个许可的信息传递给安全接入，甚至是传递到安全防火墙，这样通过一些规则的建立和设定，对这台终端进行严格的操作，比如说不允许他访问Web网络或者是其他的子网，这样对他进行各种各样是的网络行为的管理和监控来确保他的危害降到最低。所以，我们在这里要强调，应用终端的安全管理，应该和你外部的安全接入甚至是外部的防火墙，形成一个很好地联动机制，这样才能够起到内外合一的安全保护。

那么，在谈完前两个字环节之后，第三个环节就是我们谈到的应用安全的整个过程，就是整个的应用安全的流程是否安全。那么，第三个部分就是应用安全监控。那么，应用安全监控子方案，在联想网御里面，我们主要是有一款国内首款的基于硬件和关联业务的应用健康状况监控与管理平台，它可以对于应用系统进行相应地监控，并且对于应用系统的走态进行趋势的方面最后形成综合的管理报告，来告诉你的应用系统运行情况到底怎么样。那么，它究竟是怎么实现的呢？

我们看一下，里面核心的技术就是应用安全保证。我们知道，我们的应用系统其实对应是的是我们的业务系统，那么它运行是否稳定，我们需要有一个密切地关注。因为，如果它一旦降低或者是终端，意味着我们的业务系统将终端。大家都知道网上报费，其实企业报费在每个月的1日到10日是非常集中的阶段，那么这个阶段网上报费的流量会暴涨，那么会对网上报费的服务器形成很大的压力。那么，税务部门会派遣大量的人员来模仿网上报费的行为，来看他是否可以在规定的响应时间内完成整个流程的处理，这需要耗费大量的人力、物力，同时耗费的时间也会比较长，同时在定位有一些延期。

那么，通过我们这个系统，可以自动地采集和学习这种状态，那么在学习这种状态以后，当你网上报费集中的阶段的时候，他会不断地向你的服务器发射网上报费的业务流，来看一下这个业务服务器是不是可以正常地反馈，就是看网上的报费有没有中断。这个时候，来提醒我们的业务人员，你的业务系统是不是正常。

所以，在这个过程里面，应用安全仿真起到了重要的作用，它通过模拟和应用自学习系统，来报告给你业务系统运行是不是正常的。同时，告诉你业务资源的消耗，比如说你的服务器等等，他会监控这种资源的资源消耗。那么，当他进入到了集中的阶段的时候，这种资源消耗会很快地增长。那么，在集中增长的时候，那么他会报告你，按照这种增长比例，某一台服务器在明天或者是后天有可能会宕机。那么，会提醒你扩展一些内存，增加一些设备，或者是进行调整，来进行规避可能出现的业务风险，这是一个预警的功能。

那么，部署了这种应用监控的解决方案以后，它重要的核心业务内容，一个是提供稳定运行的状态的趋势，以及对于趋势的分析，那么基于这种业务趋势的发展分析，来对用户进行预警和告警，最终提供一系列的业务报告给管理人员，告诉他你业务稳定运行的情况下，你重点需要考虑解决哪几个问题。

那么，这是一个应用安全监控典型的案例，它通过对于我们终端用户、Web服务器、核心数据库进行很好地监控和管理，并且分析它的业务运行状态是怎么样的，我的模拟业务数据流怎么样的，并且出现了问题之后，我可以很快地定位这个业务数据流中断在哪。那么，如果是数据流走到服务器中断了，那说明你的服务器出现了问题，那么走到核心数据服务器中断了，那么说明你的核心数据服务器出现了状况。

那么，它带给客户的是一个全新的价值体现，它的核心价值是缩短了问题的反应时间，因为它可以非常快地准确定位你的问题到底发生在那里，来确保你业务持续、健康、稳定运行。

那么，一直到完全恢复，它可以提供相关的工具，来帮助你解决问题。那么，在事后分析的时候，提供强劲的报告分析，来告诉管理员，你的业务流程里面故障出现在哪里，你将来需要怎么规避风险。那么，这样的话，为用户提供确保你业务的稳定、持续、流畅的运行。

那么，我们基于IT服务的可信计算，它主要包括了三个环节，我刚才已经谈到了。业务安全接入、业务终端管理、业务保证监控。当然了，三位一体还会围绕着我们的安全运营管理而进行相应地工作，而不是各自工作的叠加，我这里之所以没有打开讲这个安全运营管理，是因为联想网御的解决方案都是标准的规范接口，可以适应市场上主流的网络管理平台，因为它开发的时候就是按照标准的接入和协议进行开发的。

所以，联想网御希望通过一整套的业务解决方案，可以成为一个业务运行的铁三角，可以让我们每一个用户，真正放心地使用互联网。

我的汇报到这里，谢谢各位！