安芯网盾：以内存保护技术实现真正的主机安全

■本刊记者 赵志远

近年来人们开始摒弃原有边界安全防护，并将目光转移到主机上。安芯网盾（北京）科技有限公司（以下简称“安芯网盾”）创新性地提出基于内存保护技术，实现对主机的安全防护。本刊记者采访了安芯网盾CEO姜向前和CTO姚纪卫，他们分享了该创新技术理念。

安芯网盾CEO 姜向前（左）安芯网盾CTO 姚纪卫（右）

如今网络攻击正在给企业带来严重威胁，思科2019年首席信息安全官（CISO）基准研究报告显示，在亚太地区网络攻击导致的损失呈上升趋势，有16%的公司在过去一年因最严重的攻击行为所导致的财务损失超500万美元。

面对新技术的发展带来攻守之势的变化，网络安全需要创新技术方能应对，安芯网盾就是一家极具创新力的初创安全公司，是国内第一家基于硬件虚拟化前沿技术保护企业主机安全的技术服务商。

打破安全边界，回归安全本质，防护主机安全

在谈到主机安全防护方面，安芯网盾CEO姜向前表示，“面对传统网络安全边界防护逐渐失效的现状，我们应当转变观念，网络安全应当回归到安全的本质上来，企业的核心数据资产在主机上，因此确保企业业务安全就要保障主机的安全。”

目前专注于主机安全防护的安全公司不在少数，且凭借各自的安全理念和擅长的安全技术深耕于主机安全领域。有凭借EDR（端点检测与响应）技术应用于主机入侵防御系统，实现主机高级威胁检测，也有基于新兴的自适应安全理念实现对主机的资产清点与发现等等，可谓八仙过海各显神通。

“这些技术各有千秋”，姜向前在分析当前主机安全防护技术时表示，“但安芯网盾不同之处在于深入底层硬件来做防护，以智能内存保护技术为切入点来保护企业主机安全。”

以内存保护为切入点，治标也要治本

基于硬件虚拟化技术来对内存进行防护，听起来令人眼前一亮，也有些让人一知半解，似乎在业界并未听说过这样一种安全技术。的确，这项技术在国内尚属首创，甚至在国外也少有类似的技术。

安芯网盾CTO姚纪卫解释说，目前大多主机安全防护还是围绕应用层或系统层，这可以防御多数常见的威胁，但近年来出现很多的高级攻击深入硬件底层，诸如Spectre和Meltdown漏洞等。大部分安全工具在面对新型威胁和内部威胁时缺点暴露无遗：由于恶意程序不再有心跳信息导致安全产品发现能力弱；有报警而无所作为……这些安全产品工作在应用层或系统层而无法触及到硬件层，是很难在第一时间发现并阻断这些威胁，因此难以从根本上进行防范。

而现在常见的反病毒技术无非是针对发现的病毒样本建立病毒库，一旦出现新病毒或变种就加入到病毒库，但这种方式一来具有滞后性和被动性，二来病毒库将越来越庞大，难以维护，治标不治本。

并且由于系统的某些限制，传统工作在应用层或系统层的安全技术无法全面监控系统行为，很多安全功能在系统驱动层是实现不了的，因此要想拦截此类威胁，就必须将安全机制下沉到硬件底层。

安芯网盾技术团队分析认为，不论威胁代码如何变化，计算机体系结构决定了任何安全威胁都需要经过CPU进行运算，其数据都需要经过内存进行存储，理论上基于CPU指令集这一层面实现的安全方案可以有效防御所有威胁，只要盯住内存，就能发现威胁的一举一动。因此，安芯网盾以此为切入点，实现对内存的监控，这样就可以了解到在其之上的系统层和应用层都发生了什么，继而各类威胁也将一览无余。

安芯神甲内存保护系统本质上就是内存防火墙，但国外的某些相关产品还是基于系统层或应用层对进程进行分析，并非真正的基于硬件防护，而安芯网盾的内存保护能够真正下沉到CPU内存，从而实现对主机中最核心部位的安全防护。

在姚纪卫看来，以硬件层为切入点除了以上优势外，还有其他很多好处，由于基于应用层的安全技术需要适配的东西很多，包括用户的业务系统、操作系统、数据库乃至各种硬件，在不同行业的解决方案中的各类代码修改量要在30%以上，即便同行业不同客户的方案代码修改量也在15%以上，工作量巨大。但对于硬件虚拟化技术来说需要适配的就非常有限了，无非就是几家厂商的CPU和十几款主流的OS内核等，相比而言以上两项数据是非常低的。

为什么在市场上很少见到这种技术，也很少有安全厂商涉及？姜向前介绍，相比其他安全技术来说，从硬件层入手是非常难的。基于CPU的硬件层面安全防护技术也是在近年来随着“安可工程”开始被客户接受，加之安芯网盾团队成员拥有十多年反病毒技术积累，经过对海量恶意样本的研究，对于数据在内存执行情况以及以此建立的内存保护模型可以说是轻车熟路。

基于硬件虚拟化来等前沿技术做内存保护需要两个方面的技术积累，一是安全专家，二是系统专家，姚纪卫就是这样一位既懂安全又精通系统架构的双料专家。十几年来他一直不曾中断过对于未知病毒的启发式检测、病毒识别、虚拟机、内存安全检测与防护等技术的专研，他以网名Linxer发布了几款国际知名的安全软件，积攒了他在安全圈的名气。

一流的团队打造一流的产品，在这样的标准之下，安芯网盾在选拔技术人才方面的要求是非常严格的，只有拥有实打实的技术的人才能接纳进团队，正如Linux的创始人Linus的名言——Talk is cheap, show me the code，公司CTO姚纪卫在考察新人时极为严苛，在招聘环节就真枪实弹看其实际写代码的能力，只有技术能力过硬的人方能胜任。

图1 安芯神甲智能内存保护系统

经得起实践检验，内存防保护的落地应用

目前安芯网盾基于硬件虚拟化等前沿技术已打造出三类安全产品和解决方案，包括安芯神甲智能内存保护系统、系统信息检测平台和未知威胁文件检测系统。其中安芯神甲（如图1）基于实时的程序行为监控、内存操作监控等技术实现了进程级别的内存保护，确保用户核心业务应用程序不会因病毒窃取、漏洞触发而遭受攻击。不同于常规安全产品只运行在应用层或者系统层，安芯神甲智能内存保护系统能够在应用层、系统层、硬件层提供有机结合的立体防护。

网络安全技术层出不穷，新技术和新产品只有经得起实践的检验才能真正赢得客户和市场，但面对这些在市场刚刚崭露头角的创新安全技术，某些对业务系统稳定性要求极高的行业例如金融等行业，是否愿意采用并承担由此带来的应用风险呢？

这个问题如果放在几年以前或许是个难题，但今时不同往日，随着网络安全越来越受到重视，企业管理者已将网络安全上升到企业战略高度，同时相应的CSO或安全负责人也不再只是不懂网络安全的管理者兼任，而是由专业安全人员专职，他们对网络安全的理解和自身安全需求了如指掌，因此对安全新技术和新产品也往往保持开放心态，只要经得起实践检验的新产品，他们愿意做出尝试。

姜向前对此也颇有感触，安芯网盾所接触的企业客户负责人大都精通安全技术，拥有很高的专业素养，在谈到网络安全创新技术时非常乐于尝试，并按照自身的仿真环境来做测试和验证。目前安芯神甲产品已在某些应用环境要求很高的客户中得到了很好的应用。

安芯网盾最为成熟的案例还是在Google公司身上并得到检验，早在2009年姜向前和姚纪卫曾一起创立了百锐安全实验室，研发的国内公开的第一款基于反病毒虚拟机技术的未知病毒检测引擎就已为Google服务器中运行，该产品在VB100国际权威测评机构获得了国际领先的成绩，到如今已刚好十年，其稳定性和兼容性得到了很好的检验。不止如此，除了将这种安全能力赋予客户外，安芯网盾还将其输出给安全厂商，帮助他们来增强相应的安全产品功能。

随着等保2.0的正式出台，企业业务和IT系统将面对更大的合规压力。对此，姜向前认为，企业的CTO和CSO在建立IT系统和安全体系时，不能仅局限于合规，而应当从自身业务的角度出发，在符合等保要求的基础上打造适合业务发展的安全体系，确保核心数据资产的安全。

等保2.0一级至四级安全要求中规定了对恶意代码的防范，其中第四级安全要求还规定“应采用主动免疫可信验证机制及时识别入侵和病毒行为，并将其有效阻断”。安芯网盾的产品可对恶意代码检测防御提供四级安全防护，从内存级别实现对恶意代码的检测和阻断，为企业安全防护体系提供有效支撑。

如今在安全领域有很多初创企业，凭借创新技术在细分安全领域开创自己的一片天地。安芯网盾就是这样一家技术驱动型的安全创新企业。公司的联合创始人CEO姜向前和CTO姚纪卫都是在安全圈有着十多年经验的老人，正是这种在安全领域的常年积累和打拼，在经过无数次的头脑风暴和不断的磨合，才造就了这种全新的基于硬件虚拟化等前沿技术的智能内存保护技术。尽管公司才刚刚起步，但正如姜向前的期许，“安芯神甲智能内存保护系统会安静地防御各种攻击，希望这种新技术能为网络安全市场带来新的活力，通过技术创新为社会创造价值。”