五月的第一周，資安界就爆發了一則大新聞：AV-C 為首三家國際知名評測機構間聯合聲明撤銷中國知名防毒軟體公司奇虎 360 的相關認證，我們也即時分享了文章《品牌如何在十天內從天堂跌到地獄？中國奇虎 360 親自教學》。
文章刊出後，獲得眾多迴響，許多網友都在討論這件事，酸者有之，支持者當然也有。而在分享文章後不久，我們就收到了來自奇虎 360 的邀約，他們希望能夠一次說清楚這件事到底是怎麼回事！
接下來，就來看看奇虎 360 他們是怎麼說的吧。以下整理自當天內容，由奇虎 360 國際產品部資深產品經理鍾宇軒受訪回應。
- 解密這場資安大亂鬥：360 公佈與評測機構間的第一手實況
● 大家指控為什麼中國用戶使用的版本與送檢版本不一？
·首先，版本不一？中國用戶默認的產品配置等級較差？鍾宇軒解釋：
中國本身的網路環境就不是一個最好的地方，所以說對於「網路頻寬」的使用是考慮上非常重要的一個點。因此該怎麼去讓安裝的包的檔案裹縮小，讓用戶可以很快速地完成下載，對我們來說是很重要的一件事情。
第二點，當這個產品在執行的時候，我們需要顧及到大部分使用者，中國大部份人電腦環境沒有這麼好它對於 ，因此 CPU 和記憶體的使用量是一個很重要的考量。所以在中國這邊，我們是沒有把 BitDefender（以下簡稱 BD）這個引擎打開來的。在中國只有預設使用 360 的雲查詢引擎、系統修復以及自家 QVM 引擎（奇虎 360 研發的一種病毒的偵測引擎，專門偵測惡意程式的。特色：用機器學習的方式去做。去檢測未知病毒的能力。）
其他兩個（BD 以及小紅傘引擎）是用戶可以選擇要不要開。據統計有約 30~40 % 用戶會開 BD。不過其實我們在網站上也有提供全版本完整的的下載安裝檔封包，BD 跟小紅傘的病毒資料庫引擎都包含在內。
兩者差異只有在安裝包檔小差異。而不是我要提供不同產品給不同用戶。
·其次，故意用 BD 受測，而不用自家 QVM 引擎？鍾宇軒說明：
從 2010 年開始送測時，我們就有聲明是用 BD 引擎。評測機構也有問過我們，我們有自己的引擎 QVM、BD 還有小紅傘，為什麼我們不用其他引擎而要用 BD 評測？
那當然我們的考量有幾個，第一，對我們來說 BD 當時的穩定度是比較高的，第二，因為我們引擎是機器學習引擎，在當時的環境下，QVM 對國外的樣本尚未那麼成熟。所以我們選擇並告知評測機構使用 BD 來評測
·絕非作弊！360 稱為配合評測機構環境，雙方都理解受測版本是「更改設定」的產品
鍾宇軒表示因為大陸市場推廣需求，奇虎 360 從 2010 年就開始有和評測機構互動。不過這個產品對歐洲人來說第一他們看不懂簡體中文；第二 360 產品與傳統病毒庫設計等不相同，360 使用的是雲端查詢技術；伺服器在中國還是在歐洲差異很大，如果是純中國版本，系統必須傳回中國查詢，這樣一來評測出來的性能就會受影響；第二，360 的病毒庫內容主要是針對中國環境，而不是歐美環境；第三，中國和歐美的安全策略上有一定程度的差異。
基於上述原因，並透過與評測機構的持續溝通，最終奇虎 360 採取修改送檢版本以適應國外評測機構的環境。
鍾宇軒進一步解釋當時狀況：
1. 界面差異、連線中國本土伺服器的困難
那時候一開始幫忙用評測版本，第一個遇到的挑戰就是他們看不懂我們的 UI，因為都是簡中，所以我們把它改成英文。然後翻譯完，工程團隊送測後，對方就開始一個一個問，像是他會問說為什麼我按升級會失敗，他們就發現有時候會更新失敗。
那我們去看就發現，他們從歐洲等地連到中國網路常常會因為某種不知名原因斷線，當然這跟中國本身也有關係啦，因為中國對外網路本來就不是一個穩定度很高的網路，因為有防火牆這些機制存在。也因此我們才決定說要把伺服器搬到別的地方去，目前我們是搬到英國。
2. 安全政策不一：中國、歐美使用習慣中的「不安全」認定有所差異
第二點，我們發現有一些病毒樣本 我們在認定的 level 不一樣，例如序號產生器的判斷方法不一，中國是認定有危害用戶電腦行為才提示用戶危險，如果它沒有惡意行為是不能報的；但在歐美是這一類的都報。
這跟用戶習慣有關，在中國很多用戶確實會用這個東西，如果我們報這個程式的話，他們會很緊張，會說那我們到底能不能用。然後他就會覺得說那我乾脆把 360 關了、解除安裝。因為他們會覺得說 360 誤報，這明明沒有毒，只是給我序號啊。可是對歐洲來說，他們非常注重智慧財產權，對他們來說這是一定要報的。所以我想文化上面的差異，對中國來說這沒有多嚴重，但對歐洲來說這很嚴重，這裡就有一個文化上的差異。
這就是我們安全策略上很基本的一個不同。就說我們可以把它偵測出來這是什麼，但面對國外我們就要去改變樣本評級的程度，可能在中國是橙色的提示，或是乾脆不通報（不會彈出來），在歐美就要調成紅色的警告。
像是一開始我們沒有調整，就會遇到問題，有 100 個樣本，我們只有偵測到 97 個，那我們一看那 3 個樣本，就是屬於剛剛說的那種。一開始我們也跟他說在中國這是不會被偵測警告的，但他們不能接受，他說他們標準不太一樣，那這樣我們就說 ok，我們就去符合你們的標準。也因此，我們才會有這樣一個調整。
這邊，奇虎 360 團隊也拿出證據表示評測機構一直以來都知道、也了解因為國情等因素的關係，奇虎 360 提供的受測版本是有經過一定調整的。
如下 Notes 段有提出奇虎 360 等中國企業提供的受測版本是和中文版本不一樣的，當中也清楚指出奇虎 360 送測時有聲明使用的不是自家 QVM 引擎，而是第三方 BD 引擎：
鍾宇軒特別強調了：
一直以來評測機構都知道我們提供的是 BD 開啟的中國版本，因為一直以來我們都要求說要測中國的版本，因為中國市場大嗎，那我們公司一直也都希望能夠用中國版本拿到評測的成績，拿到這樣的認同。
而我們自家研發的 QVM 引擎從去年 11 月開始送測。在德國評測機構 AV-TEST 測試出的偵測率是 100%。誤報是 0。
我們想講的是，這是結構上導致的問題。因為中國版本本身就沒有英文版、國外服務器，所謂的這樣的配置，除非評測機構願意來到中國設立實驗室，拿中國的樣本去做測試，給中國廠商一個完全符合當地使用環境的評測。
● 最後，為什麼會有這次的事件？他人惡意攻擊？
鍾宇軒說整件事情他們也不清楚還在積極釐清中，關於可能的「真相」，他請我們參考《PC Magazine》的後續報導，裡面有描述事件發生的過程，評測機構的回覆和作者自己測試後的觀點。
「不管是同業惡意攻擊或者評測機構誤會，都希望撥雲見日，還品牌名聲一個清白。」
結束了會談之後，我們也回去看了《PC Magazine》內的報導，我們截取了其中一段：
這一次的事件，來自今年 RSA 大會第一天時，百度自家部落格上出現的一篇貼文《奇虎 360 如此作弊，AV-C 如何能忍？》，這位號稱「特別調查員」的作者指出奇虎 360 參與國外評測的手段不公平、不正義。
如果屬實，這的確讓我們見識到了中國互聯網圈中激烈的競爭手段。
- 同業怎麼看待這次事件？訪問趨勢科技
而這次的事件，也讓我們頗為好奇資安軟體公司與評測機構之間的關係，以及外界是如何看待這一起事件的。因此我們也特別詢問了台灣著名的防毒軟體公司趨勢科技。
以下問題乃由趨勢科技資深技術顧問簡勝財回應。
Q：如何看待「評測機構撤銷奇虎 360 認證」一事？對於資安軟體公司而言，與評測機構間的關係為何？
A：關於這件事公司方面不予置評。不過對我們來說目前有參與評測機構的測試，未來也會持續參與；主要原因是因為我們相信對方的測試方式，同時也認為評測機構有一定的公信力。
Q：據 360 回應，他們參與國外評測在一定程度上需要配合評測環境、更改設定。不知道你們怎麼看這件事？你們是否也曾遇過這樣的問題？
A：我們交給評測機構的版本跟使用者的版本一致，提供的就是使用者在我們網站上下載的連結。以語言為例，因為我們的軟體本身就有提供多語言，也因此不管是使用哪種語言版本都一樣。
Q：如國看中國防毒軟體企業習慣提供多引擎？
A：其實多引擎的狀況已經很久了。我們一般不建議使用者安裝多引擎，因為這會對電腦系統造成很大的影響，對系統效能而言負擔吃重。
Q：對於 360 雲端技術、QVM 人工技術有何看法？這在資安界是很常見的一種防毒技術嘛？
A：雲端技術很早就有了，像我們很早就啟用了雲端掃毒的技術，如：WRS 網頁信譽評等、FRS 檔案信譽評等、ERS 郵件信譽評等。讓使用者可以直接雲端搜索、過濾病毒。
我不清楚 QVM 的詳細技術，不過就人工智慧來看，主要會有兩點顧慮。一是偵測率，二是誤判風險。對我們而言誤判風險所造成的後果可能會比漏報病毒嚴重，因為你很可能就刪除了某些重要檔案，導致電腦無法開機、使用。
Q：怎麼看中國資安軟體企業？對於他們要打國外市場，以及國外市場要打進去的看法？
A：（這題由趨勢科技行銷協理陳亭妏回應）對於有志在國際市場打天下的企業，
不論是在什麼領域，競逐其業務的主要目標市場是很正常的現象， 而目標市場的選擇則是經營團隊的責任，每家企業的情況都不一樣； 並各國市場本來就有當地獨特的語言、文化與民情，中國也不例外， 這是每個跨國企業都得面臨的課題與挑戰。
看到這邊，相信大家對於這次的事件也有了更深的認知。最後套一句奇虎 360 中國官方對於這次事件的回應「相信，最終的裁判是用戶。」
- 延伸閱讀
