火绒安全刘刚：一位工程师对安全软件的执念与

在互联网高度普及的今天，各类网络安全问题愈发严重。特别是对于Windows系统用户来说，一款可靠的安全软件必不可少。但目前市场上已有的各种安全软件，都承载了太多的商业诉求，并且成为很多互联网企业占领用户终端的先头部队，而真正的用户安全却被放在了次席。

“当一个行业成为另一个行业附庸的时候，是非常悲哀的。我们之所以创立火绒安全，正是希望安全软件回归专注和纯粹。”这是火绒安全创始人刘刚接受猎云网（狼蚁网络推广：ilieyun）专访时说的第一句话。

刘刚，这位前瑞星CTO，带着对安全软件“纯粹、独立”的信念，埋头研发产品，不拿融资，不做流量变现，坚持免费，甚至借钱发工资……硬是带着火绒安全团队走过了5年。如今，他们也收获了数百万用户，而混乱的安全软件市场，也悄然发生着改变。

学渣的逆袭

刘刚是福建人，创立火绒前曾是瑞星的CTO。与人们的普遍印象不同，刘刚并非计算机安全科班出身，初中时候甚至因为贪玩电脑游戏，仅仅考入了一所当地的农业职高。由于接触计算机较早，悟性也高，他很快就成了学校的机房管理员。借此机会，他开始阅读计算机书籍杂志，自学编程，并利用课余时间在机房进行了大量的实际操作。

早期计算机系统漏洞较多，一些好奇心强的电脑高手常常会用编写电脑病毒的方式互相比拼炫技。当时的刘刚对计算机非常痴迷，也像那些高手一样编写病毒，偶尔还会用在机房里。每当要上自己不喜欢的课程时，他就要“被迫”去机房杀毒。

虽然在学生时期，刘刚的代码水平已十分突出。但受限于自身的学历，走出校园的他在当地投了大量简历都石沉大海。2002年，正值瑞星招聘。他在同学的建议下，将曾经写过的病毒代码连同简历一起寄给了瑞星。瑞星求贤若渴，很快就聘用了他。

作为瑞星的元老级高管，自加入之后，刘刚先后担任病毒分析员、反病毒组项目经理、新技术项目经理、研发副总经理以及CTO。2011年8月，他离开了工作近十年的老东家。9月，火绒安全实验室成立。

不可否认，在瑞星的这段时期，无论是技术还是资源层面，都奠定了刘刚创立火绒的基础：负责产品的毛钧，主持开发瑞星很多重要的版本；负责虚拟机、虚拟沙盒等底层核心技术的周军，一毕业就在瑞星上班，离职时已是底层技术开发的负责人。

用户终端安全正“腹背受敌”

刘刚认为，目前传统病毒、木马和黑客攻击，虽然总量正在下降，但威胁强度并未减弱，并且呈现更隐蔽、更有针对性、更不易察觉，技术对抗性更强等特点。另外，随着电商和金融的在线化趋势加强，更是出现了一些勒索等新型高威胁病毒。

除病毒外，其实还有一类威胁在侵害用户终端安全，那就是商业软件侵权（流氓软件）。这些软件篡改首页、劫持流量、捆绑安装、肉鸡攻击……可以说，商业软件流氓化，流氓软件病毒化的现状已司空见惯。

面对这些层出不穷的新增威胁，传统反病毒厂商主要通过用户反馈、友商交流、网络爬虫收集威胁信息，交由反病毒工程师或后台分析处理。这就导致了传统厂商威胁信息获取方式单一、被动，时效性和数量都受限，人工分析处理样本少，效率低等问题。

而新型互联网安全厂商的做法则主要通过终端收集海量数据，交由反病毒工程师或后台分析处理实现。它的弊端则是盲目收集海量文件，忽视安全核心技术发展，技术依赖安全OEM供应商等。另外，这些厂商对于高隐蔽性、高对抗性的新一代病毒只能被动拉黑。

需要特别指出的是，随着360将免费带入安全软件市场后，不仅老牌安全厂商纷纷倒戈效仿，互联网厂商也开始让安全软件成为自己占领用户终端的雇佣兵。这些主流安全软件互相攻击、争抢资源，视用户电脑如战场。

例如用户想在安装360安全卫士的PC上安装其他安全软件，360就会弹窗提示会拖慢系统速度等互斥信息，腾讯安全管家、金山毒霸等也都存在类似情况；在诱导用户安装推广软件方面，各厂商也常常让用户“中招”；瑞星更是在尚未完全进入系统时就显示广告……这些问题，相信用户并不陌生。

“我们认为，一款好的安全软件，首先要有解决各类安全问题的能力。其次是所有功能都只聚焦在用户电脑安全上，而不是考虑如何进行流量变现。”当刘刚发现，连瑞星在免费模式的冲击下都无法独善其身时，他毅然选择离开。带着工程师那份特有的执念，希望打造一款独立纯粹的PC安全软件。经过五年研发，10月18日，他们推出了火绒安全4.0版本。

火绒构建的核心能力——威胁情报分析系统

据了解，此次发布的4.0版是火绒安全软件的第6个版本。它在以下两方面有较大的突破：

1.实现了反病毒、主动防御和防火墙三大功能模块的深度整合，在产品架构、数据和功能设置等层面实现“三合一”。

2.完成了“威胁情报分析系统”的搭建。4.0版本的病毒样本库只有3M大小。这一方面得益于引擎等底层技术优势，二是在“威胁情报分析系统”的帮助下，火绒只加载“活着”的病毒样本。另外，以后所有产品的样本库升级、功能改进都将根据用户端真实的威胁信息来进行。

值得注意的是，“终端威胁情报分析系统”正是火绒实现体积小、强查杀能力的后盾。刘刚介绍，真正的“云查杀”并非将病毒库简单存在云端，而是需要利用终端自身计算能力精准获取威胁信息，结合系统和人工分析方式处理威胁，并以此升级、优化特征库和产品，进而为用户提供及时全面的安全服务。这也是火绒威胁分析系统的存在价值。

例如，当火绒从终端获取到威胁信息时，先根据威胁信息进行关联分析和自动聚合，威胁程度弱的样本进入“样本自动分析系统”快速处理，而高威胁样本（新的、复杂的威胁样本）将由安全工程师深度分析，并跟踪威胁动态趋势，进行细致处理。

刘刚表示，该系统是构建“感知-分析-处置”运营闭环的关键，由此才能产生真实的威胁情报。任何安全厂商都希望凭借真实的威胁情报来改进产品和服务，但这很困难，需要强大的客户端的底层技术，以及长期的反病毒产品和服务经验。在这一点上，火绒团队非常自信。

秉承安全厂商的基本操守，火绒产品自身没有任何捆绑、收集隐私等侵权行为，并严控其他各类流氓软件。“如果效仿其他厂商，那就背离了我们创业的初衷。火绒一开始在产品设置和发展思路上就定位于做一款独立而纯粹的技术性杀毒软件。”刘刚表示。所以，用户在火绒产品中，没有任何与安全无关的附属功能。