一般來(lái)說(shuō)，測(cè)試機(jī)構(gòu)與安全廠商的關(guān)系是相互扶持、共同發(fā)展的，但也有例外，開(kāi)啟了互撕模式，成為冤家對(duì)簿公堂的。本月18日，美國(guó)獨(dú)立網(wǎng)絡(luò)安全評(píng)測(cè)機(jī)構(gòu)nss labs就將crowdstrike、symantec、eset等商，以及反惡意程序測(cè)試標(biāo)準(zhǔn)組織（anti-malware testing standards organization，amtso）告上了法庭。

測(cè)試機(jī)構(gòu)與安全廠商對(duì)簿公堂

注：amtso是家非營(yíng)利組織，創(chuàng)立于2008年，其主要任務(wù)是針對(duì)安全解決方案推出公平、公開(kāi)且可靠的測(cè)試標(biāo)準(zhǔn)。目前網(wǎng)絡(luò)安全領(lǐng)域中的知名廠商幾乎都是amtso的會(huì)員，包括nss labs在內(nèi)。

在nss labs看來(lái)，這幾家商聯(lián)合amtso一起試圖壟斷網(wǎng)絡(luò)安全產(chǎn)品的測(cè)試服務(wù)，以期掩蓋殺毒軟件中存在的漏洞缺陷。

據(jù)nss labs首席執(zhí)行官vikram phatak介紹，該實(shí)驗(yàn)室一直致力于網(wǎng)絡(luò)安全產(chǎn)品的獨(dú)立測(cè)試工作，期望通過(guò)網(wǎng)絡(luò)安全產(chǎn)品的測(cè)試，來(lái)發(fā)現(xiàn)其中的安全隱患，然后將漏洞結(jié)果反饋給產(chǎn)品制造商，促使其進(jìn)行修補(bǔ)，達(dá)到提升產(chǎn)品安全性的目的。對(duì)此，一些安全廠商表現(xiàn)積極，會(huì)對(duì)發(fā)現(xiàn)的漏洞展開(kāi)修復(fù)，但也有一些廠商則會(huì)消極應(yīng)對(duì)，甚至阻撓其產(chǎn)品參與測(cè)評(píng)。

vikram phatak指出，如果僅是一家安全廠商拒絕被測(cè)試，自會(huì)引發(fā)市場(chǎng)猜忌，但如果是一群安全廠商聯(lián)手抵制某個(gè)獨(dú)立評(píng)測(cè)實(shí)驗(yàn)室的話，那么廠商的問(wèn)題就不會(huì)被發(fā)現(xiàn)，落得高枕無(wú)憂。顯然后者的危害性更大，這也是為何nss labs決定要將他們告上法庭的關(guān)鍵原因。

而且據(jù)vikram phatak反映，amtso雖然貌似是個(gè)獨(dú)立的非營(yíng)利標(biāo)準(zhǔn)組織，但其所推動(dòng)的測(cè)試標(biāo)準(zhǔn)實(shí)際上依舊是由上述同一批安全廠商所制定，而非中立的第三方測(cè)試機(jī)構(gòu)來(lái)設(shè)定。這就對(duì)測(cè)試的公平公正性造成了消極影響。由此，更讓這些安全廠商有了抵制第三方測(cè)試機(jī)構(gòu)的口實(shí)，甚至直接阻撓測(cè)試機(jī)構(gòu)對(duì)其產(chǎn)品的購(gòu)買與測(cè)試。

例如在crowdstrike的用戶授權(quán)條款中，就指出如想對(duì)其產(chǎn)品進(jìn)行測(cè)試，必須取得許可授權(quán)才行。而這種聲明無(wú)疑是此地?zé)o銀三百兩，不僅有損透明度，還會(huì)阻礙消費(fèi)者對(duì)其產(chǎn)品性能做出正確的評(píng)估。

在訴狀中nss labs透露，當(dāng)amtso進(jìn)行測(cè)試標(biāo)準(zhǔn)的表決時(shí)，不只是nss labs，包括av-comparatives、av-test及skd labs等其它評(píng)測(cè)機(jī)構(gòu)實(shí)際上也均表示反對(duì)的。而后便會(huì)收到來(lái)自安全廠商的威脅，表示如果不同意該標(biāo)準(zhǔn)就不采用他們提供的評(píng)測(cè)服務(wù)。

對(duì)此，被告之一的crowdstrike則向媒體回應(yīng)，nss labs才是家營(yíng)利且收黑錢的測(cè)試機(jī)構(gòu)，其常以詐騙手法獲取到產(chǎn)品，再通過(guò)公開(kāi)測(cè)試來(lái)宣揚(yáng)其商業(yè)模式是透明的。因此有理由相信此一訴訟是毫無(wú)根據(jù)的。而且crowdstrike還強(qiáng)調(diào)，其旗下產(chǎn)品也曾交由av-comparatives、se labs與mitre等獨(dú)立機(jī)構(gòu)進(jìn)行過(guò)測(cè)試。

實(shí)際上，去年crowdstrike也曾與nss labs過(guò)招，當(dāng)時(shí)是請(qǐng)求法院對(duì)nss labs發(fā)禁令，試圖阻止nss labs在rsa大會(huì)上公布其測(cè)試結(jié)果，不過(guò)crowdstrike最后敗訴了。

在筆者看來(lái)，網(wǎng)絡(luò)安全無(wú)小事，對(duì)于測(cè)試標(biāo)準(zhǔn)制定與執(zhí)行，自應(yīng)拿到明面上弄個(gè)明明白白才好，而且真金不怕火來(lái)煉，所謂有監(jiān)督才有進(jìn)步嘛，因此撕撕更健康。

本文屬于原創(chuàng)文章，如若轉(zhuǎn)載，請(qǐng)注明來(lái)源：http://net.zol.com.cn/698/6988347.html

http://net.zol.com.cn/698/6988347.htmlnet.zol.com.cntrue中關(guān)村在線http://net.zol.com.cn/698/6988347.htmlreport2426一般來(lái)說(shuō)，測(cè)試機(jī)構(gòu)與安全廠商的關(guān)系是相互扶持、共同發(fā)展的，但也有例外，開(kāi)啟了互撕模式，成為冤家對(duì)簿公堂的。本月18日，美國(guó)獨(dú)立網(wǎng)絡(luò)安全評(píng)測(cè)機(jī)構(gòu)nss labs就將crowdstrike、symantec、eset等殺毒軟件商，以及反惡意程序測(cè)試標(biāo)準(zhǔn)組織（anti-malware testing stan...