什么是人机智能？

我们产品的有效性得归功于人机智能概念，这是我们称之为真正网络安全的基础。 “人机智能”本质上融合了三大基本要素：大数据、机器学习和分析师专业知识。但这些要素的真正含义是什么呢？下面我们将试着用通俗的话解释一下，而不深究技术细节。

大数据和威胁情报

从字面上看，大数据这个术语好像是指存储在某个地方的大批信息，但其实不然。大数据不仅仅是一个数据库；它综合了多项技术，支持即时处理大量数据，从中提取出威胁情报。在这种情况下，处理的是与所有对象相关的数据，不管是无恶意的、纯恶意的，还是有可能用于恶意手段的对象。对于我们来说，大数据首先是指大批的恶意对象。其次，它包括分布式卡巴斯基安全网络，该网络源源不断补充从世界各地收集到的新恶意对象以及关于各种网络威胁的多方面数据。再次，大数据是指用于处理数据的各种各样分类工具。

收集恶意对象

我们已经在计算机安全行业沉浸了20多年了，在此期间，我们分析了大量对象。关于这些对象的信息全部安全地存储在我们的数据库中。我们说的”对象”，不仅指的是文件或代码块，还指无害和恶意应用程序的Web地址、证书和执行日志文件。所有这些数据除了存储时用”危险”或”安全”等标签进行标记，还同时含有各对象之间关系的相关信息：某个特定文件是从哪个网站下载的，还有哪些其他文件也是从该网站下载的等等。

卡巴斯基安全网络（KSN）

KSN是我们的云安全服务。它的其中一项功能是快速阻止客户端出现的最新威胁。同时，它支持所有客户端将与检测到的威胁相关的去个性化元数据发送到云端，从而参与到提高全球安全性的行动中。我们会对每个检测到的威胁做各个角度的研究，然后将其特征添加到我们的威胁数据库中。所以，我们的专家系统不仅可以精确地检测到相应威胁，还能检测到相似的威胁。我们的数据集合实时接受新鲜的数据。

分类工具

分类工具是指我们的多项内部技术，用于处理收集到的信息，记录前述恶意对象之间的关系。

机器学习技术

要想总体概述一下什么是机器学习以及卡巴斯基实验室是如何运用这项技术的，可并不是一项小任务。首先，我们得解释所用的多层安全方法。也就是机器学习的算法在不同层次的不同子系统中的使用。

静态检测

每天我们的系统会收到几十万个对象，需要及时进行分析并归类（危险或不危险）。早在十多年前，我们就知道若不利用自动化，是没办法来管理这些对象的。第一个任务是理解一个可疑文件是否与我们已有的恶意文件相类似。该解决方案采用了机器学习：我们编写了一个用于分析整个数据集合的应用程序，当一个新文件进入输入流时，即会通知分析人员与我们集合中的哪个对象最接近。

不久我们发现，显然光知道对象是否和其他恶意对象相似并不够。我们还需要一种能让系统独立进行判断的技术。为此我们构建了一种基于决策树的技术。这种技术经过我们广泛收集的恶意对象的培训后，即可检测一系列条件，其中的特定组合可作为将新文件明确界定为危险的指标。在分析文件时，数学模型会向反病毒引擎”提问”：

1.文件是否大于100 KB？

2.如果是，这个文件是否被压缩过？

3.如果不是，该文件的部分名称是人类可能会选择的名称还是无意义的名称？

4.如果是前者，那么…

等等类似的提问。

在回答完所有这些问题之后，反病毒引擎会收到数学模型作出的判断。判断可能是”文件无害”或”文件危险”。

行为数学模型

我们的数学模型同样遵循多层安全原则，还可用于动态检测。事实上，数学模型可以在可执行文件运行时对其行为进行分析。模型可按照静态检测数学模型应用的相同原则来构建和培训，但也能改用执行日志文件作为”培训资料”。不过，这两者之间有一个很大的区别。在现场条件下，我们不可能一直等到代码执行完毕。决策应该是在尽可能分析最少的操作后做出。目前，这项基于深度学习的技术还在试用中，但已经表现出卓越的效果。

人类的专长

机器学习专家认为，不管数学模型有多聪明，人类总是比它技高一筹，尤其是若此人富有创意，能看一看技术的作用原理，或者有充分的时间来运行大量实验和测试。因此第一，模型的每个部分都必须可更新；第二，基础设施必须正常运行；第三，人类必须监督机器人的工作。这三点适用于所有情况。

反恶意软件研究

大约20年前，我们的反恶意软件研究（AMR）团队是在没有自动系统协助的情况下工作的。今天，大部分威胁都能被由我们研究人员培训的专家系统检测到。在某些情况下，该系统无法作出明确的判决，或者认为该对象是恶意的，但不能将其与任何已知的系列联系在一起。这时，系统会向当班的AMR分析人员发出警告，提供一整套的指标，供分析人员作出最终决策。

检测方法分析组

我们的AMR是一个专门的研究团队，被称为”检测方法分析组”，于2007年成立，专门研究我们的机器学习系统。目前，只有部门负责人是经验丰富的病毒分析人员，其他员工都是纯粹的数据专家。

全球研究和分析团队（GReAT）

最后但同样重要的是我们的全球研究与分析团队（GReAT）。这个团队的研究人员负责调查世界各地最复杂的威胁：APT（高级长期威胁）、网络间谍活动、大型恶意软件的爆发、勒索软件和地下网络犯罪的趋势。他们掌握的网络攻击方面的技术、工具和方案独一无二，让我们能够开发出新的防御方法，甚至可以阻止最复杂的攻击。

我们在开发解决方案的过程中，会涉及诸多技术和部门，上述讨论的只是其中一小部分，还有其他许多专家和不同的机器学习方法可配合工作，共同为您提供最佳保护，但是我们在本文中只想具体说明人机智能原理。