說(shuō)起安全軟件評(píng)測(cè)和認(rèn)證，大家想必都不陌生， VB100、AV-TEST、AV-C、西海岸實(shí)驗(yàn)室都是大家耳熟能詳?shù)拿?，?jīng)常見(jiàn)諸于媒體。嚴(yán)格的評(píng)測(cè)是對(duì)安全軟件的監(jiān)督和認(rèn)可，而能獲得認(rèn)證的產(chǎn)品無(wú)一例外將其作為莫大的榮譽(yù)。然而當(dāng)這些評(píng)測(cè)機(jī)構(gòu)開(kāi)始與中國(guó)特色結(jié)合，有時(shí)就會(huì)產(chǎn)生一些具有中國(guó)味道的結(jié)果。

筆者閑來(lái)無(wú)事，研究了一下目前常常被安全軟件廠商拿來(lái)作為背書(shū)的幾家國(guó)際評(píng)測(cè)機(jī)構(gòu)，以幫助大家更好地認(rèn)識(shí)一下這些安全軟件評(píng)測(cè)和認(rèn)證那些事。

專事認(rèn)證的西海岸和VB100

兩家來(lái)自英國(guó)的老牌安全軟件認(rèn)證機(jī)構(gòu)西海岸和VB100歷史悠久，為安全軟件提供認(rèn)證服務(wù)，如果安全軟件達(dá)到其評(píng)測(cè)相關(guān)的標(biāo)準(zhǔn)，就發(fā)給通過(guò)證書(shū)。

有“安全領(lǐng)域的奧林匹克”之稱的VB100，至今已有20年的歷史，是在英國(guó)著名的反病毒測(cè)試機(jī)構(gòu)Virus Bulletin建立的測(cè)試認(rèn)證標(biāo)準(zhǔn)下進(jìn)行的，以世界性組織Wild List病毒資料庫(kù)作為病毒來(lái)源，對(duì)世界各國(guó)防病毒軟件進(jìn)行測(cè)試后，診斷率100%、誤診率0%時(shí)賦予的獎(jiǎng)項(xiàng)，是全球性反病毒產(chǎn)品的權(quán)威認(rèn)證。

VB100是老資格的認(rèn)證機(jī)構(gòu)，嚴(yán)謹(jǐn)客觀，能力達(dá)不到就無(wú)法通過(guò)。VB100認(rèn)證主要以安全軟件的病毒檢出率、掃描速度以及誤報(bào)率作為標(biāo)準(zhǔn)，而參加評(píng)測(cè)的軟件診斷率100%、誤診率0%時(shí)賦予的獎(jiǎng)項(xiàng)，只有通過(guò)和失敗兩個(gè)結(jié)果。而且VB100秉承造福大眾的宗旨，根據(jù)安全軟件企業(yè)的總體收入規(guī)模來(lái)確定收費(fèi)標(biāo)準(zhǔn)，基本在1~2萬(wàn)美元之間；對(duì)于VB100的評(píng)測(cè)結(jié)果和收費(fèi)方式，安全軟件廠商也能接受并且認(rèn)同。

WestCoastLabs(西海岸實(shí)驗(yàn)室)位于英國(guó)，其從1996年推出Checkmark認(rèn)證方案，測(cè)試各類信息安全產(chǎn)品與國(guó)際統(tǒng)一認(rèn)可的最基本標(biāo)準(zhǔn)及規(guī)范的符合性表現(xiàn)。Checkmark一級(jí)認(rèn)證（Level1）是“Anti-Virus Desktop”（查毒能力認(rèn)證）；Checkmark二級(jí)認(rèn)證（Level2）就是 “Anti-Virus Disinfection”（殺毒能力認(rèn)證）；Checkmark木馬認(rèn)證（Trojan）就是“Anti-Trojan”（反木馬能力認(rèn)證）。這3項(xiàng)認(rèn)證都是Checkmark最基礎(chǔ)的認(rèn)證，只有獲得“Anti-Malware“（反惡意程序認(rèn)證）的殺毒軟件才能稱為全能殺毒軟件，才算是獲得了英國(guó)西海岸實(shí)驗(yàn)室最高級(jí)別認(rèn)證。

西海岸實(shí)驗(yàn)室的通過(guò)難度并不高，但也有著自身的特色，例如針對(duì)不同地域、不同產(chǎn)品功能組織針對(duì)性的測(cè)試，因此也吸引了眾多殺毒廠商的關(guān)注。但近幾年業(yè)界有個(gè)共識(shí)，西海岸有點(diǎn)“高收費(fèi)，高通過(guò)”，收費(fèi)是每款PC產(chǎn)品每年7萬(wàn)美元左右，而且基本收費(fèi)就可以過(guò)。

認(rèn)證+成績(jī)排名的AV-TEST和AV-C

AV-TEST和AV-C，這兩家機(jī)構(gòu)都在2004年左右推出安全軟件評(píng)測(cè)。與西海岸和VB100相比，這兩家機(jī)構(gòu)不僅公布是否通過(guò)，還會(huì)公布每一家參加評(píng)測(cè)的安全軟件的成績(jī)，從更詳細(xì)的角度對(duì)安全軟件的功能進(jìn)行評(píng)定。這兩家機(jī)構(gòu)非常嚴(yán)謹(jǐn)和客觀，全球安全軟件廠商對(duì)其結(jié)果一致認(rèn)同，在安全領(lǐng)域也樹(shù)立了權(quán)威。

AV-TEST總部位于德國(guó)，是國(guó)際公認(rèn)的權(quán)威反病毒評(píng)測(cè)機(jī)構(gòu)之一，一直以海量病毒庫(kù)檢測(cè)、獨(dú)立客觀的檢測(cè)過(guò)程和嚴(yán)格的標(biāo)準(zhǔn)著稱，至今已有近20年的歷史。

AV-C，全稱AV-Comparatives，總部位于奧地利，是全球范圍內(nèi)具有極高知名度和公信力的專業(yè)殺毒評(píng)測(cè)，準(zhǔn)入門(mén)檻較高。

AV-TEST的評(píng)測(cè)項(xiàng)目包括“防護(hù)、性能和易用性”三大項(xiàng)目，每項(xiàng)目滿分6分，總分高于12可獲得認(rèn)證。從各項(xiàng)的得分中還可以對(duì)相應(yīng)的功能模塊有更多的了解，讓有不同需求的用戶可以各取所需。

AV-C的測(cè)試項(xiàng)則更看重安全軟件的“內(nèi)功”：包括動(dòng)態(tài)保護(hù)測(cè)試、性能測(cè)試、手動(dòng)掃描測(cè)試等，通過(guò)模擬真實(shí)用戶環(huán)境，檢測(cè)安全軟件對(duì)病毒木馬的查殺能力、對(duì)系統(tǒng)運(yùn)行性能的影響以及誤報(bào)率等情況。

通過(guò)以上介紹我們也基本看出，為何在安全圈，尤其是主流的安全軟件廠商都對(duì)AV-C、AV-TEST和VB100大加推崇，而越來(lái)越忽視西海岸的評(píng)測(cè)結(jié)果。不過(guò)西海岸在中國(guó)卻運(yùn)行的風(fēng)聲水起，曝光率絲毫不亞于另外三家。

具有中國(guó)味道的西海岸賽可達(dá)實(shí)驗(yàn)室

西海岸在2010底和2011初進(jìn)入中國(guó)，很快發(fā)現(xiàn)了它的模式在中國(guó)很受歡迎：高收費(fèi)，無(wú)門(mén)檻，基本可以收費(fèi)定制，從而為安全軟件廠商做評(píng)測(cè)背書(shū)。比如任何一家安全廠商只要推出一款安全軟件，就可以通過(guò)高額收費(fèi)出具一份通過(guò)的定制報(bào)告，作為該安全軟件的資歷證明。

讓時(shí)間回到2011年，西海岸派出了一位中國(guó)人作為駐中國(guó)代表，將中國(guó)生意做的風(fēng)生水起，據(jù)說(shuō)一款PC端的安全軟件的認(rèn)證費(fèi)用在7萬(wàn)美元左右，一款手機(jī)端的軟件收費(fèi)在3.5萬(wàn)左右。以百度為例，按照基本報(bào)價(jià)，PC端的殺毒產(chǎn)品有北京（雪狼引擎）和深圳（卡巴引擎）需要各交7萬(wàn)美元、手機(jī)端3.5萬(wàn)美元，加起來(lái)就要17.5萬(wàn)美元，國(guó)內(nèi)廠商還有騰訊、360、金山、阿里等多家廠商，每家廠商都有PC和手機(jī)端多款產(chǎn)品，西海岸在中國(guó)的營(yíng)收算起來(lái)相當(dāng)不錯(cuò)。

而到了2013年，西海岸的中國(guó)代表干脆成立了一個(gè)叫賽可達(dá)的機(jī)構(gòu)，該機(jī)構(gòu)號(hào)稱西海岸的中國(guó)實(shí)驗(yàn)室，將生意模式修正的更加具有中國(guó)特色，可以討價(jià)還價(jià)，更加可以定制評(píng)測(cè)結(jié)果，比如一家新進(jìn)入安全領(lǐng)域的企業(yè)，新推出了一款殺毒產(chǎn)品，只要掏大價(jià)錢(qián)，就可以給出一個(gè)中文第一的評(píng)測(cè)結(jié)果。

隨著時(shí)間的推移，賽可達(dá)的生意越發(fā)紅火，名聲越來(lái)越響，評(píng)測(cè)范圍也進(jìn)一步擴(kuò)展到了瀏覽器、網(wǎng)站安全、防火墻等產(chǎn)品。在賽可達(dá)2015年的評(píng)測(cè)標(biāo)準(zhǔn)中，甚至涉足了APT領(lǐng)域。哪個(gè)領(lǐng)域掏錢(qián)就可以評(píng)測(cè)哪個(gè)領(lǐng)域，哪個(gè)企業(yè)肯掏錢(qián)就可以定制一份西海岸賽可達(dá)的評(píng)測(cè)結(jié)果，但這份評(píng)測(cè)結(jié)果的公信力到底值幾何，就是見(jiàn)仁見(jiàn)智的事了。

再來(lái)看看賽可達(dá)的“實(shí)力”，公司只有5~6位兼職的技術(shù)實(shí)習(xí)，這些兼職實(shí)習(xí)生就是所謂的評(píng)測(cè)人員。從人員構(gòu)成看這個(gè)機(jī)構(gòu)基本就是一個(gè)商務(wù)或者生意機(jī)構(gòu)，真實(shí)的評(píng)測(cè)能力根本無(wú)法保證。不要說(shuō)VB100和兩個(gè)AV，要知道一個(gè)像個(gè)人電腦或者ZOL這樣的媒體評(píng)測(cè)實(shí)驗(yàn)室動(dòng)輒也會(huì)有近10人的專業(yè)評(píng)測(cè)人員。在專業(yè)力量和可信度上，賽可達(dá)的表現(xiàn)很難服眾。

再來(lái)看看賽可達(dá)的評(píng)測(cè)體系，它的樣本收集全部讓廠商自己提供，用廠商自己的樣本評(píng)測(cè)廠商的產(chǎn)品，這不僅僅是開(kāi)卷考試，而是讓學(xué)生出考題。至于樣本分析，看看賽可達(dá)的人員構(gòu)成，基本就可以了解他們的分析能力究竟有幾分功力了。

最后再講一個(gè)小故事：據(jù)某企業(yè)的內(nèi)部人士透露，他們委托賽可達(dá)的一份評(píng)測(cè)，由于賽可達(dá)沒(méi)有能力評(píng)測(cè)，評(píng)測(cè)是由這個(gè)企業(yè)的技術(shù)人員自己完成評(píng)測(cè)和報(bào)告，然后由賽可達(dá)發(fā)布。學(xué)生先出題、再考試、最后自己打分，再公布于眾，賽可達(dá)評(píng)測(cè)的活也太好干了點(diǎn)。

地道中國(guó)“制造”的PCSL

相比以上四大家評(píng)測(cè)機(jī)構(gòu)，中國(guó)的PCSL名氣要小很多，但也經(jīng)常被安全軟件廠商用來(lái)做公關(guān)宣傳。

以下是百科里對(duì)PCSL的介紹：PCSL是國(guó)內(nèi)一家專業(yè)從事計(jì)算機(jī)反病毒軟硬件測(cè)試的獨(dú)立第三方咨詢機(jī)構(gòu)，在中國(guó)地區(qū)具有較強(qiáng)的地區(qū)代表性。其測(cè)試咨詢服務(wù)得到全球各大主流安全軟硬件廠商的認(rèn)可與信賴。

從介紹看，PCSL毫不掩飾自己的中國(guó)地區(qū)代表性，這是一個(gè)地地道道的“中國(guó)制造”的評(píng)測(cè)機(jī)構(gòu)，所以中國(guó)特色比賽可達(dá)還要鮮明。

PCSL于2008年3月成立于北京。2011年6月搬至浙江省嘉興市，PCSL品牌正式轉(zhuǎn)由嘉興市辰翔信息科技有限公司持有并成為該公司主要IT產(chǎn)品測(cè)試咨詢品牌之一。

PCSL目前只有五六個(gè)員工，全部是本土招聘，基乎沒(méi)有權(quán)威安全企業(yè)背景。與AV-C和AV-TEST定期發(fā)布測(cè)評(píng)報(bào)告不同，PCSL基本沒(méi)有固定時(shí)間發(fā)布報(bào)告，而且報(bào)告內(nèi)容沒(méi)有統(tǒng)一標(biāo)準(zhǔn)，也算是企業(yè)給錢(qián)就出報(bào)告的這種。總而言之，PCSL的測(cè)評(píng)權(quán)威性比較低，業(yè)內(nèi)越來(lái)越不認(rèn)可，可謂是安軟策評(píng)機(jī)構(gòu)里的鄉(xiāng)鎮(zhèn)企業(yè)。

在百科中引用了公司創(chuàng)始人吳江的話：大多數(shù)軟件測(cè)試更確切地說(shuō)是一種調(diào)試，側(cè)重于軟件的穩(wěn)定性、內(nèi)容開(kāi)發(fā)等，而我們的軟件測(cè)試更傾向于對(duì)軟件的評(píng)估。我們從用戶角度出發(fā)，告訴軟件開(kāi)發(fā)商，他們的軟件給消費(fèi)者帶來(lái)哪些方面的不便。

顯然PCSL并非一個(gè)專業(yè)的評(píng)測(cè)機(jī)構(gòu)，更像是一些媒體實(shí)驗(yàn)室一樣，區(qū)別于傳統(tǒng)軟件“找漏洞式”測(cè)試，采用“體驗(yàn)式”測(cè)試方式。

PCSL會(huì)收費(fèi)接受一些企業(yè)的定制評(píng)測(cè)報(bào)告，根據(jù)收費(fèi)高低，安裝企業(yè)的要求，定制出一些滿足公關(guān)需求的報(bào)告，一些安全廠商經(jīng)常會(huì)拿著PCSL的報(bào)告來(lái)標(biāo)榜自己的專業(yè)性，這樣很危險(xiǎn)，畢竟PCSL能力不是專業(yè)，用它的報(bào)告做自己專業(yè)能力的宣傳，一定會(huì)被打臉。