一月二十一號，凌晨一點。
楠書房。
林遠沒有回宿舍。
桌上攤著一張A3紙，上面是他手寫的CTIN開發計劃。
十二天。一月二十一號到二月一號。十二天做出一個能演示的原型。
"不可能。"趙強在電話里說，"CTIN三個模塊——終端檢測層、驗證層、推送層——每個至少需要一個月。"
"不需要完整版本。"林遠說，"只需要一個能跑的demo。終端檢測層只處理郵件附件這一種傳播方式。驗證層只做單節點。推送層只做十台終端並發。"
"那演示的時候——"
"我講完整架構，跑簡化demo。RSA的聽眾是行業專家，他們看的不是完整度，是可行性。"
趙強沉默了幾秒。"行。怎麼分工？"
"你負責終端檢測層。核心任務：從郵件附件中提取行為特徵哈希，512位。用Consumer現有的沙箱引擎改造，不需要重寫。"
"周凱呢？"
"驗證層。一致性哈希分片加沙箱快速驗證。他後端能力強，這個模塊適合他。"
"推送層？"
"我自己來。發布-訂閱模型，消息broker用開源的。小艾幫我優化哈希提取算法——現有算法在郵件附件上的提取速度是兩百毫秒，目標壓縮到五十毫秒以內。"
趙強吸了口氣。"十二天。"
"夠了。明天開始，全力衝刺。v1.1暫停。"
工作室。
三個人。三台電腦。三塊白板。
趙強的白板上寫著："終端檢測層 - 行為特徵哈希提取"。
周凱的白板上寫著："驗證層 - 沙箱驗證 + 一致性哈希分片"。
林遠的白板上寫著："推送層 - 發布/訂閱 + 消息broker"。
三塊白板並排掛在牆上。像三條並行的跑道。
蘇明遠推門進來，手裡拎著豆漿和油條。
"看你們這架勢，過年不回家了？"
"回。二十七號回。之前必須把原型跑通。"林遠接過油條。
蘇明遠看了看白板。"CTIN的demo？"
"對。十二天。"
"RSA演講要用？"
"對。"
蘇明遠沒多問。他把豆漿放在桌上，轉身出門。走到門口回了一句："VPN那邊深圳又有新單子，我先去處理。你們忙。"
林遠咬了一口油條。
蘇明遠的好處就在這裡——從來不問為什麼，只問你需不需要什麼。
"開始。"林遠說。
一月二十三號。
MyDoom的新聞越來越多。
德國電信子公司感染。日本三菱電機內部網絡受影響。美國多家金融機構發出安全警告。韓國、澳大利亞、巴西——每天都有新的感染報告。
趙強一邊寫代碼一邊看新聞。"傳播速度比預想的快。"
"指數級增長。"林遠說，"每台被感染的電腦每小時發送數十封帶毒郵件。新感染的電腦又成為新的傳播節點。七天之內，感染量可能突破百萬。"
"Consumer能檢測到嗎？"
"能。特徵碼已經提取了。但問題是——特徵碼更新需要四到六小時。六個小時裡，MyDoom能新增上萬台感染。"
趙強停下了鍵盤。
"所以CTIN必須做出來。"
"對。十秒。任何一台終端檢測到MyDoom變種，十秒內全球所有Consumer用戶獲得防護。不是六小時，是十秒。"
"這就是壁壘。"
"不只是壁壘。"林遠說，"這是CTIN向全世界證明自己的機會。MyDoom是最好的活教材——它告訴所有人，傳統特徵碼模式已經跟不上蠕蟲傳播速度了。行業需要一個新方案。CTIN就是那個方案。"
趙強點了點頭，繼續敲鍵盤。
一月二十三號，晚上。
手機震了一下。楊姝冪的簡訊。
"橫店下雪了。郭襄的雪中戲拍完了，導演說我的眼神有'不屬於這個年齡的江湖氣'。"
"輥石唱片那邊來消息了——讓我下周去試音。《神鵰俠侶》主題曲的備選之一。競爭很激烈，有好幾個前輩也在爭取。"
"不管怎樣，我會全力以赴。"
回覆："你聲線乾淨，有辨識度。自信點。"
秒回："你每次說話都剛好夠。不多說，不少說。"
林遠笑了一下，把手機扣在桌上。
一月二十四號，晚上。
"宿主，哈希提取算法優化完成。"小艾的聲音在腦海里響起。
"速度？"
"從兩百毫秒壓縮到四十七毫秒。核心改動是位運算並行化——把串行提取改成四路並行，每路處理128位，最後合併。"
"四十七毫秒。"林遠看了看代碼，"很漂亮。比目標快了三個毫秒。"
"另外，我發現了一個可以進一步優化的點。哈希提取過程中有一步SHA-256計算，可以用查表法替代實時計算。需要預生成一張256KB的查找表，占用少量內存。"
"值得。加上。"
"好。優化後預計可以壓到四十一毫秒。"
林遠靠在椅背上。小艾的代碼能力依然是他最強的底牌——二十天的優化目標，三天就完成了。
但這只是工具。真正的壁壘是架構設計。CTIN的三層架構不是拍腦袋想出來的。他研究了前世記憶中所有主流威脅情報平台的設計——取各家之長，設計了一個適合2004年技術環境的版本。
不需要雲計算。不需要GPU集群。三台伺服器加一台調度機，就能撐起一萬台終端的實時防護。
一月二十五號，周日。
CTIN原型v0.1完成。
"終端檢測層完成。"趙強說，"郵件附件哈希提取，平均耗時四十一毫秒。比原來快了五倍。"
"驗證層呢？"
周凱揉了揉布滿血絲的眼睛。"單節點沙箱驗證完成。一致性哈希分片框架搭好了，但還沒做多節點測試。單節點驗證速度——一點二秒。"
"推送層？"林遠看了看自己的模塊，"發布-訂閱模型跑通了。十台終端並發推送，延遲三點五秒。"
"總計——"趙強算了算，"四十一毫秒加一點二秒加三點五秒。"
"四點七秒。"林遠說，"加上系統開銷和安全校驗，實際延遲大約八到十秒。"
"那就測。"
三個人花了一個下午做全鏈路聯調。
終端A檢測到模擬惡意樣本。提取512位哈希。上傳到驗證節點。沙箱確認。推送到十台終端。所有終端更新防護規則。
第一次測試：延遲11.3秒。
"超了。"周凱皺眉。
瓶頸在推送層。消息broker的序列化效率不夠。XML格式的數據包太大，網絡傳輸耗時過多。
林遠花了一個小時，把序列化協議從XML改為自定義二進位格式。數據包體積縮小了80%。
第二次測試：延遲8.7秒。
"通過了。"趙強長出一口氣。
八點七秒。
從檢測到防護，八點七秒。
傳統殺毒軟體需要四到六小時。
一月二十六號，周一。
MyDoom大規模爆發。
全球超過一百萬台電腦被感染。SCO集團、地球link、多家銀行——安全公告像雪片一樣飛來。微軟緊急發布安全通告，全球主要安全廠商將威脅等級提升到四級。多家跨國企業被迫關閉郵件伺服器。
安全公司緊急發布特徵碼更新，但更新速度遠遠跟不上病毒變種。MyDoom的作者似乎有意在對抗殺毒公司的檢測——每隔幾個小時就發布一個新變種，每個變種的代碼結構都有微妙差異。
"每六個小時出一個新變種。"趙強看著新聞，"殺毒公司的特徵碼更新需要四到六小時。也就是說，每個新變種出現後，有兩到四小時的空窗期——這段時間裡，沒有任何傳統殺毒軟體能防護。"
"兩到四小時的空窗期。"林遠重複了一遍。
"如果用CTIN——"
"十秒。"
趙強看了看CTIN原型的測試日誌。
"八點七秒。"
"這就是差距。"林遠說，"不是百分之十的差距，不是兩倍的差距。是數量級的差距。四個小時對十秒。"
"RSA演講——"
"改。"林遠說，"標題改。不再講Consumer的行為檢測。講'威脅情報網絡：從四小時到十秒'。"
"現場演示？"
"用MyDoom做素材。現場跑CTIN原型，演示從檢測到防護的全鏈路。台下坐著全球最頂級的安全專家。他們親眼看到——一個來自中國的開源團隊，用十二天做出了傳統安全公司幾個月才能完成的東西。"
趙強深吸一口氣。
"這會是RSA歷史上最炸裂的演講。"
林遠沒有接話。
他走到窗前。一月的北京，天空灰白。
MyDoom在全球肆虐。百萬台電腦淪陷。傳統安全行業手忙腳亂。
而他手裡，握著一個八秒多的原型。
RSA Conference。二月二號。
還有七天。
蘇明遠發來簡訊："VPN今天又簽一單，北京一家律所，十終端。累計二十四單了。你RSA的機票訂了嗎？"
回覆："明天訂。"
蘇明遠："需要我一起去嗎？"
"不用。我一個人去。身份隔離。"
蘇明遠發了一個"OK"的手勢。
林遠靠在椅背上，閉上眼睛。
CTIN原型已經跑通了。但RSA上不能只跑demo。他需要把這個demo包裝成一個完整的故事——從"傳統特徵碼的困境"到"威脅情報網絡的未來"。MyDoom就是那個故事裡最完美的反派。
七天後，舊金山。
他要讓全球安全行業記住一個數字——八點七秒。