云安全社區(qū)「火線安全」已連續(xù)完成兩輪融資。兩輪融資投資方分別為經(jīng)緯中國(guó)和五源資本,融資總額為數(shù)百萬(wàn)美金級(jí)別。源和資本擔(dān)任獨(dú)家財(cái)務(wù)顧問(wèn)。
云時(shí)代下網(wǎng)絡(luò)環(huán)境快速變化,網(wǎng)絡(luò)安全的目標(biāo)用戶群體及其需求,以及安全解決方案也在發(fā)生巨大變革。在這樣的時(shí)代背景下,以Snyk、Wiz、Axonius 等為首的云安全公司市值正在迅速提高。比如,主打開發(fā)安全的 Snyk 在今年9月宣布完成由 Sands Capital 和 Tiger Global Management 聯(lián)合領(lǐng)投的最新一輪融資,估值超500億人民幣。
而本文主角「火線安全」的定位是通過(guò)自主搭建的云安全白帽社區(qū),聚合上萬(wàn)名白帽安全專家的智慧,打造符合時(shí)代需求的、能真正解決時(shí)代安全問(wèn)題的云安全產(chǎn)品。
公司創(chuàng)始人兼CEO鄔迪介紹,火線不僅注重對(duì)產(chǎn)品的技術(shù)創(chuàng)新,也注重對(duì)產(chǎn)品的理念創(chuàng)新,更注重對(duì)安全使用場(chǎng)景的適配。火線安全首個(gè)推出的企業(yè)安全服務(wù)是安全眾測(cè)。通過(guò)自主研發(fā)的云安全工具(資產(chǎn)管理工具、漏洞挖掘策略工具等)給技術(shù)社區(qū)賦能,幫助社區(qū)平臺(tái)上的白帽子提升其漏洞挖掘的能力和效率,然后再基于社區(qū)反饋的問(wèn)題和場(chǎng)景對(duì)工具進(jìn)行迭代和豐富。
依托于眾測(cè)平臺(tái)的數(shù)據(jù),火線對(duì)漏洞類型、各類型漏洞在哪些環(huán)節(jié)容易產(chǎn)生、如何產(chǎn)生等問(wèn)題更為了解。基于此以及云安全產(chǎn)品的開源熱潮,火線在今年9月正式發(fā)布了交互式應(yīng)用程序安全測(cè)試工具——洞態(tài) IAST。據(jù)悉,洞態(tài) IAST基于“值匹配算法”和“污點(diǎn)跟蹤算法”,適配各種場(chǎng)景下的低中高危漏洞檢測(cè),產(chǎn)品開發(fā)過(guò)程也十分注重對(duì)DevSecOps 開發(fā)流程的適配,幫助企業(yè)在應(yīng)用上線前發(fā)現(xiàn)安全風(fēng)險(xiǎn)。
鄔迪表示,洞態(tài)IAST在正式版推出后的2個(gè)月內(nèi)便實(shí)現(xiàn)了用戶的較快增長(zhǎng)。在技術(shù)路線的選擇上,火線希望安全工作降低對(duì)開發(fā)的干擾,于是選擇了被動(dòng)式插樁的技術(shù)路線。另外,火線出于“安全需要立足于整個(gè)CI/CD流程,開源便于客戶自主開發(fā)擴(kuò)展、自主適配”的考慮,將洞態(tài)IAST進(jìn)行了開源。開源給產(chǎn)品帶來(lái)的是各異的使用場(chǎng)景、功能建議和反饋,這些都推動(dòng)著洞態(tài)不斷精進(jìn)。為了滿足企業(yè)客戶更多的需求,火線也在計(jì)劃推出商業(yè)化版本。
在此之前,市場(chǎng)對(duì)火線的主要印象停留在白帽平臺(tái)。其白帽平臺(tái)于2020年4月上線,主要模式是聯(lián)合白帽子專家為企業(yè)提供云端安全服務(wù),并將其中的基礎(chǔ)能力自動(dòng)化和標(biāo)準(zhǔn)化,從而大幅提高安全服務(wù)的效率,36氪早前已介紹過(guò)。如果從供需端拆解,白帽子在火線平臺(tái)上通過(guò)服務(wù)獲得收益和進(jìn)步,企業(yè)則可通過(guò)和火線平臺(tái)合作,讓更多安全專家?guī)椭鷻z出系統(tǒng)漏洞,提升安全能力。
安全眾測(cè)模式其實(shí)由來(lái)已久,國(guó)內(nèi)外亦有不少公司推出類似服務(wù)。鄔迪認(rèn)為火線最大的特點(diǎn)在于對(duì)白帽子的重視與賦能。利用自主研發(fā)的工具賦能白帽,真正提升其挖洞效率和質(zhì)量,并在挖洞過(guò)程盡量透明化的基礎(chǔ)上,讓白帽子在服務(wù)過(guò)程中不僅獲得能力的提高、取得應(yīng)有報(bào)酬的同時(shí),還能讓企業(yè)放心讓白帽挖洞,讓企業(yè)與白帽之間建立信任。
建設(shè)白帽社區(qū)的核心是通過(guò)各種手段吸引到優(yōu)質(zhì)可靠的白帽,并讓他們持續(xù)活躍。在具體運(yùn)作上,「火線安全」首先以邀請(qǐng)制+人臉、實(shí)名認(rèn)證的方式保證白帽的可靠性。第二步,當(dāng)白帽注冊(cè)成功,火線會(huì)提供各種工具幫助白帽高效工作。同時(shí),在日常運(yùn)營(yíng)中,火線也會(huì)組織不少活動(dòng)提升白帽活躍度。另外在和客戶的溝通中,火線會(huì)通過(guò)透明流程讓其意識(shí)到白帽的實(shí)際工作價(jià)值 ,讓白帽贏得尊重。
在之前的報(bào)道中,我們?cè)榻B過(guò)火線平臺(tái)對(duì)白帽子的工具賦能邏輯。首先,在測(cè)試過(guò)程中,白帽子需要先進(jìn)行基本信息收集、IT資產(chǎn)收集及分析等工作,才能真正開始檢測(cè),但由于資料繁多、資產(chǎn)復(fù)雜等原因,這些步驟在落地上非常繁瑣。另外,白帽子在真正進(jìn)行檢測(cè)工作時(shí)也需要利用工具提升工作效率。針對(duì)這些痛點(diǎn),火線推出了一系列免費(fèi)工具進(jìn)行賦能。
而在透明流程上,此前鄔迪也曾介紹,火線上線了安全沙箱以及沙箱管理后臺(tái),將流程可視化,提升企業(yè)對(duì)測(cè)試流程的信任感。
在安全眾測(cè)的基本商業(yè)模式上,火線安全平臺(tái)會(huì)將客戶的漏洞獎(jiǎng)金直接給到白帽子,而火線從客戶處收取服務(wù)費(fèi)。鄔迪認(rèn)為未來(lái)隨著安全服務(wù)市場(chǎng)的擴(kuò)大,客戶方為眾測(cè)平臺(tái)在運(yùn)營(yíng)能力方面的付費(fèi)意愿會(huì)越高,平臺(tái)也會(huì)由此獲得更高的營(yíng)收。而時(shí)過(guò)一年,公司也在一些客戶中落地了 “將平臺(tái)費(fèi)和白帽酬金分離結(jié)算” 的模式——火線會(huì)幫助客戶結(jié)算給白帽的酬金,同時(shí)自身也會(huì)根據(jù)客戶的資產(chǎn)規(guī)模收取一部分平臺(tái)運(yùn)營(yíng)費(fèi)用。而在早前,獨(dú)立的平臺(tái)運(yùn)營(yíng)費(fèi)在業(yè)內(nèi)較少出現(xiàn),鄔迪認(rèn)為這一改變既來(lái)自于甲方意識(shí)的改變,同時(shí)也和火線自身的透明運(yùn)營(yíng)制度相關(guān)。
談及公司近一年的變化,鄔迪認(rèn)為火線的白帽社區(qū)主要出現(xiàn)了以下幾個(gè)方面的進(jìn)展:第一,公司在這期間持續(xù)與騰訊、百度、曠視、貝殼、快手等頭部客戶合作,由于平臺(tái)白帽水平較優(yōu)質(zhì),火線的業(yè)務(wù)認(rèn)可度在甲方獲得了極大提升。另外,在較為嚴(yán)格的邀請(qǐng)制下,火線平臺(tái)如今也有近萬(wàn)名白帽子注冊(cè)。鄔迪介紹,結(jié)合 “邀請(qǐng)制+實(shí)名制” 后還能擁有近萬(wàn)名白帽注冊(cè),這已是眾測(cè)行業(yè)的頭部成績(jī)。在社區(qū)活躍度上,鄔迪透露白帽子的月活在40%左右。在產(chǎn)品使用度方面,過(guò)去一年火線為白帽提供的工具已經(jīng)有近200萬(wàn)次的使用量。這些進(jìn)展也是火線通過(guò)制度、產(chǎn)品以及理念普及等方式不斷打磨的結(jié)果。另外,公司更重要的進(jìn)展是建立了通過(guò)開源打造云安全產(chǎn)品的模式,這在未來(lái)將會(huì)對(duì)客戶帶來(lái)更多的價(jià)值。
本輪融資后,火線安全將持續(xù)加碼平臺(tái)建設(shè),并推出更多優(yōu)秀的云安全產(chǎn)品。另外,公司也會(huì)持續(xù)拓展客戶,以期和更多行業(yè)頭部客戶共同打磨安全產(chǎn)品的新模式,感謝投資方以及白帽、客戶們對(duì)我們的信賴。
