一邊是堅(jiān)冰浮沉的藍(lán)海，一邊是風(fēng)吹麥浪的田野。這可謂是中美兩國安全威脅情報(bào)市場最直觀的圖景。
 

Gartner的《2017全球網(wǎng)絡(luò)安全產(chǎn)業(yè)規(guī)模發(fā)展情況及趨勢預(yù)測》中顯示，2018年全球網(wǎng)絡(luò)安全市場份額已經(jīng)達(dá)到1060億美元，首度突破千億美金。而報(bào)告中值得關(guān)注的趨勢中，安全智能、安全自動(dòng)化、檢測與響應(yīng)等詞十分強(qiáng)勢地占據(jù)了顯要地位，而這些關(guān)鍵詞無一不和威脅情報(bào)相關(guān)。

 

一個(gè)領(lǐng)域真正地火起來，無外乎要經(jīng)歷資本熱、行業(yè)熱和市場熱三個(gè)階段。威脅情報(bào)行業(yè)亦不例外。先成熟起來的美國威脅情報(bào)公司們，不約而同地將眼神投向其他地域，而西歐、亞太等地也正在有新成員嶄露頭角。那么，安全威脅情報(bào)市場上是否吹響了混戰(zhàn)的號角？對于中國威脅情報(bào)市場來說，這陣來自美國東海岸的風(fēng)，帶來的究竟是寒潮還是春天？

 

一、從一筆D輪融資說起

 

4000萬美金，這是美國威脅情報(bào)服務(wù)公司Anomali的D輪融資總額。2018年1月17日，Anomali的CEO Dan Barahona 興高采烈地在官網(wǎng)上宣布了這個(gè)消息，并宣稱Anomali將把這筆資金投入開發(fā)創(chuàng)新的威脅管理和協(xié)作解決方案，并擴(kuò)大在全球范圍內(nèi)的影響力。至此，谷歌投資布局的三家威脅情報(bào)公司Recorded Future、CrowdStrike和Anomali全部進(jìn)入了D輪后的成熟期。

 

Anomali這家有著Google和CIA(美國中央情報(bào)局)In-Q-Tel投資的安全公司已經(jīng)把球開出了美洲，在Anomali的2017年大事記中，在阿聯(lián)酋啟動(dòng)一個(gè)包括48家銀行在內(nèi)的社區(qū)，發(fā)布俄羅斯、伊朗乃至中國的國家網(wǎng)絡(luò)安全概況，宣布與英格蘭銀行合作等境外動(dòng)向，一件件可謂歷歷在目，一步一個(gè)腳印昭示著這家公司的野心與胃口。

 

為什么Anomali會(huì)盯著英國、俄羅斯、伊朗甚至中國不放？

 

我們來看看網(wǎng)絡(luò)安全大行業(yè)的地域性市場份額。在全球范圍內(nèi)，北美、西歐和亞太三地的市場份額能夠達(dá)到整體的90%以上，呈三足鼎立態(tài)勢。其中，北美占比41.29%，西歐占比27%，亞太地區(qū)占比22.7%。然而增長率又是另一番景象，西歐市場份額增速只有6.5%，北美則達(dá)到9.2%，亞太地區(qū)的增長速度最高，為9.5%，值得一提的是大中華地區(qū)的增長速度遙遙領(lǐng)先，為14%。很顯然，亞太地區(qū)IT產(chǎn)業(yè)近些年快速升溫，對從相對成熟的市場中拼殺出來的Anomali們來說，無異于哥倫布望遠(yuǎn)鏡中的新大陸，比爾船長地圖里的金銀島。

 

而在美國市場上的威脅情報(bào)創(chuàng)業(yè)公司中，Anomali并非最早成熟，亦非最財(cái)大氣粗。累計(jì)融資9600萬美金的Anomali，在囤積了2.81億美金融資的CrowdStrike面前會(huì)遜色不少。而同樣為谷歌所投資的CrowdSrtike早在2017年5月和10月就完成了1.25億美金的D輪和D+輪。稍微小一號的Digital Shadows也在2017年9月完成一輪2600萬美金的C輪融資，從成長期步入成熟期；谷歌投中的另一家Recorded Future在2017年10月完成了2500萬美元的E輪融資，就連融資市場上沉寂許久的ThreatConnect，也早在2015年12月就完成了1600萬美金的B輪融資——那時(shí)候，中國的第一批威脅情報(bào)創(chuàng)業(yè)公司們才剛成立幾個(gè)月。

 

而Anomali還聘請了首席財(cái)務(wù)官和首席稅務(wù)官，這是要上市的節(jié)奏嗎？不管怎樣，Anomali已經(jīng)用行業(yè)報(bào)告對中國市場做了一次瞄準(zhǔn)，或許在下一回合中，炮擊就將著陸。

 

二、  這個(gè)時(shí)代沒有船堅(jiān)炮利，只有萬物生長

 

顯然盲目恐慌是不明智的，在驚嘆美國威脅情報(bào)市場的成熟速度之后，我們應(yīng)當(dāng)先來看看這些排頭兵們都在哪些更細(xì)分的賽道上。

 

CrowdStrike，“Active Defense（主動(dòng)防御）”理念的提出者和踐行者，針對APT攻擊，CrowdStrike選擇基于云和從sensor上采集的企業(yè)內(nèi)部數(shù)據(jù)，來對攻擊者進(jìn)行追蹤溯源，后來又將威脅情報(bào)與終端防護(hù)相結(jié)合，旗下的主要產(chǎn)品平臺(tái)Falcon已經(jīng)涵蓋了態(tài)勢感知、安全智能、EDR、安全狩獵、DNS防護(hù)等功能?？梢钥闯觯珻rowdStrike將威脅情報(bào)產(chǎn)品化的路徑是橫向擴(kuò)展，成長路徑也基本是教科書般的”逐夢安全圈“。

 

而本文開篇的主角Anomali的路線又略有不同。相較CrowdStrike，Anomali的產(chǎn)品線更加緊湊，圍繞威脅情報(bào)云衍生出檢測平臺(tái)、管理平臺(tái)、情報(bào)訂閱等服務(wù)，產(chǎn)出的威脅情報(bào)類型也以TAXII和STIX等可機(jī)讀情報(bào)為主，周度的通告類威脅情報(bào)報(bào)告為輔。

 

Digital Shadow如其名字，關(guān)注陰影中的動(dòng)向。他們更擅長追蹤深網(wǎng)、暗網(wǎng)的威脅情報(bào)，以保護(hù)公司的業(yè)務(wù)和聲譽(yù)。ThreatConnect也以威脅情報(bào)本身為出發(fā)點(diǎn)，衍生出TIP、TC Manage、開放性社區(qū)等產(chǎn)品線路。

 

同樣被Google投資的Recorded Future在2017年10月底完成了E輪融資，主打開源威脅情報(bào)；而谷歌早在2012年，還收購了另外一家威脅情報(bào)公司Virus Total。

 

看似威脅情報(bào)市場已經(jīng)被這些公司堵得密不透風(fēng)了？答案是：NO！

 

2017年P(guān)onemon Institute公司發(fā)布的報(bào)告中，有一組十分有意思的數(shù)據(jù)：

 

43%的受訪者認(rèn)為其組織對威脅的追蹤是有效的，41%的受訪者肯定其組織使用威脅情報(bào)的能力，但是，認(rèn)為威脅情報(bào)對其組織的安全使命中做出了貢獻(xiàn)的受訪者達(dá)到了86%，認(rèn)同威脅情報(bào)在其組織的安全體系中占到重要地位的受訪者也達(dá)到了84%。

 

SANS在2017年發(fā)布的《2017年網(wǎng)絡(luò)威脅情報(bào)現(xiàn)狀調(diào)研報(bào)告》中也能夠看到同樣的趨勢：

 

在情報(bào)對于安全方面的提升能力上，19%的受訪者認(rèn)為在阻止和檢測方面可以提升50%~75%，在響應(yīng)方面，18%的受訪者認(rèn)為可以提升11%~25%或者26%~50%。只有0.5%的受訪者認(rèn)為不能提升。

 

因此，縱觀整個(gè)威脅情報(bào)市場，正好處在一個(gè)資本點(diǎn)頭、市場打開、產(chǎn)品打磨的蓄水期，目前的市場總?cè)萘渴菐资畠|美金，但根據(jù)Gartner的《全球威脅情報(bào)市場指南》，這個(gè)市場的增速一直保持在60%以上，而且到2020年，全球范圍內(nèi)應(yīng)用了威脅情報(bào)的大型公司將從2017年的1%增長到15%。

 

今年已經(jīng)是2018年了，童鞋們。

 

市場增長快的背后是網(wǎng)絡(luò)環(huán)境的嚴(yán)峻。威脅情報(bào)的從業(yè)者們十分清楚，他們要拳拳到肉搏斗的是團(tuán)伙作案的攻擊者們，而非同行。他們應(yīng)當(dāng)慶幸這不是一個(gè)拼得你死我活的行業(yè)，或者說，很長一段時(shí)間內(nèi)都不會(huì)是。眼下的威脅情報(bào)市場，將迎來一波前所未有的萬物生長。

 

三、外來從業(yè)者們將降維打擊還是將水土不服？

 

在中國的IT市場中，外來的和尚從來就不太好念經(jīng)，所謂的去IOE可以算作是一個(gè)先例。雖說《網(wǎng)絡(luò)安全法》的頒布標(biāo)志著合規(guī)即將進(jìn)一步推動(dòng)行業(yè)，但誰能說網(wǎng)安行業(yè)中沒有IOE的陰影呢？國內(nèi)威脅情報(bào)用戶很可能不知道一個(gè)“潛規(guī)則”：根據(jù)US-CERT對威脅情報(bào)的分級標(biāo)準(zhǔn)，有關(guān)當(dāng)局禁止向中資企業(yè)出售高價(jià)值商業(yè)情報(bào)，而國際上最知名的金融行業(yè)威脅情報(bào)合作組織也未開放中資金融機(jī)構(gòu)的申請。這意味著，一味追捧國外情報(bào)廠商，最終很可能變成地緣歧視的受害者。

 

況且，從2015年開始，國內(nèi)也成長出了一批威脅情報(bào)創(chuàng)業(yè)公司，這些土生土長的創(chuàng)業(yè)團(tuán)隊(duì)們大多數(shù)都是安全圈里的大神，背景驕人，經(jīng)驗(yàn)豐富，不僅有著多年積累下來的資源，也十分熟悉國內(nèi)甲乙方的規(guī)則套路。

 

這其中跑得最快的微步在線已經(jīng)融完了B輪，正在進(jìn)一步完善產(chǎn)品線，走情報(bào)管理與威脅監(jiān)控相結(jié)合的路線，也有威脅情報(bào)開放社區(qū)等產(chǎn)品；天際友盟則主打聯(lián)盟和分發(fā)，同時(shí)也推出了平臺(tái)性的產(chǎn)品，此外還有品牌保護(hù)服務(wù)；白帽匯是在威脅情報(bào)“知彼”的同時(shí)，主打資產(chǎn)的抓取和清點(diǎn)，將“知己”也作為一條同等重要的產(chǎn)品線，可圈可點(diǎn)。這三家創(chuàng)業(yè)公司可以說是國內(nèi)威脅情報(bào)創(chuàng)業(yè)公司中的第一梯隊(duì)了，而它們正在變得麻雀雖小，五臟俱全。

 

有意思的是，這些創(chuàng)業(yè)公司在實(shí)際銷售中，遇到的對手都是賽門鐵克、卡巴斯基這種國際老牌大廠，基本是“抗歐美”，內(nèi)戰(zhàn)不多。而從筆者查詢的公開招投標(biāo)結(jié)果來看，國外公司中標(biāo)非常少，競爭力可能還不如國內(nèi)的創(chuàng)業(yè)公司，呈現(xiàn)出較嚴(yán)重的水土不服。因此，中國的威脅情報(bào)市場上，本土企業(yè)或許會(huì)有獨(dú)特的優(yōu)勢。

 

2017年的網(wǎng)絡(luò)安全大事中，充斥著APT動(dòng)向、比特幣勒索軟件、釣魚郵件以及后門漏洞，這意味著不管是深耕中國市場多年的老牌安企，還是正體驗(yàn)創(chuàng)業(yè)維艱的小公司們，或者全球威脅情報(bào)領(lǐng)域的強(qiáng)勢新秀，都將迎來近乎同等的發(fā)展機(jī)遇，很有可能打起一場混戰(zhàn)來。但在這樣的機(jī)遇面前，別嘲笑小公司的羸弱，也別鄙視大公司的笨重。畢竟，在這場薛定諤的混戰(zhàn)中，弱小和無知不是生存的障礙，傲慢才是。