微步在线：网络威胁情报就像生活里的“电”

“威胁情报有点像我们线下生活中的电，很多用户并不直接消费‘电’，但需要它，因为我们需要照明，需要启动机器等。而情报是一个特别核心的能力，这也是业界的一个共识。微步在线其实是基于这种能力，我们做了一系列产品，把威胁情报应用到了很多产品里去，那么在产品使用中，一方面，用户看重的是效果;另一方面，客户想要我们提供的是一种能力，而非一个工具。”近日，微步在线创始人兼CEO薛锋在接受环球网科技采访时表示，在网络安全领域，微步在线给自己的定位是威胁发现与响应专家。

微步在线创始人兼CEO 薛锋

从防护到发现：从锁闭门窗到“巡逻”

2020年9月16日，中国信通院发布的《中国网络安全产业白皮书(2020年)》显示，2019年我国网络安全产业规模已经达到1563.59亿元，预计2020年产业规模约为1702亿元，市场规模大，增速稳定。同时，网络安全法、“等保2.0”、“关基”等国家法律和标准的更新，也对主动防御和预警监测提出了全新要求。

薛锋告诉记者，在云重构企业IT架构的大环境下，网络安全产品突破原有技术框架，充分利用大数据、云计算、人工智能等新技术是必然趋势，因此，基于云端的SECaaS(安全即服务)模式将逐渐替代基于本地化部署的传统软件服务模式，成为新一代网络安全产品的标准需求。

据介绍，微步在线以威胁情报能力切入网络安全市场，基于海量情报数据的安全云为核心能力，打造全面的“检测-响应”产品矩阵，构建一体化安全新生态，包括威胁感知、威胁情报管理、云化端点响应、云化互联网安全接入、安全分析社区和应急响应服务等多个场景，从而沉淀出企业网络安全的全场景、全链条数据，不断延展安全云的能力边界，覆盖更多企业安全场景。

“微步在线目前已经可以配置一些防护一体化产品。其实它是个云化的方式，直接配置一下，不用装软件和装硬件就能做防护。它跟过去产品的区别在于能够‘发现’，之后还能拦截，这就对安全成熟度要求低一些，甚至连杀毒软件都没装，就能帮助企业客户消灭95%以上的问题。”薛锋还指出，微步在线希望提供更多能够开箱即用的产品，一方面，提高了企业的普适性，另一方面，部署的时间也可以保证在分钟级到一个小时以内。”

在薛锋看来，网络安全的“防护”就像是盖了一个房子以后，得先把门窗锁了。他坦承，“当然，不管到什么时候，这个都是网络安全建设的第一道门槛。但是到现在，大家意识到光靠防护是防不住的，还是要做‘发现’，‘发现’之后还要进一步做针对性地响应和处理;而这正是微步在线的能力所在，即威胁的发现与响应。

薛锋进一步向记者解释道：“其实微步很多时候跟搜索引擎很相似，通过公开的信息去做一些监控和分析。不过，搜索引擎更多的是关心大家在说什么，网页上写的是什么，在内容层面;而微步在线可能还多一个维度，再往下关心互联网上的基础设施，比如这个IP它有什么特征，会带来什么样的影响。做一个比喻，如果搜索引擎是关心路上面的车水马龙，我们要做的则是把所有的车和人都记下来，区分好和坏，还要关心地面以下的下水道、电线等这些基础设施层面。核心是数据的分析能力，最核心、最关键的是能不能精准的识别好与坏。”

据他透露，微步在线以标准化部署为主，采取基于SaaS的服务模式，为本地产品赋能云端海量计算能力，并根据客户实际使用情况如硬件、终端数等采取按年付费的订阅收费制度。通过不断挖掘用户需求、不断完善产品矩阵。微步在线的续约率接近95%、订阅收入占比近80%。

“蓄电”：完成D轮3亿元融资

资料显示，在美国，专注于安全云化的厂商持续高速发展，典型的两家公司如CrowdStrike和Zscaler。其中CrowdStrike成立于2011 年，于2012-2013年推出威胁情报服务 Falcon X 及终端检测与响应(EDR)产品 Falcon Inshight，后不断增设产品线，并于今年推出 PaaS安全平台 CrowdStrike Store，构建了终端安全产品+威胁情报服务+专家服务，SaaS + PaaS的完整安全生态。2019年CrowdStrike订阅服务收入占比为 88%，营收留存率达98%，净留存率为124%。目前CrowdStrike的市值约300亿美元。

作为中国威胁情报代表企业，微步在线于9月21日，宣布完成3亿元人民币D轮融资，由中金资本、中信证券、云晖资本等多家国资背景投资机构联合投资。

对此，云晖资本创始合伙人熊焱嫔女士表示：“在日益复杂的IT环境下，积极主动防御成为网络安全发展的必然方向，而威胁情报是下一代主动防御的关键。”另外，中信证券投资团队则认为，微步在线连续多年荣获Gartner威胁情报市场指南报告中唯一入选的中国推荐供应商，以订阅服务+大数据+云计算形成了领先的商业模式，在金融、互联网、通讯和能源等重点行业逐渐构建行业品牌效应和数据壁垒。

谈及公司下一步的规划，薛锋表示：“本轮融资将继续用于进一步市场扩张和产品研发。打造自动化、智能化、可视化的全场景全生命周期产品线，推动SECaaS的全面应用。”

变化：社区生态抱团“斗魔”

据环球网科技此前报道，微步在线管理层曾呼吁，各行各业应该共享“坏人”线索数据，避免不同公司被同一伙黑客袭击，应第一时间共享信息，让“坏人”无处躲藏。“当我们发现一个团伙尝试对哪家机构进行攻击的时候，其实应该立刻把团伙信息同步给其他机构，这有助于提高整个行业对攻击防御能力。我们与国外差距的关键所在，正是这种共享的理念意识。”

值得关注的是，2019年，微步在线在“2019网络安全分析与情报大会”现场向社会发起了1000万情报奖励计划，拿出1000万奖金推出情报共享计划，鼓励行业共享“坏人”线索。

提到近几年国内威胁情报市场上的变化，薛锋告诉记者：“首先，我觉得最核心的变化还是从技术到产品的过程，因为情报本身的推广、普及到应用有一个演进的过程，就相当于用户从新概念、新技术的了解到去使用产品。其次，是从超大型客户高尖端的需求到一些中小型企业更普适性需求的演变过程。第三，就是用户认知的巨大变化，尤其是2015年、2016年的时候，用户对于威胁‘发现’的认知很模糊，有的用户甚至认为我们防护挺好，不会被‘黑’掉;现在基本上很少用户会这样认为，理念上有一个巨大的变化，随之而来的就是安全策略、团队布局和日常工作的变化，大家会很重视威胁的‘发现’。”

“我觉得，这个行业其实需要很多的积累，不管技术侧的模型、规则、算法积累，用户侧的场景和反馈积累，还是核心技术方面，壁垒还是比较高的。情报有两个效应，第一，是雪球效应，它会越滚越大;第二，网络效应，更多的人加入这张网，效应会更好。所以，在这两重效应的作用下，其他人要追上(微步在线)还是有难度和挑战的。”提到市场竞争和行业壁垒，他解释称，“网络安全为什么竞争很激烈，而且创新又层出不穷?是因为驱动力，魔高一尺，就要求我们‘道’也得越来越高，所以，到最后其实是好人跟坏人在赛跑，不是好人跟好人之间在赛跑。这也是网络安全行业创新的一个巨大的动力。”

最后，薛锋告诉环球网科技记者：“现在很大比例的用户愿意选择把一些跟客户、业务无关的那种黑客的数据共享出来。我们还有一个微步威胁情报社区，是我们公司创立的第一个产品，也是我们做的最持续的一个产品，是开放而且免费的。目前社区里面有大量(数以万计)的活跃用户和注册企业，大部分的安全研究人员和做安全服务的人员都在持续为整个社区做着一种安全行业的生态输出。”