安全不应该让中小企业客户望而生畏。
安全服务市场火了，据数说安全统计，截至2021年Q3，国内安全服务市场份额同比增长50%以上。在中国西部地区经济发展的桥头堡西安，西北规模最大的创新型安全公司四叶草安全最近有些新动作。
四叶草安全2012年成立，十年间坚持“以攻促防”的服务特色，从黑客的角度帮助用户建立主动智能的安全防御体系。在多年的安服经验中，四叶草安全CEO马坤发现，大部分安全厂商都倾向于服务规模偏大的客户，比如公安、网信等监管部门，或是运营商、金融、电力、能源、国企央企这样安全预算较多的大客户，很少有人为中小企业的业务安全赋能。但实际上中小企业在整个国民经济和数字化转型中也占据很关键的位置，他们也有安全的痛点和需求，也该有人为中小企业做性价比高的安全服务。
“打个比方，像我了解的很多中小企业，有做OA的，做邮件的，做第三方开源程序的等等。他们的规模并不大，可能就几百人，但是他们承载的使命感很强。他们并没有专业的安全人员，也没有完整的安全体系，甚至开发的SDL的流程也没有。我们就想推出一款SaaS智能化服务平台，让中小企业能够低成本高效率地使用安全服务。”马坤说。
说干就干。
“未知攻、焉知防”，马坤是国内为数不多的以黑客技术起家的创业者，从2001年至今对黑客攻击行为钻研了20年，他的职业生涯是和国内安全服务的发展绑定在一起的。他认为，SaaS化服务是“低成本”安全产品的模式体现，真正能达到“高效率”则需要一些沉淀和积累。这就不得不提到四叶草安全的“以攻促防”理念，也就是马坤多次跟我们提到的：黑客视角。
马坤告诉我们，安全服务的早期主要靠人，这是一个必经之路，但一直用人堆起来的服务模式是比较低效率和高成本的。经过多年的服务积累，他们慢慢把“人”的能力插件化：四叶草安全最早设立的BugScan社区就是收集白帽子插件的，把白帽子提交的插件和安服人员的实战经验通过梳理，把黑客攻击思路模型作为产品基础，就可以自主化、智能化判断各类黑客的攻击手法，再将攻击手法集合成产品的功能模块，形成有效的防护方案。
四叶草安全CEO 马坤
这套安全服务的思路，在实际的落地应用中被证明了是非常有效的。从2017年开始，四叶草安全与蚂蚁集团开始达成战略合作，“以攻促防”的安全产品体系在近几年已经服务了超过1400万的支付宝商户，并取得了非常好的效果，四叶草安全也凭借优秀的安服能力连续多年成为蚂蚁金服安全生态优秀合作伙伴。四叶草安全团队将这套感知和洞察攻击的安全服务体系命名为“感洞”。
四叶草安全和“感洞”逐渐在蚂蚁体系里的中小企业打响名声，更多的人找到马坤，交流了自己面临的安全问题，包括黑客攻击和勒索；还有超过半数的中小企业，存在严重的安全问题，可是并不知道问题出在哪，更不知道怎么防范。
马坤意识到，“感洞”方案可能需要再一次升级，他和他的团队，要通过这次方案的升级，帮助更多中小企业，守住安全的底线！
2021年，为了帮助中小企业解决相关难题，四叶草安全对旗下安全产品以及服务进行整合，推出了“凌洞SaaS智能化服务平台”。“凌洞”是一款高性价比的专属安全解决方案，从安全防护、风险监测、安全制度规划以及SRC搭建等多维度全面提升中小企业的安全等级。
四叶草安全表示，凌洞智能安全服务平台将为中小企业用户提供安全加速、Web应用动态防护、资产漏洞风险监测、移动应用检测、安全锁、在线信息安全教育以及安全意识风险管理等全方位安全产品的一站式服务，同时也可以协助中小企业快速构建专业SRC，打通漏洞应急流程，帮助中小企业用户用最低的成本、最高的效率实现企业网络安全“从无到有”、“从点到面”的跨越。
“我们提供的，不仅仅是CDN。‘凌洞’包含事前的监测预警、事中的行为和攻击阻断、事后的加固溯源与反制。我们还加上了线上安全培训模块，这部分我们把四叶草网安人才培养创研中心和四叶草安全服务团队在一线碰到的问题和实战环境都融合进去。比如说你是运营商，你就能看到运营商的一些真实环境，了解哪些地方容易出问题，能够在上面去做真实的演练。你是金融行业的，我们会把给金融、银行服务的能力和环境复现进去。”
马坤介绍到，”我们的Web应用动态防护系统（简称：御垒），是从OSI七层模型中的4层和7层两个维度帮用户做攻击阻断。在7层用了我们现在动态防护的技术，这部分其实行业内也有企业在做，但是因为技术问题他们还未实现SaaS化，我们通过边缘计算技术将这一部分纯SaaS化了。在7层用动态防护技术，基于动态混淆加密的前后端一体化防护去防止黑客的各类恶意行为，能把很大一部分的攻击行为阻断。在4层我们会去做流量学习和用户业务行为的建模，通过模型去有效地识别这是一个正常的在内网横向的访问行为还是一个横向移动的黑客行为……“
马坤说，“凌洞”方案用的是一套组合拳，目的就是为了帮助中小企业高效率解决更多的安全问题，这样才能尽最大的可能守住安全的底线。如果用户有更多的需求，例如等保、密评、关保等相关监管部门定期检查，四叶草安全也会配备相应的安服人员解决这部分的需要。针对业务系统较多、资产管控能力较差的客户，在有必要的前提下会为客户建立SRC平台（漏洞报告平台），但是这要基于客户的业务需求，实际上大多数中小企业是不需要的。
在网络安全市场上，安全似乎一直是一个成本中心，甲方对安全的投入都是比较谨慎的，这点圈内的人都有体会。
马坤深知，服务中小企业几乎没有很大的利润空间，对于处于发展阶段的客户来说更是每一笔钱都要用在刀刃上的，极其注重性价比。但也许是出于一位安全老兵的责任感，也许是出于一个网络安全公司的使命感，马坤和四叶草仍然在竭力解决这类客户正在面临的企业安全问题。
“有可能客户只花了几千块钱做网站，客户能接受的做安全的成本基本也是这个量级，他们不能一上来就买一堆防火墙，买一堆WAF，日志防护、流量设备、agent等（况且，很多客户并不信任agent）。安全不应该让中小企业客户望而生畏，我们有这个能力和经验，希望通过我们的能力和经验，服务好中小企业，为我国的数字化经济，为每一个客户，守护好安全的底线。”马坤说。
评论