周鸿祎：沙盒比赛的创新理念可以探索网络安全的未来

当地时间下午1点30分，周鸿祎全程参加了时长三个小时RSAC创新沙盒大赛。在赛事结束四十分钟后，周鸿祎与建信金融科技总裁雷鸣、IDC高级分析师王军民，在花椒直播参加了“锵锵四人‘谈’RSAC 2020沙盒总决赛”的高端对话栏目，对参与沙盒大赛的公司进行点评。

直播的最后，周鸿祎还表示，在今年360将要举办的ISC互联网安全大会中，还会再次设置沙盒比赛，带领更多人探索网络安全行业的未来。

数据隐私、SaaS安全、漏洞管理成行业关注焦点

众所周知，RSAC 2020创新沙盒（RSAC Innovation Sandbox Contest）被称为“全球网络安全风向标”，能够参与的企业均为行业领军者。在今年的沙盒比赛中，Securiti.ai、Obsidian、Vulcan Cyber分别荣获前三甲。

对于这三家公司，周鸿祎认为，Securiti.ai公司戳中了数据隐私保护这一全球性的难题和挑战。他们在最佳的时间，推出了最精致的解决方案——Auti机器人（自动化隐私合规操作平台）。它使企业能够授予用户对数据的权利，成为用户数据的负责人和保管人，同时遵守CCPA等全球隐私法规并支持其品牌。

Obsidian的领域是SaaS安全。在周鸿祎看来，Obsidian切入了一个有技术空白的新领域，而且其产品的应用场景包括账号保护、内部威胁检测、威胁发现和狩猎、事件响应等业界关注的热点。

Vulcan Cyber则是为用户提供自动化修复漏洞的解决方案，集成、自动化和编排现有工具和流程，使得大规模、快速修复漏洞成为可能，漏洞曝露时间从数周和数月缩短到数小时。从技术上来说，它提出了漏洞管理的方法论需要变革。从商业模式上来说，它通过API集成主流的网络扫描器、web扫描器、安全配置评估等解决数据源的问题，进而获取资产、威胁情报、漏洞、修复方案等。

十家公司各有所长  沙盒比赛代表创新理念

直播中，周鸿祎也从技术方向角度对各大公司进行了分类，其中，Vulcan、ForAllSecure、BLuBracket三家公司都致力于解决系统存在的漏洞问题。然而三家公司的细分领域各有不同，Vulcan擅长漏洞管理，BLuBracket能够对代码进行扫描和管理从而发现漏洞。而ForAllSecure与此次大会的主题——“Human eletment”（人为因素），较为契合。

据了解，ForAllSecure的成员均为卡耐基梅隆大学资深安全专家教授带领的黑客。此次参加沙盒比赛展出的产品为一款名为ForAllSecure Mayhem的机器人。据了解，ForAllSecure Mayhem并不打算代替人类安全分析师，而是通过分析自动化，甚至以线速修补常规类别的漏洞，让人类分析师能够专注于真正棘手的问题。

此次沙盒比赛中，INKY和Tala这两家公司成功引起了周鸿祎的注意。这两者有一个共通点，即专注于某一领域。以Tala为例，它通过在网站的每个页面上提取50多种行为，构建“应用程序的信息模型”并形成基线，从而分析、检测服务器、网站供应链中的异常活动或在用户浏览器侧执行的恶意代码，最终能够完全自动化确定、配置和管理浏览器内置安全控件。这一技术开发，对360浏览器有所帮助。

此次与SaaS安全厂商Obsidian一同入围的是AppOmni，这是一家企业级SaaS安全和管理平台提供商。但与Obsidian不同的是，AppOmni专注于SaaS数据安全领域，主要业务聚焦在SaaS应用的数据安全上。周鸿祎称，这家公司给了自己一点启示，即业务是决定了安全走向的一个前提，而安全是业务重要的一个属性。

在周鸿祎看来，Elevate Security公司更注重人为因素的重要性。这家公司认为人为错误是95%的网络安全漏洞的主要原因，从而将行为学，心理学，数据科学和黑客思维进行结合打造出了行业的首款行为安全平台。在当今数字化转型时代，这家公司利用其先进的行为分析和数据科学技术，提出了以人为本的理念，对推动安全行业发展具有变革意义。

凭借Web安全入围的Sqreen，其平台采用了沙箱化的微代理设计，适于云原生环境和大规模分布式环境，以保护适用于所安装的每个应用程序或微服务。平台最核心、最成熟的模块是RASP（应用程序运行时自保护）。2019年还引入了In-App WAF，旨在与RASP形成多层防护，但两者功能上有较多重叠。周鸿祎认为，Sqreen平台更多适用于寻求模块化和平台化的创新方法来实现应用安全的安全团队和应用团队。

全球统计数据显示，我国网络安全市场的安全硬件占比61.3%，但安全软件和服务占比相对较小的。而美国则恰恰相反，它的安全硬件占比仅为16.6%，但安全服务和安全软件的占比较高。在周鸿祎眼中，现如今的网络安全已经不能只依靠设备和系统维护。未来需要更多的安全专家、安全运营商，对数据进行分析、挖掘、深入追踪，才可能真正的解决安全问题。

在直播最后，周鸿祎表示，360继去年在ISC大会上举办了沙盒比赛的活动后，今年还将继续举办。在他看来，沙盒比赛不仅能看到一些有意思的公司，也代表着一种创新的理念。周鸿祎希望能通过沙盒比赛从不同角度去衡量公司，以创新细分市场的敏锐度，从而达到解决问题，创造价值的目的。同时也以这种形式，为网络安全领域的创业公司和创业者带去一些鼓励。

责任编辑：wb001

文章来源：http://tech.72177.com/2020/0226/4523139.shtml