用“智能”代替“规则”构建“实战化”安全攻防体系——访北京长亭科技有限公司副总裁崔勤

本刊记者 王 超

崔勤，北京长亭科技有限公司副总裁、联合创始人、技术架构与解决方案中心负责人，负责公司攻防两端产品服务最佳实践，带领团队服务过包括中国银行、交通银行、农业银行、国泰君安、中国平安、滴滴出行、爱奇艺、Bilibili、华为等众多知名金融、互联网及IT客户，同时兼任公司2019年、2020年、2021年全国攻防演练活动主要负责人之一，统筹组织人员、技术落地。此外，作为国内网络安全战队蓝莲花战队（blue-lotus）的核心成员，同团队参加过各类国际CTF赛事，在2016年DEFCON CTF 24黑客夺旗大赛总决赛中获得全球亚军的好成绩。

近年来，全球网络安全威胁形势变化多端，新型攻击手段变得更加复杂和隐蔽，安全风险的严峻性带来对安全管理理念转变的思考，企业安全建设开始向主动有效的全方位体系化防护工作模式发展，威胁感知成为安全防御重点。提高态势感知能力可以快速、有效地识别和处理安全威胁，实现网络安全态势全面、精准地展现，提升企业安全防护水平。

作为网络安全行业表现亮眼的新锐力量，四位联合创始人都来自知名蓝莲花战队的长亭科技，始终致力于发展新型网络安全技术，提高国内安全水平，接轨国际顶尖技术，构建了以攻、防、知、查、抓为核心理念的产品+服务应用安全体系，通过发展新技术新方法，为企业提供“智能化”解决方案。

近日，记者有幸与北京长亭科技有限公司副总裁崔勤进行了深入访谈，就网络安全防护及建设、实战化安全攻防演练、体系化产品作战、安全服务体系等方面，进行了沟通和交流，希冀对网安产业人员带来些许思考，共同探索网安产业的未来发展之道。

记者：当前在网络安全防护及建设方面有哪些新变化？

崔勤：近些年，在监管层面的要求和落实下，安全防护实战化的覆盖密度越来越大。对于企业而言，安全防护要经受得起实战演练的挑战；对于安全厂商而言，产品效果也有了更直接的评价标准，也就是说，在实战演练场景下，厂商的安全产品会面对实打实的挑战，如果依然能精准地发现问题就说明效果好。

从长远来说，这对于初创公司是一个利好的现象。产品效果的测试标准更明确，客户在乎实战下的效果，那么就要在实战中表现出来，证明产品实实在在的效果。同时这也促使安全厂商开始思考如何从长远和根本上应对这种实战化问题。

对于安全建设走在前面的客户，开始考虑长远的解决方案，注重人才梯队的培养，希望通过人才培养来应对未来对于安全的高标准和高要求。但对于其他客户，因为预算有限，现阶段还是非常依赖于外部资源的支持。

如今，一家企业的安全负责人面临的困难远超十年前。一家企业的安全建设必须要有通盘的考虑，不光是在安全建设方面，还要从更基础的层面出发，各项安全能力都不能有短板。如果有一项短板，很可能就立刻被对手方给抓住。因此，现代企业在安全建设方面，不管是顶层设计、细节上的各种落地，还是人才队伍的建设，都需要做到足够好，这必然面临很多变化和困难。

记者：长亭科技如何在贴近市场需求的情况下，进行技术和产品的沉淀突破？

崔勤：长亭科技在做安全产品，尤其检测类的产品时，一般强调在检测能力上的技术性突破或者技术性创新。就应用安全而言，随着互联网发展，很多企业通过Web应用为客户提供服务，而Web应用也容易遭受外部攻击，于是企业会采购WAF作为第一道防护，当时市面上的WAF是通过规则库匹配来识别攻击。所谓规则库本质上是正则表达式的集合，由于正则文法本身表达能力的限制，通过规则库的防护思路效果并不够理想。我们当时就考虑针对Web攻击检测的场景，是否存在可优化的空间，早期也尝试过机器学习的算法，发现通过机器学习的算法有一定效果，但并没有达到理想的效果，因此就考虑其他技术，就是现在所使用的语义分析。

总的来说，我们通过两方面来尝试和沉淀突破：

一方面，站在产品技术角度，通过分析现有技术的实现和效果，来判断是否可以用新的技术来替换，进而获得更好的效果。这个过程是非常艰辛的，并不是说所有的问题都可以通过技术创新来解决，也会存在一些不能克服的限制条件。

另一方面，站在客户角度，扎扎实实研究如何更好落地，这是非常重要的。一定程度上讲，我们的产品其实也是站在客户角度不断地去做一些微创新，而不是颠覆式创新，更多的是贴合用户场景上去做一些调整，尽可能地帮助用户解决实实在在的问题。这其实要依赖于我们的一线部门，不断地反馈各式各样的用户场景。这种微创新不仅适用于解决客户的问题，还适用于技术的创新突破。

技术和产品的沉淀和突破，需要长期积累，并非一蹴而就，因此，我们很难一下子把一件事情做得非常好，但是我们愿意长期去努力去坚持，也是在客户的帮助、在市场的引导下，一起去把事情做得更好，这是我们一直以来的立身之本。我们非常强调这个能力，在内部和外部的双重环境下，不断去打磨产品、迭代技术，从而让产品落地体验和场景化技术做得更好。

记者：不久之前，长亭科技发布了一款名为“万象”的态势感知产品，请您谈谈长亭科技进入这个赛道的考虑及优势。

崔勤：2021年7月，在北京新品发布会上，我们正式发布了安全平台产品万象（COSMOS）安全分析与管理平台，同时重磅升级了全线产品和网络安全服务体系。可以说，长亭科技自主创新网络安全防护产品能力已经实现再次焕新，实现了依托智能代替规则的产品理念与扎根攻防实战的安全服务。

如今，态势感知已经是一个比较成熟的概念，很多企业也都采购过类似的平台类产品。长亭科技之所以要进入这个赛道，是因为发展所需，通过前期的产品和服务经验的积累，单点的检测能力是存在局限性的，而平台是获得综合分析能力的基础。举例来说，我们有边界产品，也有流量产品，当我们再有端点产品时，如何进行综合分析，发挥 1+1 大于 2 的效果？这时，就迫切需要一个平台类产品来体现我们的综合分析能力。

在这个过程中，有的客户也怀疑过我们做态势感知产品的能力，其实，我们也曾有过类似的担忧，但最终还是下定决心来做，原因在于我们观察到在给用户做这种服务的时候，很多企业对态势感知类产品并没有真正的用起来，因此，我们在攻防演练项目中，特意为用户搭建一个平台，来验证我们到底能不能把这种平台类的东西做好。目前，我们主要聚焦两个场景：安全分析和智能化运营。

第一个场景是安全分析，具体是日常的安全事件运营和对抗时安全分析工作台。企业采购了大量的安全产品，每天进行逐一分析不现实，需要通过平台统一收集日志并分析，如何将海量的日志转化为可人工研判的安全事件（关键指标：有效事件转化率）是一个大难题。在对抗时，平台本身是否能够提供发挥工作台的作用也至关重要（现实是平台处于弃用的状态）。我们也是在沉淀多年的经验之后，才能踏入这个领域，帮助客户解决这方面问题。所以我们并不会去讲我们比其他厂商好在哪里，只会强调我们在某些客户那里确实落地解决问题。

第二个场景是智能化运营，所谓的智能化并不是指通过机器学习或者人工智能算法来做智能化运营，这里的智能化更多的是指自动化。自动化具体指企业在日常安全运营时，会发现每天有大量重复性工作，比如，针对某些漏洞的修复、某些关键信息的提取。这些问题，我们会利用自动化编排的功能，让其变成自动化解决。这样，企业可以避免重复性劳动和碎片化工作，节约成本和时间。

长久以来，安全行业的难点之一，是如何让客户来感知安全产品到底有多安全，能起到什么样的效果。安全效果如何量化，是让整个安全行业头疼的问题。长亭在这方面比较幸运，我们的攻防能力和安服能力在创业初期便得到了业内专家的认可。因为本身是打攻防比赛出身，在早期做服务的过程中，通过安全服务能力，让客户感知到长亭的服务能力很强。

记者：在整体能力全面防护方面，长亭科技如何进行体系化产品作战？

崔勤：如同战士的铠甲，单独的护膝或者头盔都不能有效防护敌人的攻击。网络安全亦然，任何一个单一的安全产品也都无法提供整体全面的防护，尤其在面对复杂多变的网络安全难题时。多产品、多角度、多方位的联动产品体系才是构建企业网络安全“铠甲”的关键因素。

在深耕行业场景实际应用的过程中，长亭深入理解企业需求，看到了安全行业的变化趋势：企业IT环境越来越复杂，安全开始紧贴业务，以合规驱动的发展，已经不是网络安全行业的唯一模式，企业前所未有地开始注重实战效果。产品体系的全面升级，正是长亭将攻防实战经验赋能于产品，坚持用创新解法解决企业实际安全问题。

例如，长亭科技已经升级的四款产品：雷池（SafeLine）下一代Web应用防火墙，以当前企业上云为解决场景，利用模块化底层架构+容器云原生，帮助企业轻松实现上云部署，同时开放的API接口也让产品联动更加便捷；牧云（CloudWalker）主机安全管理平台，以全新的技术架构和智能的安全检测算法完成新一代管理平台的蜕变，理论上支持无上限规模的探针让扩展变得如此简单，同时也全面支持容器化场景；谛听（D-Sensor）伪装欺骗系统，再次以实战需求为方向，在轻量部署的基础上增加了灵活编排的能力，更加便捷高效地实现欺骗；洞鉴（X-Ray）安全评估系统，更加深度适配云架构，在云环境下实现多租户资产风险的无痛管理，为企业的上云“扫清障碍”。

在过去，长亭科技的产品在单点表现上都十分抢眼：IDC硬件WAF中国市场份额报告中位列第四的雷池、单家金融机构覆盖上万量级的牧云探针、在2020年攻防实战演习中大放异彩的谛听、白帽子扫描利器的洞鉴。未来，长亭科技将更多地从产品矩阵的方向去帮助企业构建产品体系，以整体攻防能力的提升去锻造网络安全防护铠甲。

记者：请您谈谈对长亭科技安全服务体系的理解和认识。

崔勤：早些年时，很多安全厂商并不是很重视安全服务，原因在于这种服务低毛利率，而且交付成本比较高，因此，服务的内容和形式比较常规和低端，更多的精力用在了卖产品上。但近几年市场发生了很大变化，客户对安全服务越发重视，深入市场前线的人员对此感受颇深。由于前期对安全服务的积累较为薄弱，导致很多安全厂商在攻防演练的实战上，服务质量欠佳，甚至掉队。在这个过程中，有的企业认识到了该问题，也为此花费了很多精力打造自己的服务团队，但也有企业没有认识到，或者认识到了，却没有调整过来。

长亭科技早期凭借顶尖的攻防技术，主要服务于高端客户，例如，满足客户对应用渗透测试的需求，帮助客户发现一些深层次的漏洞。随着市场的变化发展和攻防演练的重要性日益凸显，我们的技术优势越发突出。随后我们的服务由解决单点问题到帮助企业解决安全建设中的系统性问题，也就是说从网络架构、监测体系、流程制度等方面着手，快速提升客户构建自身的安全能力，客户的整体性解决方法的能力，同时也更加贴近客户，深入现场，共同面对问题，共同解决。

目前，长亭科技对服务方式和理念有了更深入的了解。其实，很多网安企业的安全能力建设的难点在于看不见和看不清，如果能够将安全能力定量评估，就能更好地找到安全建设方向。因此，用“度量”和“量化”的思想和方法，可以更好地帮助企业去建设体系化的安全能力。正是由于长亭科技在服务技术、方式、理念等方面的不断精进，才赢得了客户的口碑和业界的声誉。

长亭科技在服务方面的付出和收获可谓有目共睹，其根本原因在于最早期的创业团队服务理念高度一致，非常崇尚技术，团队氛围较佳，并因此吸引了大批年轻人的加入，人才充沛，团队服务能力强，即使和阿里、腾讯等业界知名企业的安全研究团队相比，也毫不逊色，我们也同样有能力挖掘出类似操作系统和浏览器的高级别漏洞，并提出相应的解决方案，同时，我们也十分愿意把这种高级别的解决方案毫无保留地去服务客户。

记者：结合对网安态势的研究，请您谈谈长亭科技未来的规划和布局。

崔勤：如果在趋势到来之前，你已经做了与趋势相符合的事情，那么在这个过程中，你就可以跟着时代的潮流一起前进。长亭科技给出了关于网安领域未来发展的四点预测：第一，一定会出现一款真正好用的综合分析类产品，长亭科技也正在努力研发这样的产品，希望能够成为其中最好的那一个；第二，各种更高级的技术会进一步涌入和落地网络安全产品，例如，阿里云的Locate-Then-Detect和无明文识别技术；第三，密码最终会被消灭，身份认证、二次验证技术终将深入人心；第四，漏洞仍然很多，而且会变得越来越高级，掏出一个通杀脚本就直接Get Shell的时代已经过去。

经过十几年的发展，企业对于网络安全的热情度和需求度都有了很明显的提升，在安全建设上的投入以及在安全线上的水平也都远超以往。这样的现状对于每个企业而言既是机遇，也是挑战。长亭科技的方向一直以来非常明确，就是要用“智能”代替“规则”，将攻防实战发挥到极致，融入产品与服务之中，拒绝闭门造车，占据攻防安全时代的主舞台。我们的方向是很明确的，国家在政策上也给了非常明确的指引。这条路肯定是要继续走下去，并且要越做越好。这一点我们还是比较有信心的。