作者：蔡欣华 奇安信投资总监

从投资人的角度来看，很高兴看到VC生态系统中同行发现的最新趋势，今年的RSAC 2020沙盒比赛也不例外。 RSAC Sandbox选择优秀公司的成绩斐然，140家曾参与创新沙盒比赛的企业，筹集了$ 52亿美元资金，48家成功退出。

评估早期公司的三个关键方面包括市场、产品和团队。在特定网络安全市场（例如电子邮件安全），会有许多企业针对同样的细分市场，导致风险投资基金需要仔细对比一个细分领域里的公司的产品和团队，以在有吸引力的安全市场脱颖而出。

在以色列Cyberweek（安全周）YL Ventures活动中，FireEye前任首席执行官Dave Dewalt表示，他关注网络安全公司的关键方面是公司解决哪种具体的攻击。该领域最好的公司将由优秀的产品和技术人员组成，他们了解市场痛点，并通过与传统供应商的有效区别来解决特定的客户需求。

在本文，我将从团队背景和实力、解决的网络安全问题以及它们的独特角度，来点评RSAC2020创新沙盒10强企业。

团队背景

“创新沙盒” 项目赛选条件包括看公司的管理团队是否有成功经验开发出产品到客户手里。今年“创新沙盒”中选定的公司中，大多数首席执行官来自网络安全供应商，或者拥有在大型SAAS提供商/用户的工作经验，这使他们拥有独特视角：可以了解网络安全的痛点。其他团队则来自大学或大型技术公司，可以为其提供相关基础技术方面的经验。以下我会按照团队背景介绍这次的公司 – 我认为这次RSAC创新沙盒的团队都有亮点。

背景类别 #1  网络安全供应商背景

具有网络安全供应商背景的初创公司知道如何按时交付客户需要的产品。 以下5家公司的团队都有这种背景。 风险投资基金还需要研究管理层在上家公司的表现如何：在一家公司获取的经验里多少能在新公司利用上，它是该类别的市场的领先公司？它是成功上市还是顺利退出？ 先前在网络安全供应商的成功经验，即他们具有重叠的技术或环境背景，这意味着管理团队可以利用先前的技术经验，更好地避免基本错误。

1）BluBracket – 代码安全和可视化

公司首席执行官兼创始人Prakash Linga曾在Vera（数据安全）担任联合创始人兼CTO，在Appsense（IT管理）担任工程副总裁，具有丰富的工程经验。 创始人Ajay Arora曾担任Vera首席执行官5年之久，此前还曾在Appsense担任首席技术官。

Blubracket解决代码可视化问题，使企业可以查看其代码在哪里、谁可以访问，并对最重要的代码进行分类。 开源和代码协作平台（例如Stack Overflow和Github）为企业代码创建了攻击面。 程序员可能会在代码中无意中加入了敏感的密码或令牌。 Blubracket帮助识别、防止和阻止这些敏感数据的意外泄露。 Blubracket管理团队此前在Vera保护和跟踪敏感文件方面的经验，可能有有助于Blubracket开发平台保护代码——许多公司最敏感的资产。

2）Obsidian – SAAS安全 - 检测与响应

公司首席执行官Glenn Chrisholm曾是Cylance的CTO。Cylance是一家主要的基于AI的端点安全公司，2018年底被Blackberry以$ 14亿美元的价格收购。在此之前，Glenn担任TelstraCISO，因此兼具安全供应商和移动运营商的经验。

公司首席技术官本·约翰逊（Ben Johnson）是Carbon Black公司的前联合创始人兼首席技术官。这也是一家领先终端安全公司，被VMWare以$ 21亿美元的价格收购。团队其他成员来自AWS、Carbon Black、NSA和VMWare。

Cylance以AI驱动的高效威胁检测而闻名；Carbon Black以其终端检测和响应（EDR）产品而闻名。Obsidian管理团队的背景非常适合将威胁检测和补救能力应用到云和SAAS应用防护上。

如果没有Obsidian这样的安全产品，心怀不满的员工在离职前容易下载敏感信息，用户可以允许未批准的第三方应用完全访问Google云端硬盘等云文件，而且被入侵的账号活动不会被发现。Obsidian加固了企业的SAAS账号，保护企业账号不被接管和未经批准的第三方应用访问数据，暴露新的威胁并检测内部威胁，并提供了安全响应工具来应对威胁。

SAAS的企业应用将继续增长，负责SAAS应用安全防护的CIO和CISO，及其背后的用户和数据，需要Obsidian这类产品实现完全威胁可视化和威胁应对。 

3）Securiti

首席执行官Rehan Jalil曾担任赛门铁克云产品高级副总裁兼总经理，此前曾任Elastica（由BlueCoat收购（又被Symantec收购））的首席执行官。在此之前，Rehan还曾任Tellabs公司总裁，该公司曾以1.8亿美元的价格收购了Rehan的公司WiChorus（4G嵌入式核心技术公司）。 Rehan是一位回归企业家——他拥有建立初创公司的经验——从创办到成功退出，这意味着他作为企业家学到一些VC喜欢看到的经验（包括好的决策和过去犯的错误）。此外，他还拥有大型网络安全公司的工作经验，熟悉成熟的网络安全产品开发、销售和营销流程。

Securiti首席执行官Rehan Jalil表示：“如果没有牙齿，就不会有人实施它。”

网络安全公司通常受到以下两种趋势驱动：1）新平台和技术的出现 ； 2）政府监管。 Securiti很大程度上由第二家趋势驱动，称自己为“ 隐私运营”公司。 

Securiti专门应对隐私法规，如《加州消费者隐私法案》；北美已经有15项隐私相关法规正在实施，全球则有30多项。欧盟的隐私法GDPR曾推动隐私业务企业OneTrust在首次机构融资时估值达到13亿美元，我认为隐私法规在其他州和地区的出现将成为Securiti的增长动力。 由于他们已经融资了8100万美元， 目前看似VC比较认可这个团队以及市场机会。Securiti 未来的发展取决于它们是否能快速获得客户以及符合重要的数据隐私管理政策因为这个市场需求很明确但是已经有其他竞争者也在快跑。我希望Securiti在创新沙盒演讲时也多说一下他们与其他隐私数据管理公司像OneTrust （去年融资了2亿美元）有什么独特的亮点。

4） Tala Security 

公司首席执行官Aanand Krishnan的背景比较有趣 ——他曾担任Symantec（赛门铁克）的产品管理高级总监，负责安全分析，他还曾在杜比（Dolby）公司以及Morgan Stanley投资银行负责发展和战略规划。他在Symantec和Dolby丰富经验对安全产品和公司规划很有帮助。他在杜比（Dolby）和摩根士丹利（Morgan Stanley）的经验可能有助于筹款和管理未来的退出流程。联合创始人Hemant Puri曾在Symantec工作过7年，担任高级首席研究员。他开发了两要素身份验证和基于云的文件解决方案方面的先进技术和新兴技术。

目前Magecart等攻击者可以攻击网站，在网站Javascript中插入代码，以在结账过程窃取信用卡信息。Web应用防火墙等传统安全机制通常无法对网站使用的客户端浏览器或第三方技术的动态JavaScript执行提供足够的可视化。 Tala可以提供浏览器端的行为和第三方应用的可视化。网站攻击会影响数百万付费客户和实际收入，大型网站和电子商务网站尤其需要Tala Security的解决方案。

5）Vulcan Cyber – 漏洞修复自动化

公司首席执行官（CEO）Yaniv Bar-Dayan在与他人共同创立Vulcan Cyber之前，在Cyberbit有超过3年的销售、业务拓展和市场营销经验。 Cyberbit是Elbit旗下专注网络安全的子公司，Elbit是以色列一家主营国防和国家安全产品的公司。

公司首席技术官（CTO） Ray Horev曾在网络和安全自动化厂商Backbox工作8年。 首席产品官（CPO）Tal Morgenstern在Elbit担任安全架构师3年，后在Cyberbit任职超过3年，离职前的职位是首席架构师。公司管理团队很好地融合了网络安全中的销售与营销、技术和产品人员。

传统的漏洞扫描程序专注于查找漏洞并确定优先级。 Vulcan Cyber可以连接到你所有的云端、安全和开发产品，以全面了解安全状况。它有一个自动化平台，可以连接到企业的变更管理系统和发布指令，利用补救数据库来推荐和实施自动化修复技术，无论是打补丁、提升控制措施。 Vulcan的与众不同之处在于能够实现大规模进行修复，并自动执行推荐的安全策略。

背景类别 #2 - 云供应商或大企业的安全专家

具有这一背景的管理团队了解客户的痛点，因为他们的工作是生产自己的系统。 这些团队在应对真实的攻击，应对多个安全供应商和内部工具方面具有丰富的经验，对实际安全漏洞的优先级和补救方面。 因此，从他们创办公司起，就对现有的客户需求有第一手的了解，这有助于其设计客户所需的产品。 通常，企业家在其先前公司内部遇到的问题是创业公司的重点领域。 风险资本将此视为启动公司前的产品市场需要验证。以下3家公司的团队主要拥有这种背景。

6）AppOmni

公司首席执行官Brendan O'Connor之前曾担任Salesforce的安全CTO、CSO和产品安全副总裁。公司首席技术官Brian Soby曾担任Taulia的安全总监，也曾担任Salesforce产品安全总监。公司 CRO布兰登·康利（ Brandon Conley）曾担任Palo Alto Networks的全球公共云安全销售副总裁。公司首席执行官和首席技术官在Salesforce工作多年来保护Salesforce产品，因此了解网络安全的需求以及Salesforce自己的网络安全产品线。

AppOmni通过将安全、合规和IT管理工具应用于SAAS应用，使SAAS应用更易于管理和更安全。“责任分担”安全模型划分了基础SAAS应用提供商和客户之间的安全责任。 SAAS提供商处理云“安全”（其自身的防火墙和网络监视、操作系统加固）以及应用级安全，预防SQL注入和跨站点脚本。客户需要确保云“内部”的安全，如应用配置、身份和访问管理以及数据治理和合规。

 AppOmni通过连续的API监视和预警解决这些问题，有助于防止SAAS数据泄漏。其安全自动化工具跨在多个云应用中实施数据访问策略和基于角色的统一访问控制（RBAC）策略。其合规工具可实现合规控制和报告，以及数据分类和清单功能。最后，AppOmni将IT管理工具引入SAAS，包括配置管理（创建快照配置和策略）、功能测试（自动化测试，以使得新的升级不破坏业务流程）以及变更管理（将SAAS应用集成到变更管理流程中）。 

7）Elevate Security

公司首席执行官Robert Fly在Salesforce任职已有8年，曾担任负责Salesforce安全产品（身份验证，身份，平台加密等）的安全工程副总裁。

与AppOmni相似，Elevate公司管理团队在Salesforce所有安全产品线中都具有丰富的安全产品经验。公司联合创始人Masha Sedova曾担任Salesforce信任参与的高级总监，致力于构建用户安全行为测试、游戏化和正面强化。Elevate工程副总裁Jean-Francois Gailleur之前曾在SAP工作5年，担任云工程和分析高级总监。

Elevate专注于安全中人的因素，提供安全意识培训，为公司安全 部门提供员工安全意识的可视化服务。公司的 “安全行为”平台，可以对员工的安全意识进行跨领域跟踪，如恶意软件和网络钓鱼，良好密码管理以及安全培训进度管理。

 目前有几家相关的公司像Cofense以及KnowBe4也在训练企业员工的安全认识度。Elevate说他们的差异化来之他们能改变员工行为，不只是提高员工对于信息安全的认识度通过比较有意思的培训，让员工从黑客校色理解攻击。它们叫这个产品 “Hacker‘s Mind” (黑客的头脑)。 在Salesforce工作期间，Robert和Masha就已开始研究这一问题，并意识到大多数安全问题通常是无意识的人为错误。两人在成立公司之前就花了很多时间来完善这一理念。

8）Sqreen – 应用安全管理

公司首席执行官Pierre Betouin在Apple安全部门工作了近9年，曾担任Apple互联网服务红队负责人，负责苹果和第三方产品的安全评估。在此之前，他还曾负责针对苹果的逆向工程攻击。

公司 CTO Jean-Baptiste Aviat在苹果公司工作了将近四年，担任红队软件安全工程师。他致力于攻击苹果产品，内核和CPU架构逆向工程，并开发了用于攻击内部产品的调试和二进制检测框架。在此之前，他在HSC担任了4年安全顾问。

Sqreens的核心产品是应用安全，通过微代理提供连续的自动化安全。与应用开发人员将New Relic和AppDynamics等用于应用性能管理类似，应用开发人员应将安全控件可视化引入应用中。Sqreens的应用保护包括RASP和应用内WAF产品，可以防止诸如OWASP Top 10的攻击。它们还提供安全流程图表工具，使应用开发人员和安全团队可以查看不同应用和微服务的风险。 Sqreen公司的团队在Apple互联网服务红队中拥有多年的经验，专注于应用的防护、预警和协作修复对开发人员应该有所帮助。

背景类别 #3 - 大学/学术界背景

学术界出身的团队通常会解决需要多年研究、非常具有技术挑战的问题。

9）ForAllSecure – 下一代代码测试

公司CEO David Brumley自2009年起在卡耐基梅隆大学ECE系担任教授（现离职），并担任安全和隐私研究所Cylab的主任。他主要研究用自动化方法来检查可利用的漏洞。公司联合创始人Thanassis Avgerinos和Alex Rebert则是研究同一问题的博士研究助理。

突破性技术的开发可能需要花费数年时间，大学研究实验室这样的环境是孵化和测试新颖想法的好地方。

ForAllSecure的技术平台Mayhem专注于下一代安全性测试技术，即下一代模糊测试，将引导性模糊测试和符号执行相结合。 Mayhem系统地将“负面”（不良）输入发送到程序中，首先从测试输入的语料库开始，然后根据观察到的程序行为调整并生成新的输入。通过符号执行，测试平台可以导航程序中的复杂分支条件，以深入了解程序的逻辑。

该技术已经在Debian Linux上进行了测试，结果发现了13,875个独有错误和250个漏洞。 Mayhem还赢得了2016年DARPA网络大挑战赛的冠军。

鉴于该技术具有深厚的技术经验和研究，并且已经证明行之有效的成本效益，应用“攻击面”每年继续以1110怡行代码的速度增长，我认为这是一家值得关注的公司，有望获得2020年创新沙盒冠军。

背景类别 #4 -技术公司背景

来自大型技术公司（尤其是互联网公司）的团队，具有提供可靠、可扩展系统的经验，并且熟悉构建大型服务所需的技术和架构。

10）Inky – 邮件安全

公司首席执行官David Baggett曾担任ITA Software的首席运营官和联合创始人。ITA Software是一家大型旅游搜索提供商，被Google以7.2亿美元的价格收购。公司首席运营官Simon Smith曾任ITA软件运营副总裁，管理的团队每天负责航空公司数百万次搜索查询。公司首席科学家安德鲁·戈德堡（Andrew Goldberg）已在公司工作了10年，曾获得威斯康星大学麦迪逊分校的博士学位。该团队在大型系统方面具有丰富的经验。

电子邮件安全是最重要的安全类别之一：超过75％的攻击来自电子邮件。传统电子邮件安全解决方案主要通过电子邮件地址或域信誉过滤，无法解决复杂的现代网络钓鱼攻击。 

Inky利用计算机视觉、人工智能和机器学习来判断邮件是否为恶意，从而实现应对复杂邮件攻击的目的。该公司的技术模仿人类仔细地查看电子邮件是否为伪造。例如，Inky拥有可解决难以分辨的文本和形似词攻击的技术。 Inky可以检测出使用“clocusign.com”或“ docussign.com”假冒docusign.com电子邮件。他们还可以扫描查看公司LOGO是否正确，例如冒充UPS的电子邮件。随着模仿合作伙伴或内部管理人员的电子邮件攻击变得越来越复杂，公司需要像Inky这样的解决方案来应对这些更高级的攻击。

声明：本文来自安全内参，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。