2017年网络安全大事记(3)

√ 零日漏洞与开源。不谈国家强制力量，零日漏洞的一大根源是开源代码的不断扩散。每年1110亿行代码的扩张量，越来越多的开发者加入开源模块、组件、库的复用队伍。开源安全责任重大，与社区中的每一个人都有关。

3. 漏洞披露问题的两难

2017年，从发现Facebook任意图片删除漏洞拿到1万美金，到美国国防部“入侵空军”二期众测项目发放的26万美元，再到漏洞交易平台Zerodium的50万、100万、150万美元的漏洞征集奖金，一个问题浮出水面，漏洞到底值多少钱？

这个问题非常复杂，涉及到漏洞利用的时间周期、漏洞所在系统本身的价值、漏洞可能带来的危害程度、影响范围，漏洞防范的难易度等众多因素。但无疑，漏洞信息的机密程度是漏洞价值的最关键因素。知道的人少（即零日漏洞或N日漏洞）就越值钱，知道的人越多就越低廉。因此，才会有完全披露和负责任披露两种模式的出现。二者之间各有利有弊，是一个平衡取舍的问题。

11月15日，美国白宫发布《漏洞平衡政策》，十大部门形成审查委员会，根据漏洞的波及范围、利用难度、可导致的破坏，以及漏洞修复难度等，衡量漏洞的威胁程度，结合政府如何利用漏洞，以及利用漏洞的事实被公开将面临的政治风险，来审查漏洞，最终决定公开日期或保密。

漏洞审查委员会成员：

国防部（含NSA）

中央情报局

司法部（含FBI）

国务院国土安全部

国家情报总监办公室

财务部

能源部

商务部

管理与预算办公室

2017年的NVD漏洞总数约1.5万个，按照CVSS V3 的评级方法，仅高危漏洞就3千多个。况且，超过四分之三的漏洞在NVD发布之前就已经在新闻站点、博客、社交媒体，以及常人无法触及的暗网、犯罪论坛公布。因此该审查委员会，将特别针对零日漏洞做出披露决策。 

三、行业市场篇

1. 会议活动空前热烈

2016年网络安全大事记曾写道，“2016年是信息安全会议活动最为集中的一年”，但2017年明显比去年更多，多到一一列出会占用太多的文章篇幅，因此今年的大事记只选出了非常重要或影响力较大的十个活动。

2017年十大顶级安全会议/活动：

 √ RSA 2017 全球约有680余家机构参展，比去年约增长23%。以国别来看，参展机构数量中国排名第二（32家），较去年增长了82%。韩国增长速度最为迅猛，达到800%，部分体现出东亚地区在网络安全方面的进步。

 √ 2017年国内网络安全相关会议活动总数预计超过300场。百人规模的活动超过100场，千人规模的活动也在10场以上。粗略估算会议成本约在1亿至3亿元左右。

√ 网络攻防比赛亦呈爆发态势。XCTF、WCTF、TCTF、X-NUCA、铁人三项，以及各地省市政府、协会组织的网络安全竞赛纷纷而起。安全竞赛的意义主要有二，一是增强网络安全在整个社会的影响力，向全社会推广网络安全的知识；二是形成良好的安全氛围，以及培养和发现优秀的安全人才。

 √ 各种会议活动可大致分为国家与地方政府牵头的会议、综合性的产业会、展览会、技术研讨会、解决方案会、安全厂商渠道客户会、新品发布会、战略合作会、融资见面会等，再加上信息领域各大会议中的安全分论坛，大型互联网公司的SRC会和各机构举办的破解攻防大赛等。 

√ 对于安全厂商来说，建议选择定位精准，性价比高，贴近行业，贴近用户的会议参加。而对于主办方来说，精选议题、演讲人，尽量为听众带来更有价值的内容，才是举办活动的根本意义。2017年用户或渠道大会明显增多，也从客观上反映出用户至上的办会趋势。

2. 融资规模前所未有

2017年，涉及到融资并购的安全企业，金额上亿美元的国外有约20余起，国内今年也创记录的有10余家创业公司的融资达亿元级别，为网络安全领域融资额最为爆发的一年。

2017年国外较大的融资并购事件

1月：

思科宣布将以37亿美元收购专注于改善应用程序性能的初创公司AppDynamics。

2月：

英国老牌安全公司Sophos以1亿美元外加首年达成业务目标的2000万美元，买下终端检测与响应公司Invincea；

Palo Alto Networks 宣布以1.05亿美元的现金完成对入侵检测公司LightCyber的收购。

3月：

CA Technologies 以6.14亿美元收购了应用安全及渗透测试公司Veracode。

4月：

迈克菲正式脱离英特尔重回独立公司身份。英特尔于2011年以77亿美元的价格收购了迈克菲，之后于2016年以31亿美元的价格出售了迈克菲51%的股份；

英特尔宣布，将以153亿美元的价格收购以色列汽车安全公司Mobileye，再次创造安全行业收并购记录。刚刚独立运营的迈克菲称这次收购为英特尔“前瞻性的安全战略布局”。

5月：

军事应用安全软件公司Mocana融资1100万美元，融资总额达到9360万美元；

CrowdStrike宣布完成1亿美元D轮融资，该公司总融资额已达2.56亿美元。上一笔融资发生在2015年7月，同样是1亿美元；

终端安全厂商Tanium宣布新一轮1亿美元融资，该公司融资额已升至4.07亿美元。

6月：

微软以1亿美元买下以色列网络安全公司Hexadite，该公司利用AI和机器学习辅助自动化事件响应；

自适应安全厂商Illumio宣布D轮融资1.25亿美元，总融资额已达2.67亿美元；

云安全代理厂商Netskope宣布新一轮1亿美元融资，融资总额已达2.314亿美元；

反勒索软件公司Cybereason收获软银注资1亿美元，估值上升至8.5亿美元。

8月：

赛门铁克宣布，将其SSL/TLS证书业务以9.5亿美元现金加30%DigiCert普通股的价格售出；

威胁情报与安全管理公司BlueteamGlobal宣布融资1.25亿美元。

9月：

访问控制公司SecureAuth宣布将以2.25亿美元的价格并购漏洞、身份治理与威胁管理公司 Core Security。

10月：

物联网安全公司ForeScout上市，首次公开募股1.16亿美元；

安全分析公司Skybox宣布最新融资1.5亿美元以加强其安全管理产品的研发和推广。

11月：

网络安全公司Proofpoint宣布同意以1.1亿美元的价格，现金收购消息安全公司Cloudmark；

汽车嵌入式软件解决方案提供商EB完成对汽车安全公司Argus的收购，业内估计收购金额约4.5亿美元。

12月：

软件整合厂商Synopsys宣布以5.47亿美元的价格（已扣除黑鸭子软件所持现金）完成对代码安全公司黑鸭子软件的收购；

法国最大的防务类机械电子科技公司泰雷兹集团宣布，将以48亿欧元（约56亿美元）的价格收购安全公司金雅拓。

2017年国内安全公司投融资情况

2月：

身份认证安全公司九州云腾Pre-A融资1000万元，投资方为绿盟科技；

欺骗防御及云安全公司默安科技Pre-A融资3000万元；

威胁追捕公司中睿天下Pre-A融资2000万元。

3月：

大数据反欺诈公司数美科技A轮融资1000万美元，投资方包括360和百度；

云安全公司上元信安A轮融资3000万元，投资方为任子行。

4月：

高级网络威胁(APT)公司东巽科技A轮融资4000万元；

威胁情报+安全服务公司数字观星天使轮融资1000万元；

业务风控与反欺诈公司岂安科技A轮融资（千万元级）；

数字证书公司格尔软件上交所上市，IPO募资总额2.76亿元；

工控安全公司天地和兴A轮融资（千万元级）。

5月：

Hadoop安全公司观数科技Pre-A融资1500万元；

金融反欺诈公司邦盛科技B+轮融资1.6亿元；

保密技术及产品厂商中孚信息深交所上市，IPO募资2.62亿元；

大数据+数据安全公司志翔科技B轮融资（近亿元）。

6月：

智能身份认证公司芯盾时代B轮融资近亿元；

智能风控公司猛犸反欺诈（上海行邑）A+轮融资5000万元；

业务风控公司顶象技术A轮融资（千万元级）；

下一代应用安全公司长亭科技A轮融资（千万元级）；

新三板挂牌公司永信至诚发布定增方案，融资额约7500万元；

云抗D公司青松智慧B轮融资（千万元级）。

7月：

移动应用安全公司几维安全（成都盈海益讯）Pre-A融资1千万；

统一内容安全公司天空卫士完成A轮融资，总融资额达1.5亿元，投资方包括360；

大数据安全公司瀚思安信B轮融资1亿元；

可视化应用层安全公司安博通新三板股票发行募集资金7552万元。

8月：

工控安全公司安点科技第二轮融资4500万元；

大数据安全公司兰云科技A轮融资5000万元；

身份认证公司锦佰安Pre-A融资1500万元；

终端安全公司杰思安全A轮融资3000万元；

终端安全公司火绒安全Pre-A融资1500万元，投资方为天融信。

9月：

威胁情报公司微步在线B轮融资1.2亿元；

大数据安全公司上海观安A+融资5400万元；

基于CASB架构的ERP安全公司炼石网络Pre-A融资3000万元；

移动业务安全统一解决方案公司指掌易A+融资1.5亿元。

10月：

移动应用安全公司爱加密（北京智游网安）D轮融资5亿元；

风控反欺诈公司同盾科技C轮融资7280万美元；

数据库安全公司中安威士A+融资2000万元。

11月：

数据安全公司全知科技完成天使轮融资（千万元级）。

12月：

动态防御公司卫达安全Pre-A融资6000万元；

终端安全公司网思科平第二轮融资3500万元；

渗透测试公司四维创智完成天使轮融资（千万元级）；

云安全应用公司安百科技A轮融资6000万元；

大数据与云安全公司安数云A轮融资2800万元；

云主机安全公司椒图科技A轮融资8000万元，投资方为360；

自适应安全公司青腾云安全B轮融资近亿元。

√ 2017年国外网络安全融资并购事件频发，涉及金额仅公开的数字已达300亿美元。热门领域包括汽车安全、应用安全、机器学习、威胁情报、安全分析等。

√ 2017年国内安全领域创业企业总融资额已达35亿人民币，数倍于往年。反欺诈、大数据、终端安全、云安全、移动安全、数据安全与身份认证均为投资热门领域。 

（编辑：ASP站长网）