未來 3-5 年信息安全行業會如何變化，目前可以觀察到的變化有哪些？

12-14

本題來自知乎圓桌 ? 白帽黑客與安全，歡迎關注討論。

北京出差中，半夜驚醒，看到女朋友跟我發的一條未讀微信說：「這個問題你應該回答」，於是就上來了。介紹下我自己，我是Sobug眾測平台Founder，Sobug眾測平台是一家專註於威脅發現的安全平台。威脅包括很多，安全漏洞只是威脅的一部分。

非常贊同 @餘弦的觀點

越來越細分，大家可以看看現在安全圈很多人創業等推出的產品/服務，都開始走縱深路線，定位精準，追求品質。

身為有幸被提到的幾家安全創業公司中的一家，我們感受著安全行業的巨大變化，同樣也努力希望成為變化中的一部分。我通過三個方面去講下我粗淺的認識，方向（變化），人，資本。

方向（變化）

1.需求的變化：
需求的變化來自於客戶的變化，在企業級市場，隨著攻防對抗不斷的惡化，雲端的不斷普及，客戶與傳統安全廠商中間的信息不對稱逐漸被打破。我們在金字塔的客戶模型中把客戶分為三類，大B客戶，中B客戶，小B客戶。

因為小B客戶的需求並不旺盛，所以付費很低，通過IT基礎服務的增值服務來提供可以儘可能的減少成本，有一次問好朋友安全寶馬傑，「安全寶中小B客戶通過使用免費服務到收費的增值服務的比例有多少呀？」，馬傑說「這個.。。。」，你懂的。

為什麼中B客戶貌似很有機會的樣子？中B客戶在中國是最具有良性安全需求的群體，業務野蠻生長，安全需求完全跟不上業務的發展，隨著黑客攻擊事件的頻繁發生，需求基本屬於嗷嗷待哺的狀態呀，他們對於第三方服務的認可度也是極高的，那放眼去看這個市場，有獨角獸企業嗎？建議所有的安全創業企業瘋狂的去分析這個市場，面對我們的不是合規性，不是資質，不是關係，而且現在，未來真正的安全需求和痛點，如何去分析呢？」別聽我瞎BB，帶著筆記本，去客戶那兒，聽客戶說「。

大B客戶中分為傳統大B和互聯網大B，傳統大B的需求基本通過傳統安全企業來完成，互聯網大B的需求基本上通過挖人來完成。政策紅利會讓大B市場再火一段時間，你看看A股上市的安全公司的瘋狂股價就知道了，然而並沒有什麼卵用，硝煙過後，真正積累下來的是什麼呢？當然存在即合理。有錢就可以玩併購不是么？比如傳統軟體廠商Oracle收購Salesforce，我非常佩服的OneAPM何曉陽寫過關於這次收購的一篇文章，推薦大家看看。傳送門：OneAPM何曉陽:Oracle為何必須收購Salesforce？

2.產品（服務）的變化：
1）2015年的RSA上，主辦方打出了一個口號」chang「，真正落地的是各個安全細分領域（發現，監控，安全管理，自適應，雲安全，終端，可視化，移動安全等等）小而美的公司，產品變得更酷了，領域變得更細分了，安全測試領域中的HackOne，Synack，情報領域中的isight，iid，webroot，cyveillance，fox-it，自適應安全領域的illumio等等，贏家通吃變得越來越難了，單一產品解決某個單一需求已經大勢所趨了。
2）這裡我想到兩個很有趣的詞，人工智慧和工人智能，聽投資人跟我講過一個案例，分享給大家。

在名片拍照存儲的領域，大部分軟體的識別都不會是100%，總會遇到生僻詞，圖形處理等等無法識別的問題，但是有家小公司做的特別好，基本上識別率100%，他們帶著好奇心去拜訪，發現奧妙是用戶在拍照的時候，背後是客服一個字一個字手敲上去的，對，沒錯，就是手敲的。。

這不就是工人智能嗎？人工智慧完成一部分，工人智能完成一部分，比例在不同的時期不同的配比，在未來的安全領域一樣會這樣。產品+服務為主體，數據為核心，非常贊同道哥跟我說過的一句話，阿里安全的核心競爭力是在於大數據和計算能力，現在不對稱的黑客攻防未來或許會發生一些有趣改變，因為大數據會不斷的學習攻擊方的知識，計算能力會讓這種學習成本越來越低。

人

有個趨勢會越來越明顯，乙方的安全人員大量轉向甲方互聯網企業，甲方居有最佳安全實踐的人勢必會有不滿足現狀的出來創業，我相信去年興起的各種安全平台就是一個佐證。有人問我，為什麼會從騰訊離職出來創業？我引用同盾科技蔣濤的話來回復：

2013年蔣韜在為創業尋找天使投資時告訴吳海燕，想把自己積累的經驗做成一個SaaS級應用，服務全天下所有網站，而不是阿里巴巴一家。

這個或許就叫價值吧。我希望這個趨勢來的越來越快，有更多的血液流入會極大的促進這個行業。

資本

1）資本市場的目光會越來越重視安全行業，重點是你的故事是否有路徑到達。去IOE化給不大的安全市場留下了極大的想像空間，去年的某個投資會議上拋出了」安全會產生新的商業機會「的言論，O2O中，切入了高頻的出行領域會在理論上有路徑到達其他領域，如何卡位，如何到達，安全也會是一樣。

2）站隊還是不站隊？沒有對錯，只有利益。經緯是一家非常非常nice的投資機構，硬廣告。

any way，身處安全創業的漩渦中，希望能夠分享出自己的所想所感，有人問我，」創業是一種什麼樣的體驗？「，我回答」呵呵「。可能是如人飲水，冷暖自知吧。

未來3-5年我不會預測，我只能說說過去3年正在發生並會延續的變化。那些一直都在發生近年沒有獲得增長的關注的就不列出了

1、大數據攻擊
過去從來沒有過像今天這樣，不同的行業在互聯網的「幫助」下緊密關聯——一個小破網站的密碼泄露會拖知名互聯網企業下水。把責任推給用戶？一句「要加強安全教育」就算解決方案？似乎也不是有說服力的說辭。誠然安全意識的提高是好事，但人們追求的不就是又懶（哦不，便捷）又安全嘛。高強度、能記住、不使用通用密碼，不依賴信得過的工具的話三個只能同時成立兩個。
解決思路有兩條，一條是雙重驗證，也確實那些一早就採用雙重驗證的企業經受住了這種攻擊。但是這還不夠，因為另一條路更具誘惑力：用生物識別替代密碼。現今的技術存儲量過大已經不算缺點，誤受率誤報率過高也有優化或控制手段，設備成本有望被用戶自己消化，那麼十幾年前否決的東西又可以拎上檯面了。
不過，大數據攻擊遠非撞庫這麼簡單，一切的通用型漏洞都可以被用來大數據攻擊。最簡單的，一群公司都用了同一個平台，其中A公司的這個平台被爆了一個漏洞，修補了，就結束了嗎？如果這平台是個知名廠商，漏洞掛給他並發布補丁對那些續保著服務的還好一些，但更多情況是掛給了A，然後有人會提取這個平台的特徵信息，然後把這群公司全都跟著發掘和攻擊。而這根本不是烏雲能力範圍之內的事情，以大多數小廠商之不爭氣，烏雲光是讓他們確認和修補漏洞就已經忙不迭了。
大數據攻擊的思想跟以前是截然相反的，以前大都是針對目標找漏洞，哪怕旁註也是這個思路，現在是手上拿著漏洞去找小魚，積累小魚，說不定能碰到跟小魚有關聯的大魚。所以才叫：「黑了你跟你沒關係」。

2、白帽滲透測試走上檯面
5年前烏雲的誕生並不是安全行業的重大變化，烏雲活下來了才真正具有深遠影響。在過去，滲透測試必須是經過授權的，而如今「點到為止」被國家認可，滲透測試不用擔心吃牢飯，白帽子終於有了出路。
在專註、公開、透明、只做第三方上等戰略問題上，我非常佩服劍心，活又好，思路又清晰，又能帶隊伍，還能活下來。我敬重他始終把眼光放在行業。烏雲活下來之後，才有這一兩年成立的一眾白帽滲透測試平台，既做滲透測試，也做解決方案，而後者是追求中立的烏雲不碰的。
眾測平台給了小公司一個不一樣的選擇，沒有心思也沒有能力構建完整的信息安全，那就找行業專家做個滲透測試，把明面上的漏洞修修補補，也不公之於眾。這個漏洞發現數量一般是以百計的，如果能總結原因避免再犯那就最好，雖然很難，因為從設計就沒考慮過。對於已經構建了完整安全體系的大公司，滲透測試也是非常好的補充，做眾測的都是行業專家，比常規滲透測試的思路猥瑣得多，而且行業標杆是找不到漏洞不收錢。對於資質、安全性，平台也摸索出了答案。

3、開發也要懂信息安全
5年前，培養開發工程師的時候頂多會要求代碼質量。而現在，越來越多的企業在面試開發工程師的時候就會把代碼安全作為必考，除非面試官自己就不懂信息安全。不過似乎培養沒有跟上。

4、新的安全挑戰
主要是指接入新的業務領域後，又跟小白一樣大家平起平坐，把攻防交替再來一遍。
比如說，移動互聯網。
當我把手機APP作為一個Client端，數據不落地，端對端加密的時候，理論上APP跟瀏覽器一樣，並不會對Server端構成威脅的，但是不被攻擊並監控到你不會想到，安卓apk是這麼容易逆向，有人會從分發渠道下手，把APP破解重新分發，做假的APP釣魚，做假的APP與Server端偽造通信。證書？代碼都白盒了，驗證身份的都被繞過或留給用戶了。
目前越來越有個趨勢，手機已經不能被認作是可信賴的認證工具了，就算我可以做自己的APP，正確校驗，沙盒，虛擬鍵盤，我也被禁止管沙盒外的東西。你的簡訊真的是你的？移動端的分發渠道有收攏，但是針對支付的攻擊從沒停過，面對作死黨你真的護不住。不過還沒人邁出第一步。
比如說，私有雲。
我從不認為「雲」是一個新概念，雲安全也沒有超出傳統安全的範圍。可是公有雲真的對安全提出了新的技術要求，比如共享的虛擬資源的安全性。其中，「私有雲」更加不能稱之為「雲」，不過不少人喜歡跟風。在他們跟風的時候，往往是拿現成的東西把「雲」往上面一套，然而忽略了，本來在區域網里不必要做或風險很小的控制手段，在「雲」上是存在巨大固有風險的。
還有一些在研究的新玩意，可能會暗示並危害企業聲譽，就先不談了。不過例子已經舉夠了，在快速進軍新的業務領域的時候，包括物聯網，業務人員沒有、也來不及有成熟的攻防經驗，只能在攻防中進步，這就意味著必定會遭受損失。
而這時，及時發現被攻擊，發現「異常」，並有正確的心態去解決和對應，就是非常重要的。

5、大數據及隱私
大數據的收集如果捨棄了該捨棄的部分（可追溯到特定的個人），是可以不涉及安全問題的，和數據漂白同理。與1不同，這裡說的大數據是真正意義上的big data，1隻是為了保留那個拉（gen）風名字，實際僅是很多數據的意思。但是由於big data的目標過大，往往就會觸及到隱私問題。一般來說，事先說明、明確同意、知悉所需、責任明確、保證保密，能徹底解決這個糾紛，也就是說，我只收集你的這些信息，只用於某個用途，不作他用，明確徵求你的同意，我有保密義務，出了事算我的。但是現在沒有人理會這些玩意，也沒有法律約束，我可以以26頁之後的格式條款「改善用戶體驗」為大炮，轟遍一切，收集一切我想收集的有用沒用的你告訴我的沒告訴我的東西。這個現狀，我覺得不應該一直延續下去。

======================================
最後瞎扯點別的，然而這與主題已經沒有關係。
行業內有個好東西，一家有了漏洞，數據漂白，有限通告，相當於業內烏雲，還有強制力，那就是監管。
或許這一切變化，都是建立在我們能夠開始消滅一點信息不對稱的基礎上。所以，我也願意參與共享信息。

謝邀。

一個行業成熟有一些特點或規律：
越來越細分，大家可以看看現在安全圈很多人創業等推出的產品/服務，都開始走縱深路線，定位精準，追求品質。

舉例如：

烏雲，白帽社區/平台
i春秋，信息安全體驗中心
神話，安全人才線下培養
青藤，企業安全縱深解決方案
ZoomEye，網路空間搜索引擎
盤古，iOS 越獄
Keen Team，Pwn2Own 屢次奪冠
四葉草，Bugscan 模式
Sobug，白帽眾測

還有很多我沒法都一一列舉，而且還有很多是不在明面上的。

未來幾年，這個圈子的人（客戶）會更追求品味（質量），那些合規需求導向的將逐漸被擠壓，而轉為真正市場剛需的產品/服務為導向。

說說合規需求導向吧：這會導致大家看到一堆垃圾產品，客戶買去也根本不用、不會用，僅僅為了滿足一些單位規定而最終淪為擺設。廠家、客戶都不求上進，只圖利益，最終導致的是整個圈子風氣非常差，吹牛為主，看看那些各種吹牛大會就知道了。

雖然這是合規需求導向的弊端，但並不否認合規的重要性，這是另一個複雜話題了。

未來，是騾是馬，拉出來溜溜，靠吹牛靠關係這種劣根會更少，這些都是信用透支，誰也不會一輩子這樣透支下去，出來混，遲早要還，被顛覆，被超越也是遲早的事。

當然，我也並不否認靠吹牛靠關係的某些必要性。

一個行業成熟的標誌，大家就看「品味」這兩字。

未來的安全人員，一定是比野路子過來的人技術更紮實，懂寫程序，懂漏洞分析，並且也更年輕。

信息安全迫在眉睫，網路用戶信息泄露恰如毒品般一發不可收拾，各種脫庫撞庫花樣百般，沒有安全的信息交流基礎，就沒有人與網路之間基礎的信任，而直接導致的問題就是網路營銷類似某寶的客戶大量減少，沒人願意把自己的金幣換成紙幣在火上烤，但是人家要賺錢，就不能讓你不花錢，所以會對這些事情進行壓制，就像某大學飲用水中毒被壓下來，就像某大學社會人員開車校園內強拉女生被壓下來，就像某大型連鎖超市女工非正常死亡信息甚至百度都屏蔽，就像某些想要知道的東西被「部分結果根據相關法律不予以顯示」，就像某中學學生打架捅死人被當地壓下來，就像某些祖國的花朵脫去別人的花苞而只被進行花朵教育或者拘留，就像xxxxxxxxxxxx....xxxxxxxxx....太多了。。。（情緒激動，廢話有點多。。）所以未來信息安全還是上不了檯面，除非發生重大事件，否則屁民們永遠也不知道，你正在被人盯著，所有的攝像頭，你所有的行動範圍。。。世上沒有任何一個系統是絕對安全的（who am i）。人才是安全體系中最大的漏洞（社會工程學），世上蛇不可怕，豺狼不可怕，虎豹不可怕，妖不可怕，鬼不可怕，可怕的是人，所以，未來行業如何，要看大成者的想法，舉個例子，你買不買新英雄，要看過兩天拳頭能把他削成啥樣。

_____________________ 割（1.10）_____________________

新網路法出台且實施了，再回首看原來自己的想法也是頗有意思，網路法應該是27條規定不允許公開可造成危害的學習資料或是軟體，這意味著大陸的計算機人才將斷層，上層被逼上梁山，下層無知卻又無奈，這個江湖已經畸形，如果想有變化，得看梁山泊怎麼做

實幹派越來越多，吹牛派越來越沒地位。

利益相關，我自己是安全行業的。

我們如何看未來呢，我們有幾種方法:
1. 站在過去看現在
2. 站在"過去的過去"看"過去"
3. 看過去的人怎麼預測現在
4. 看現在的人怎麼預測未來

我們如何判斷一個行業的發展，有幾個維度呢？
首先是宏觀方向，政策、經濟、環境
其次是行業自身，趨勢、規模、受眾

安全其實之前一直處於一個不尷不尬的地位，在z

老闆過來催活兒了，回頭寫

現今2015，3-5年內：

0、圈子裡面再這麼撕逼下去，會出現強有力的法律約束，特別是法律執行。

1、27001系列標準將變得跟9000系列標準一樣知名。

2、CS正規軍的時代來臨了，腳本黨和工具小子基本退散，安全設計、編程、測試成為開發必備要素之一，安全SOC成為架設和維護必備要素之一。

3、開源社區必然口水泛濫，大廠被迫強勢入駐；閉源論重新泛起，誓不低頭。

4、CDN野路子基本退散，硬清洗成為主流之一，聯防聯治成為趨勢，運營商DC強勢抬頭，安全供應商會增加一位大將。

5，手機等終端設備安全環境會急劇惡化再好轉，大廠被迫出手維持優勢地位，小玩鬧們被迫聯合否則活不下去。

6，物聯網成本急劇增加，市場對startup的友善度急劇下降。

7，會不會出現「反烏雲」的業態？懸疑

爪機戳，沒寫完，有空再補。

安全可視化（包括安全效益的可視化），安全培訓，安全服務（安全責任外包）是熱點。
待補充。

謝 @歆鹽邀~
移動互聯網越來越普及，和用戶依賴。安全行業（特指信息安全行業）應該會越來越受重視。

遠的不說，近的說一個攜程。就是在還信息安全的技術債。

3-5年，應該會往更加專業化，例如專做家庭信息安全網關（路由），專做雲數據安全，專做ddos 攻擊防範，專做漏洞偵測，專做加密網路等等。

但是信息安全的地位總是伴隨著巨大的經濟損失而提高的，因為不出事的時候做信息安全的成本投進去也沒個響兒。
---------------------------------------------------------
最後安利一下 @shotgun叔叔的今天國家信息安全宣傳周騰訊和啟明星辰要發布希么產品？ - shotgun 的回答

這個也是未來3-5年信息安全行業趨勢的一個觀察點。

暫時先這樣，想到更多再來更新。

蟹妖，

隨著雲計算的普及，

私有雲和大數據會飛入尋常百姓家，

1.此時私有雲之間的信息泄露和安全問題很可能成為其是否能大範圍流行的關鍵。畢竟誰都不想成為下一個愛好攝影的陳老師。

2.隨著大數據分析的流行，給我們帶來便利的同時，越來越多人的隱私會逐步暴露，而將來很可能會出現反數據分析，或者反隱私泄露的課題。

個人的一點想法

謝邀，很簡單的說，就安全而言，更加魚龍混雜，很多安全廠商之間的競爭也會更激烈，同時真正的安全已經不在『安全了』。很多的廠商會把注意力放在用戶體驗以及其他安全方面的防護

1、資本運作將越來越頻繁，信息安全在2014年發生了不少的併購案例，具體的請參閱各家上市公司報表；
2、業內急需一個安全概念升級啊，可視化安全，主動安全，或者叫「安全2.0」之類的；
3、與其他領域交叉，安全定義不斷擴展；

暫時就想到這些！

可以預見的是安全行業所有人年齡增長3-5歲

安全大牛肯定會越來越搶手，裝大神忽悠的混子肯定會越來越多，漏洞的級別肯定會越來越向底層發展，漏洞出來安全廠商肯定會裝逼和撕逼。

免費獲取報告（附360家網路信息安全行業關聯企業介紹）鏈接：

網路信息安全行業研究報告（附360家關聯企業介紹）

本期報告看點梳理
①網路信息安全行業四大產業鏈布局
②產業鏈部分關聯企業介紹
③111家公開資本市場狀態企業分布
④46家A股上市企業名單
⑤知名投資機構布局及地區分布

從去年的8.19徐玉玉電信詐騙案到今年的求職少年李文星之死，一次次警醒著網路信息安全問題的嚴峻性。

據不完全統計，2016年我國通過不同渠道泄露的個人信息達65億次，也就是說，平均每個人的信息至少被泄露了5次。

如何在日益複雜的網路中保障個人信息和財產安全？如何在日益多元化的網路中進行有效監管，凈化網路環境？

面對網路信息安全問題，除了自己提高警惕之外，也需要相關企業的不懈努力。

截至2017年10月，參照系優質企業資料庫共收錄網路信息安全行業關聯企業360家。

網路信息安全行業發展現狀

根據權威機構Gartner 的數據，2016 年全球信息安全產品和服務的開支將達到816 億美元，相比2015 年增長7.9%。從全球區域分布來看，以美國為主導的北美市場仍然佔據全球最大的市場份額。在2015 年全球前15 大網路安全公司中，美國公司佔據了9 個席位，表現出強大的國際競爭力。

網路信息安全產品行業包括防火牆、虛擬專用網路、反入侵產品和安全管理四大產業鏈。

防火牆

防火牆指的是一個由軟體和硬體設備組合而成、在內部網和外部網之間、專用網與公共網之間的界面上構造的保護屏障.是一種獲取安全性方法的形象說法。

防火牆領域部分關聯企業介紹

虛擬專用網路（VPN）

指在公用網路上建立專用網路，進行加密通訊。虛擬專用網路在企業網路中有廣泛應用，通過對數據包的加密和數據包目標地址的轉換實現遠程訪問。

虛擬專用網路的功能是：在公用網路上建立專用網路，進行加密通訊。

虛擬專用網路領域部分關聯企業介紹

反入侵產品

反入侵產品可分類為：入侵檢測產品和入侵防禦產品。

入侵檢測產品是通過收集和分析網路行為、安全日誌、審計數據、其它網路上可以獲得的信息以及計算機系統中若干關鍵點的信息，檢查網路或系統中是否存在違反安全策略的行為和被攻擊的跡象。

入侵防禦產品是位於防火牆和網路的設備之間，依靠對數據包的檢測進行防禦（檢查入網的數據包，確定數據包的真正用途，然後決定是否允許其進入內網）。

反入侵產品領域部分關聯企業

安全管理

為了有效管理上網行為、發現和防止網路泄密、保證各種網路行為可審計、可溯源而開發的標準化軟體或軟硬體結合產品，主要功能包括 Web 流過濾、內容安全性檢測以及病毒防禦等。

安全管理領域部分關聯企業介紹

投資動向分析

46家A股上市企業名單

—————————————————————————————————————————

報告數據截止2017年10月

參照系研究院·出品

安全的本質還是業務系統內的安全，未來3-5年許可權引擎必將踏上歷史舞台。

安全工業有兩件因素驅動：

裡面有壞傢伙；
新平台，雲和移動已經啟用。

近年來，隨著信息安全保密工作的廣泛開展和不斷深入，信息安全工作的重點逐漸從運行環境、基礎設施的安全轉嚮應用系統、信息內容本身的安全保護和訪問控制。人們已經大量的將生產、生活、娛樂、學習等相關的信息放入了計算機信息系統。作為信息系統的開發者，我們有義務和責任做好人民使用的每一個信息系統的許可權管理或訪問控制模塊，確保任何未經授權的非法信息流入和流出。

綜上所述，大家都覺得自己從事的方向是安全發展的未來

業務安全相關比如風控會越來越重要並且和所謂的大數據和ai結合更加緊密

如何變化我不好說，當時按照目前觀察到的情況，變化有以下幾點：

1、政策法律上的完善，6月1日《網路安全法》正式實施，增加了對企業在保護信息安全上的義務和懲罰措施，直白通俗的說，高管會因為不履行信息安全保護的義務會有被判刑的可能；

2、公眾意識方面，個人隱私信息的保護會加強，尤其是大規模倒賣信息的情況會被重點打擊；

3、技術層面，業務安全（針對薅羊毛的風控系統，基於用戶行為分析的安全大數據）的比重會增加，發展成為一門重要的信息安全分支學科；

4、安全團隊的支撐業務的模式的改變，應急響應和安全檢測的速度要求大大提高了，以前是安全部執行安全檢查，現在都是給開發配專門的安全測試團隊，以前是應急處置，現在有了專門的SRC來應急響應，傳統的企業還在執行SDLC，很多互聯網公司的安全測試團隊已經開始融入敏捷開發的過程；

5、安全檢測技術的改變，很早以前都是使用商業化的掃描器，譬如nessus和appscan，現在很多互聯網公司都自己開發掃描器，甚至基於日誌的安全自動化分析工具；

6、安全產品的改變，最大的改變是支持雲主機，很早以前傳統企業有IDS，FireWall，WAF等硬體產品，現在都是基於雲模式的RASP和雲WAF（見阿里雲盾和亞馬遜的雲WAF）

7、安全細分崗位的吃香程度有了變化，我記得最早幾年，安全工程師的面試很看重網路知識，一個安全工程師懂網路會很吃香，現在都是問的應用和系統層的知識，有應用開發背景的才能處理好安全問題，這也從側面反映了安全已經從網路層上升到了應用層，安全逐漸和開發走到了一起深度融合；

目前暫時能看到的也就這些，不喜勿噴，謝謝大家