挖掘漏洞十几年，他们绘制了一份网络空间地图

图片来源@视觉中国

网络安全不是一个新兴行业，但在不断的攻防升级中，却可以称得上是变化最快的行业。

2010年前后，权小文决定下海创业，成立了盛邦安全。在创业的最开始几年，盛邦安全的主要业务聚焦在通用性应用安全层面，产品主要包括漏洞扫描与检测、应用安全防御等。2015年之后，盛邦安全开始进入垂直行业，逐步将漏洞检测、应用防御、安全预警等产品打入了一些网信公安、教育、电力能源等行业客户中。

直到近两三年，网络安全大数据开始受到关注，也因为有之前大量的漏洞挖掘、漏洞检测等技术和经验积累，权小文萌生了做网络空间地图的想法。作为网络安全行业的老兵，在近日举行的IDC 2022 CSO全球网络安全峰会（中国站）上，盛邦安全创始人权小文分享了关于利用网络空间地图构建数字安全底图的主题，并与钛媒体App聊了聊，网络空间坤舆图那些事儿。

网络空间坤舆图与漏洞工程化

在物理世界内，我们很容易判断从中国到美国应该采用何种路径和交通工具，但如果在网络空间中，我们应该如何抵达呢？

“在网络空间中，我们同样需要一张地图。举一个例子，比如某大学，在各种物理地图上，很容易判断该大学位于哪里，大学内有什么样的建筑物，通过哪个道路进去。但是在网络空间内看到的不是建筑物，而是位于网络空间内的承载该大学核心数据的服务器等资产。”权小文说。

不同于网络资产测绘，权小文认为，网络空间坤舆图是数字政府、智慧城市等数字中国建设在虚拟空间中的呈现，是关键基础设施“摸清家底”的基础，是网络安全“挂图作战”的底图。

这个底图具体是长什么样子？

权小文进一步解释称该图是对网络空间万事万物的虚拟化呈现。它能呈现IT新架构、云计算、移动互联网等新技术应用的“边界”和形态，精准展现关键基础设施、网络资产、供应链关系等重要信息与数据。

当前，盛邦安全依托十多年在漏洞挖掘方面的大数据积累，已经拥有了一个超过18万条的漏洞库并实时进行更新，能够动态守护用户单位的网络空间资产安全。“网络空间坤舆图通过对网络空间社会面、地理面和人文面的算法分析，帮助用户从网络空间全局的视角来审视和梳理整个网络的安全域，形成精准识别、精确防御、主动防护的网络安全保障体系。”权小文介绍。

网络空间坤舆图的产生，实际上正是盛邦安全漏洞工程化能力的一种体现。它是跳出漏洞发现、漏洞挖掘，对漏洞实现更高层次的复现、仿真并形成漏洞靶场的一种技术形式。将漏洞工程化之后，形成漏洞靶场，可以将漏洞批量处理，沉淀成漏洞监测工具、漏洞管理工具甚至是网络空间地图。

“判断一个漏洞检测工具是不是好，可以把它拿到漏洞靶场，看是不是能够检测出问题；另一方面，也可以在靶场中应用漏洞，检验防火墙是否能够防得住。”权小文解释说。

网络安全场景化不能自说自话

漏洞工程化要与行业结合，进入垂直行业，贴身服务行业客户是必然选择。

谈及十多年的网络安全创业经历，权小文感触颇多。令他印象深刻的是2015、2016年前后，公司决定深入行业做场景安全时，他发现，做行业安全要面临许多之前没有预想过的挑战。举个简单的例子，行业客户对于一些术语的认知与网络安全行业有很大不同。之前盛邦安全在做通用标准化产品时，都是按照国标、行标来做，但没想到垂直行业对于术语的定义与理解是不同的，有些虽然没有形成行业标准，但却是约定俗成的。

“想做好行业场景安全，就要深入了解客户的业务和真实需求。就拿‘预警’这个词来说，在网络安全行业当中，预警其实意味着‘监测’，重点在于‘查’问题；但是在行业客户中，他们理解的‘预警’其实意味着‘防’，重点在于解决问题。”权小文说到。

后来，每当公司要进入一个新的行业，第一个动作就是规范行业术语以及特定词汇的定义，这是权小文从实践中总结出来的办法。

对于未来迅速迭代的网络安全市场，权小文表示会把漏洞工程化能力继续坚持下去。他认为，未来无论是物联网、5G，还是是信创趋势，其实本质上都是基于HTTP协议的Web安全，漏洞工程化的思路也完全可以适配未来不断变化的市场。正是这种技术创新能力和丰富的应急响应与安全治理经验，权小文本人入选“中国CSO名人堂(十大人物)”。同时，他所率领的盛邦安全团队，凭借在API领域的技术前瞻性与创新能力，入选《IDC TechScape: 中国数据安全技术发展路线图,2022》报告API领域的推荐厂商。

回看网络安全行业，不同的网络安全厂商都会选择不同的技术路线做出各式各样的网络安全产品，权小文把这比喻为一场类似珠穆朗玛峰的爬坡。“都是上珠峰，有人会选择南坡，有人则会选择北坡。理念不同，路线没有对错，只是恰好，盛邦选择了用漏洞工程化为代表的核心技术能力绘制网络空间地图这样一条更难的路而已。”权小文表示。（本文首发钛媒体APP 作者 | 秦聪慧）