从RSAC2021创新沙盒十强看网络安全创新趋势

RSAC的Innovation Sandbox(创新沙盒)一直被看成是全球网络安全行业创新风向标，4月15日（美国旧金山时间），RSA Conference 2021公布了本年度入围创新沙盒TOP10名单，这十家公司在各自细分技术领域有着独到的技术创新和独树一帜的理念，是我们学习和借鉴的榜样。

5月19日（美国旧金山时间），创新沙盒即将决出本年度冠军，奇安信战略研究中心对本年度入围TOP 10的十家公司做了简短分析，梳理了每家公司的创新点，也欢迎大家一起来预测本年度今年的冠军会花落谁家。

2021年创新沙盒入围TOP

下表中汇总了RSAC2021创新沙盒TOP10的基本信息：

Abnormal Security

成立日期：2018年

总部：美国

融资总额：7400万美元

核心优势：Abnormal Security作为原生云邮件安全创新者，采用创新方法来阻止传统邮件安全网关无法检测到的新型，复杂的电子邮件攻击。支持通过与Microsoft 365和Google Workspace的一键式API集成，Abnormal平台独特地利用了行为数据科学方法来进行分析和基线确定，以检测异常和受侵害的帐户。利用Abnormal AI威胁检测引擎可对员工和外部发件人的身份进行建模，创建关系图，并分析电子邮件内容，可以有效地阻止有针对性的社交工程攻击。 

Apiiro

成立日期：2019年

总部：以色列

融资总额：3500万美元核心优势：Apiiro为用户提供完整的业务应用风险可见性来重新定义整个系统开发生命周期（SDLC），Apiiro创立了业界领先的Code Risk Platform可识别整个开发过程中的风险，加强应用程序治理和合规性，并防止高级CI / CD攻击-所有这些都可以在一个平台上以及在开发生命周期的早期进行。Apiiro会分析整个开发过程中的数据，以帮助企业识别，确定优先顺序并补救开发流程风险。Apiiro可为企业提供从设计到生产，跨应用程序，基础架构，开发人员知识和业务影响的360度安全和合规风险视图。该平台专利技术使组织能够发现和阻止类似于SolarWinds供应链攻击，首先可以防止构建时代码注入，这是SolarWinds漏洞的一个关键因素。其次是能够检测开发人员身份中的异常行为，以识别受损帐户和内部威胁。 

Axis Security

成立日期：2018年

总部：美国融资总额：9950万美元

核心优势：Axis主打Application Access Cloud平台提供基于零信任架构的云安全解决方案，它为关键业务应用访问提供了最简单和最安全的方式。该解决方案提供了一种新的无代理模式，在任何地点将任何设备上的用户安全连接到企业业务应用，而无需接触网络或应用本身。App Access Cloud不需要更改现有网络架构并且从本质上讲更加安全，因为其独特的应用程序隔离技术可将用户与公司网络隔离，并使应用程序与内部网络和Internet隔离。App Access Cloud可以显著减少不断增长的网络威胁的影响，例如最近的SolarWinds和Microsoft邮件服务器漏洞造成的威胁。

 Cape Privacy

成立日期：2018年总部：美国融资总额：2500万美元核心优势：Cape Privacy将先进的机器学习和密码学相结合致力构建与实现一个多方数据协作与隐私保护的企业级SaaS平台，旨在解决隐私监管下的敏感数据共享难题。该平台可以实现数据“可用不可见”有效保护数据隐私与合规，使外部数据源能够在多方之间安全地发送加密数据，Cape可以在不解密的情况下处理这些数据。随后利用丰富的模型输出被Cape的用户解密和使用。Cape的技术已经在金融行业有成功的应用，将来会在生命科学和政府领域得到广泛应用。

Deduce

成立日期：2019年

总部：美国

融资总额：730万美元

核心优势：Deduce可以保护企业及其客户阻止未经授权的帐户访问、防止数据泄露和身份欺诈。它是第一家将身份识别与领先的网络安全技术结合在一起的公司，以一种实用和经济的方式为几乎所有规模的企业提供服务,该公司的平台遵循全球数据隐私规则(包括GDPR和CCPA)，维护超过2亿的美国个人资料，这些个人资料可用来确定用户是否是他们声称的在线身份。Deduce通过推出身份网络，帮助任何规模的公司都可以保护客户的账户，减少欺诈风险和潜在的监管罚款，同时提高客户满意度和品牌价值。

 Open Raven

成立日期：2019年

总部：美国

融资总额：1910万美元核心优势：Open Raven是一个云原生数据平台，使数据治理活动(如库存和分类)变得简单，同时自动化安全任务(如防止数据泄漏和满足合规性目标)。数据是现代企业发展的命脉，但是很多时候，安全和云基础架构团队没有合适的工具来跟上其数据爆炸性增长的步伐。问题包括“我们的数据在哪里？”，“我们拥有什么类型的数据？”和“是否正确保护了数据？” 。Open Raven通过使用无服务器功能和本机API完全映射云资产，支持PB级数据分类，并支持现有工作流实现基于策略的监控，从而消除盲点。 

Satori

成立日期：2019年

总部：以色列

融资总额：530万美元

核心优势：Satori开创了业界第一个DataSecOps平台，一个通用的、基于SaaS的数据访问和安全平台，为现代数据基础设施的数据访问、安全和隐私带来了革命性的变革。Satori安全数据访问云(SecurityDataAccessCloud)提供监视和管理云中的数据使用和数据访问。许多组织面临着识别敏感数据，监视数据使用以及执行安全性，隐私和合规性策略的挑战。Satori的平台通过集成，自动化和可扩展的解决方案来应对这些挑战。Satori可以执行诸如GDPR和CCPA之类的法规，满足诸如SOC2和HIPAA之类的数据访问审计和控制的合规性要求，并为企业数据存储中敏感数据使用提供完全可视性和控制。

Strata

成立日期：2019年

总部：美国

融资总额：1150万美元

核心优势：Strata是分布式、多云身份编排概念的先驱。如今企业越来越多地使用多种云服务。在这些分布式环境中，无法跨每个云平台集中管理身份和安全策略，因为每个云平台都使用独立的、内置的身份系统，Strata通过构建一个分布式身份结构(Identity Fabric)连接并统一了多个云身份系统，包括旧的本地身份系统，因此它们可以作为一个整体进行管理。该公司的创始人参加合著了身份互操作性的SAML开放标准，创建了第一个云身份服务，交付了第一个开源身份产品，现在正在构建第一个分布式身份平台。

 Wabbi

成立日期：2018年

总部：美国

融资总额：33万美元

核心优势:Wabbi提供一个安全的DevOps（SecDevOps）基础架构平台，帮助企业能够交付更安全的代码，同时降低交付风险。Wabbi的SecDevOps基础架构平台可在整个SDLC中安全部署、自动化和编排安全应用。通过集成到现有的DevOps工作流程中，开发团队不再需要在速度，敏捷性或安全性之间进行权衡。借助集中式安全治理，开发团队可以在本地管理业务应用安全，从而轻松地部署相关工具和流程。 

WIZ

成立日期：2020年

总部：以色列

融资总额：2.3亿美元

核心优势：WIZ是云安全领域的创新者。它为企业安全团队设计了首个云可见性解决方案，可以分析整个云环境安全风险，提供跨云、容器和工作负载的360度安全风险。提供可操作的、基于图形分析和完全无代理的模式来发现风险，Wiz可以在不到一天的时间内扫描客户的云路径，而其它厂商依赖代理跟踪活动的系统需要12到18个月的时间。

从TOP10看网络安全热点和趋势  

今年TOP10创新网络安全企业覆盖安全技术领域：数据安全3家，身份与访问安全2家，软件供应链安全2家，云安全1家，邮件安全1家。从技术领域分布来看基本上能判断出今年网络安全技术创新的热点方向。TOP10中有7家公司总部设在美国，3家公司总部位于以色列，再次证明了美国和以色列在网络安全领域的创新能力，这离不开两国在网络安全领域政府政策支持和巨大投入，以及技术创新的基因，美国一直是网络安全独角兽的摇篮而以色列已成为全球网安领域创新领导者。 

（1）新冠疫情深刻影响网络安全行业

今年创新沙盒十强企业的诞生与新冠疫情的影响密不可分，疫情加速了数字化进程，改变了企业的信息化环境，诸如远程办公、业务上云加速了传统“边界”的消弭，带来了新的安全需求，也驱动了安全技术、产品和方案创新。

（2）数据安全创企成为夺冠热门

2018年到2021年连续四年，数据安全一直是RSAC创新沙盒比赛的焦点，每年都至少有一家是数据安全领域初创公司入选。今年更是有三家相关创新企业入围——Cape Privacy、Open Raven、Satori，其中Open Raven提供云原生数据平台，使数据治理活动(如库存和分类)变得简单，同时可实现自动化安全任务(如防止数据泄漏和满足合规性目标)；Satori专注监视和管理云中的数据使用和数据访问，帮助企业识别敏感数据，监视数据使用以及执行安全和隐私合规；Cape Privacy则致力于构建与实现一个多方数据协作与隐私保护的企业级SaaS平台，旨在解决隐私监管下的敏感数据共享难题，从技术角度上是足够创新，其商业模式也足够新颖即通过SaaS模式提供订阅式服务，从商业价值上来看数据作为一种新资源，只有流动起来才能产生价值。

Cape Privacy的加密机器学习技术在需要秘密共享和隐私保 护的场景中具有重要意义，其主要适用的场景包括联合数据分析、数据安全查询、数据可信交换等，Cape Privacy的技术已经在金融行业有成功的应用，将来会在生命科学和政府领域得到广泛应用,预测商业价值上的回报是可观的。基于以上分析我们看好数据安全细分领域，特别是隐私计算在企业数字化转型应用中的广阔前景，因此大胆预测Cape Privacy有望成为本届RSAC创新沙盒大赛冠军。

（3）身份与访问安全创企是冠军有力争夺者

身份与访问安全是近年来的网络安全热点创新领域，也是企业数字化转型中的关键安全控制点。今年的创新沙盒十强中，Axis、Deduce、Strata三家创新企业都以身份与访问安全作为其核心创新能力。其中Axis的主要产品Application Access Cloud安全接入平台提供基于零信任架构的云安全解决方案，以无代理模式将任何设备上的用户安全连接到企业业务应用。Deduce致力于身份管理及关联行为分析，根据量化的身份及行为风险值，调用不同级别的认证方法，增强对身份欺诈的防御能力。Strata则是分布式、多云身份编排的先驱。企业数字化转型中越来越多的使用多种云服务的混合云环境，每个云平台都使用独立的、内置的身份系统。Strata通过构建一个分布式身份结构(Identity Fabric)连接并统一了多个云身份系统，包括旧的本地身份系统，因此它们可以作为一个整体进行管理。

Strata致力于多云身份识别技术的研发，抓住了当前疫情影响下企业数字化转型和业务向云端迁移时所面临的安全痛点。其产品Maverics提供了预先构建的能够快速部署的身份编排机制，用户可以在不重新开发应用程序的前提下实现跨多个云的身份识别系统的迁移，包括应用身份的迁移和用户身份的迁移。有效降低应用程序往云端迁移的成本，加速企业应用往云端迁移的进程，并为后续企业在多云环境下的应用持续升级提供了基于身份的安全基石。因此大胆猜测，身份与访问安全成为今年网络安全领域的创新热点，而Strata公司是今年创新沙盒的夺冠热门。

（4）软件供应链安全概念公司有望进入TOP3

供应链攻击已经成为网络攻击的一种流行手法，近年来愈演愈烈，2020年的SolarWinds攻击事件的影响不亚于2017年的永恒之蓝勒索攻击事件，事件之后软件供应链安全迅速成为热点。

以安全开发生命周期（Security Development Lifecycle，SDLC）（2019）为目标的开发安全是保障供应链安全的一个重要手段，因此在最近几年的RSAC上DevSecOPS一直是一个热点，设置有专门的议题和论坛进行研讨，在2019年和2020年的创新沙盒中，也分别有两家基于DevSecOPS理念的公司入围，遗憾的是都没有进入前三名。

今年再次有Apiiro和WABBI两家DevSecOPS概念的公司入围创新沙盒，Apiiro是代码风险管理平台，提供多维应用程序风险管理与可视化；WABBI是DevSecOps平台，提供应用全生命周期的安全防护。

SolarWinds供应链攻击事件之后，软件供应链安全在网络安全行业被空前关注，各国陆续出台相关法律法规保障和审查软件供应链安全，有了这样的背景，软件供应链安全必然会成为创新沙盒的夺冠热门，至少会改变过去两年无法进入前三名的局面，Apiiro和WABBI两家公司中，WABBI的SecDevOps平台可能更具有竞争力。

总结

随着全球范围内数字化转型的深入，网络安全问题对世界发展的影响越来越大，网络安全正在成为世界安全的基础组成部分，面对国家间对抗升级、网络犯罪加剧和由新冠疫情带来的各种不缺性，网络安全在建立具有“弹性”能力的同时，同样需要技术创新来不断解决诸多急迫和亟需解决的问题，比如数据安全和隐私保护、身份和访问安全以及供应链安全。

创新沙盒成功之处不仅在于对网络安全行业热点和方向的把握，更在于创新热点、技术路线和技术趋势的引领，尤其是对于解决急迫和亟需安全问题的技术创新的挖掘和引领，所以创新沙盒的价值，不仅是冠军和TOP10，还包括了每家公司每个产品的创新技术思维和技术细节。