36氪首发｜推出攻击面管理产品，「螣龙安科」完成数千万元级别的Pre-A轮融资

36氪获悉，安全企业「螣龙安科」于今日正式宣布完成Pre-A轮融资。据介绍，本轮融资金额在数千万元级别，投资方为顺为资本，密码资本担任独家财务顾问。本轮融资后，公司将持续投入产品研发和市场推广工作。

螣龙安科是36氪曾经报道过的一家公司，成立于2020年。公司当前的主要产品包括BAS自动化攻击平台、ASM平台和「谜团」靶场系统。螣龙安科创始人兼CEO王昊天介绍，BAS和靶场，是螣龙安科早前即推出的产品，而ASM则是公司2022年开始研发的新产品，公司也于2023年完成品牌升级，BAS正式更名为「天网」自动化模拟攻击系统，ASM正式更名为「天眼」攻击面管理系统。

当前从行业看，随着网络攻击和数据泄露事件的频发，企业客户对盘点数字资产、知悉资产中存在的潜在安全风险愈发重视。于是，攻击面管理（ASM）也成为近年安全方向的新兴领域。关于攻击面管理（ASM），36氪曾做过介绍，这是一种从攻击者视角对企业数字资产攻击面进行检测发现、分析研判、情报预警、响应处置和持续监控的资产安全性管理方法。其最大特性就是以外部攻击者视角来审视企业所有资产可被利用的攻击可能性。2021年7月，Gartner将攻击面管理相关技术定义为网络安全运营技术中的新兴技术。从产品架构上，Gartner认为攻击面管理由网络资产攻击面管理（CAASM）、外部攻击面管理（EASM）以及数字风险保护（DRPS）三部分组成。

目前，ASM领域的中国创业公司日渐增多，但其中大多关注CAASM，即帮助企业盘点内部数字资产，梳理其中的安全问题。而王昊天表示，螣龙安科目前对CAASM、EASM和DRPS均有涉足。主要原因在于，螣龙安科是从客户处发现的ASM需求，所以希望给客户提供完整的解决方案，避免安全产品碎片化的问题。另外王昊天还介绍，CAASM、EASM和DRPS三者在技术底层上有共通之处，存在能力复用的可能。比如，外部攻击面管理虽需通过接入更多外部数据源（威胁情报），以提升发现外部资产的概率，但同样需要通过主动探测来发现更多资产。而内部攻击面管理，也需要主动探测和被动分析两种技术结合。另外在DRPS方面，王昊天表示，公司在进行外部攻击面管理的工作时，往往也能监测到客户泄露的资产。总结而言，他认为这三类产品的核心目标都是通过对协议的深度解析，利用主动探索或者被动分析技术，精准判别客户的资产，在技术实现上有着相通之处——这也是螣龙安科目前给客户提供整体型攻击面管理解决方案的可行性逻辑。

在场景方面，攻击面管理产品还可以和BAS产品形成配合。王昊天告诉36氪，攻击面管理梳理出的企业资产信息，可以提供给BAS进行自动化渗透测试，提升测试出更多安全问题的可能。

而关于螣龙安科的BAS产品，36氪此前也介绍过，天网BAS的搭建逻辑由两部分构成，首先是自下而上的企业网络资产测绘，主要通过业内公认的ATT&CK及CAPEC标准进行攻击模组切分；另外是由人工智能驱动的顶层设计，使其具备自主威胁发现的决策能力。整体而言，自动化是这类产品和传统漏扫等安全产品的最大差别。

在BAS的具体衡量标准上，王昊天表示当前螣龙的产品已经覆盖65%的攻击向量。略作介绍，攻击向量是一种路径或手段，黑客可以通过它访问计算机或网络服务器，以传递有效负载或恶意结果，包括病毒、电子邮件附件、网页、弹出窗口、即时消息、聊天室等。而BAS作为一种测试产品，要防止在测试时对客户系统造成真实伤害。所以，BAS内的攻击向量需要经过无害化处理。王昊天表示，无害化处理需要专业人力进行判定、审核。并且，不同向量在不同系统上的表现会存在差异，这也导致这类产品的审核成本呈指数级增加。基于此，王昊天表示65%的覆盖度，在业内已经是一个很高的水平。

另外，公司还有自己的社区平台，并针对社区推出了靶场系统「谜团」。谜团以云原生架构搭建平台，通过虚拟化技术满足对复杂网络环境、操作系统及应用程序的模拟。从定位上来讲，一方面谜团主要作为社区型产品致力于帮助安全从业人员成长，另一方面谜团也是天网BAS训练的对手方，帮助天网系统完成机器学习模型的进化。而如今有了天眼ASM平台，三款产品之间的联动作用也更加明显。

在商业化层面，当前螣龙安科的客户主要以金融、政府、能源行业的大中型企业为主，主要以资产数量为衡量标准，收取年费。另值得一提的是，当前螣龙安科也正和一些保险公司一起，共同进行网络安全保险的落地。在这一合作模式中，保险公司会推荐客户使用螣龙安科的天眼系统梳理资产、发现安全风险，再为其提供针对性的保险服务。

本轮融资后，螣龙安科将持续进行产品研发和市场推广，近期也会重点进行天眼ASM系统的商业化落地。

本文由「真梓」原创出品， 转载或内容合作请点击 转载说明 ；违规转载必究。

寻求报道 。