美国互联网安全公司FireEye旗下安全部门Mandiant今日透露，他们发现一种新的针对路由器的攻击手段，允许黑客盗取海量数据，又不会被当前的网络安全防御系统检测到。思科作为全球最大的路由器厂商，首当其冲成为最大的攻击对象。据悉，这种攻击方法能替换思科路由器的操作系统，截至目前，Mandiant已在印度、墨西哥、菲律宾和乌克兰四国发现了14起攻击事件。

思科方面也在第一时间证实其操作系统遭到攻击，并向用户发出警告。同时他们与Mandiant合作，开放解决方案帮助用户检测设备是否收到攻击。

FireEye CEO戴夫·德沃特(Dave DeWalt)称该恶意程序为“SYNful”，从被入侵路由器的计算机日志判断，至少已经存在了一年时间。据悉，SYNful并不是利用路由器的任何软件漏洞，而是盗取有效的网络管理员凭证，对企业发动攻击或获取路由器的访问权。而一旦控制了路由器，就拥有了使用该路由器的企业或政府机构的数据。

德沃特称，目前已发现多个行业和政府及机构的思科路由器被入侵，其他厂商的路由器同样受到攻击。而FireEye则表示，目前的网络安全工具还无法抵御该攻击方式。

思科近段时间以来被安全问题所困扰，其安全设备频频爆出安全问题，而且都是可轻易被攻击者控制。这与思科安全设备存在漏洞有关，思科在很多安全设备和软件中插入默认密钥，即有默认配置的、经过授权的SSH密钥。攻击者一旦获取该SSH密钥，只要与任何一个思科安全设备进行连接，便可利用该漏洞，从而获取root用户访问系统的权限，并对设备进行任意的操作。

看来这次的系统攻击事件与该漏洞可能同样存在关联，而这种影响是不可想象的，因为这意味着思科所有的安全设备都可能受到攻击。思科尽快修补该漏洞才是重中之重。

路由，一个产品传统而概念不断翻新的产品，如果大家有留意的话。大凡大点的公司，都或多或少有出过路由，尤其在今天。究其原因其实非常简单，传统路由推崇的是有线连接，无线连接设备是非常有限的。而智能时代飞速来临的今天，除了传统电脑联网外，越来越多的智能设备需要以无线方式接入网络来提供服务。

八、行业垂直企业

大型银行及金融服务企业将在对抗网络袭击中增加网络安全支出。

● 摩根大通首席执行官Jamie Dimon在2014年年末表示，五年内公司每年2.5亿美元的安全预算将翻番。摩根大通披露称黑客入侵行动暴露了7600万户主以及700万小企业的联系信息。“它关乎防火墙保护、关乎内部保护、关乎供应商保护、以及与你有关的所有一切。”Dimon表示，“未来注定会有多场战争，然而不幸的是有些战争会失败。”

● 咨询公司PwC表示，金融服务企业将在两年内将网篮球支出增加20亿美元。PwC对758家银行、保险商及其他金融服务企业进行调查后指出，它们在2014年在网络安全方面总共花费41亿美元。

● 《华尔街日报》在2014年末发表一篇文章称，花旗集团每年的网络安全预算已上升至3亿美元，而Wells Fargo每年在网络安全上的花费约为2.5亿美元。

● Easy Solutions, Inc.为专注这一新兴行业的供应商勾勒出市场机遇。公司在过去三年内的增长率为1500%。它们已经名列Inc快速成长企业500强榜单，曾是Red Herring北美技术创业公司100强企业，并且目前在网络安全企业500强名列第五名。“全方位防欺诈保护非常重要，鉴于针对世界做著名最值得信任品 牌发动了公开且具有破坏性的攻击活动。”Easy Solutions的首席执行官表示，“我们阻止所有设备及渠道方面唯一且全面的多层方式是帮助金融机构及企业对抗当前最为错综复杂的威胁。”

医疗网络安全落后于其他行业。

● ABI Research指出，医院、诊所、信托、及保险商不断受到来自恶意网络的攻击，但与其它关键行业相比，这些行业在网络安全方面的支出非常少。ABI Research指出，2020年医疗行业在网络安全方面的全球支出仅为100亿美元，不足关键基础设施安全行业总投入的10%。

● 个人医疗信息的价值因整合至电子医疗记录而更加容易被获取，数量是金融数据如信用卡号的10倍，医疗身份窃取及欺诈同时也在上涨，医疗提供商在努力解决泄露数百万个人记录的安全事件。这些结论是ABI Research关键基础设施市场研究网篮球策略报告的一部分。

● “医疗行业的网络安全依然是一个小型、不完整的市场，但市场扩大的潜在机遇广阔而且将持续增长，因为医疗组织机构不断遭受到网络威胁。”ABI Research数字安全实践董事Michela Menting表示。

网络安全企业500强

Cybersecurity Ventures公布了2015年第二季度全球最热及最具创新性的网络安全企业名单。

● 可从www.Cybersecurity500.com查 询网络安全企业500强名单。榜单中有22%的企业（110家企业）设立了全球（非美国）总部，比2015年第一季度大幅增长。美国境外有上榜企业的国家 包括：英国（20家企业），以色列（16），加拿大（13），德国（12），法国（5），爱尔兰、荷兰及丹麦（均4家），芬兰、中国、澳大利亚、巴西（各 3家），意大利、希腊、西班牙、瑞士、瑞典、罗马尼亚、韩国、阿根廷（各2家），以及俄罗斯、斯洛伐克、日本、香港、印度、南非、捷克共和国、新加坡、葡 萄牙（各1家）。

● 名列榜单第一名的是主编推荐的火眼公司，它是 一家位于美国加州苗比达市的网络安全及恶意软件防护公司。“网络防御从未像今天一样更为重要，Cybersecurity 500表彰那些奋战在第一线‘值得关注的公司’”火眼公司董事会首席执行官及总裁David DeWalt指出，“火眼公司一直致力于改变世界对抗当前高级网络攻击的方法，而网络安全企业500强通过提高人们对安全行业最具创新力企业的意识来推动 变化。”

● AVG Techonologies N.V.公司总部设在荷兰阿姆斯特丹，是一家国际顶级公司，在榜单上排名第6，最近宣布称软件的活跃用户超过两亿。“网络安全的布局不断变化，AVG意识 到出现在权威可信资源如网络安全企业500强中的重要性。”AVG高级公关董事Stephanie Kane表示。

● IBM Corp.上升至榜单第8名，这是将多个收购业务整合至如今被称为IBM安全业务并向市场澄清消息的结果。“IBM正在跟客户携手引领由情报推动的安全时 代”，IBM安全总经理Brendan Hannigan表示，“我们之所以能在竞争中遥遥领先是因为我们帮助客户保卫着全面的风险框架——人员、数据、应用及基础架构——方法是部署业内范围最 广的安全资讯、服务及软件的投资组合。”

值得关注的百强网络安全企业:

● 网络安全企业500强基于CISO、执行力及市场口碑对企业进行排名。红得发紫、排名第九的公司是Veracode，总部位于美国密西西比州柏林顿，为网络及移动应用安全扫描提供领先市场的云平台。

● 位于纽约市的Bayshore Networks（排名第43位）公司是一家快速增长的工业物联网（IIoT）安全市场领头羊。Bayshore的客户包括财务百强工业及企业领导者。他 们在工业物联网安全领域使用Bayshore解决方案、运营及安全政策执行；第7层过滤以及高价值知识产权保护。

● 网络安全界传奇John McAfee在未来中心（Future Tense Central，排名70）重整旗鼓，位于阿拉巴马州欧佩莱卡。以他命名的McAfee Associates成立于1987年，是一家防病毒先驱。McAfee在2013年创办了未来，旨在帮助客户重新获得信息及隐私的控制权。个人隐私市场 依然还处在发展的早期阶段，而Future Tense已经拥有15万名移动手机Chadder安全短消息app用户。

● TraceSecurity（排名37位）位于路易斯安那州巴吞鲁日（名列73名），是基于云的IT管理、风险及合规（GRC）解决方案先驱，交付 SaaS平台TraceCSO，允许组织机构管理所有需抵御当前网络攻击的八大IT安全活动。“当前市场面临着巨大的网络安全技能缺口，而 TraceCSO提供了答案，”TraceSecurity 首席执行官及总裁Peter Stewart指出，“TraceCSO的内置信息安全专业、最佳实践工作流、端对端整合及全球合规要求数据库允许组织机构执行并管理自己的信息安全计 划，而无需要求额外的IT资源或内部安全专业。”

出现在网络安全企业500强榜单上的专业服务公司越来越多。

● “当未准备妥当的组织机构收到诸如FBI等外部实体通知的安全事件时，会更多地倾向于雇佣专业的安全服务提供商解决安全紧急情况，”Frost & Sullivan网络安全研究主任Frank Dickson(2015年4月)表示，“规避性的恶意软件以及安全技能短缺是推动专业安全服务需求的主要力量。北美专业安全服务公司将在2018年达到 19亿美元的市场收益。”

● “Cybersecurity Ventures希望CISO选择保护企业的合作伙伴时能够更多地选择专业的网络安全公司，而不是大众化的IT VAR以及系统整合商（开发安全能力的企业），”Cybersecurity 市场报告主编指出，“CISO在寻求经验丰富的同行和主题专家，来指导自己处理当前复杂的网络威胁及攻击者，并帮助筛选适当的网络安全技术及解决方案。”

● “网络威胁需要的是人以及人类的方式，允许装备精良以及受过良好训练的防御者集中在主动防御及对对手的追逐上，”root98（排名216位）首席执行官 Eric Hipkins指出。Root98是一家快速成长型的网络安全咨询公司及运营支持企业，总部坐落在科罗拉多斯普林斯，在圣安东尼奥及纽约市设有代表处。 “网络安全企业500强表彰了root98的创新能力、高超的运营经验、可执行的威胁情报以及定制化培训解决方案作为网络安全必要的转型范 例，”root9b在商业垂直行业如金融服务、零售业、能源业、以及基于创立者军队及执法背景而成立的联邦政府机构领域有着丰富的经验。

● 在网络安全专业服务领域耳熟能详的企业包括排名第8的IBM安全、排名第10的英国电信、排名第18的顶级国防承包商洛克希德马丁（Lockheed Martin）、名列第33位的AT&T网络安全企业、以及排名第170位的联邦提供商Raytheon。

● 占据地利优势的榜单企业包括排名第21位的IT Security, Inc. (匹兹堡)、排名第58位的Accuvant（科罗拉多州丹佛）、排名第101位的LIFARS（纽约州纽约市）、排名第166位的 TrustedSec（俄亥俄州Strongville）、排名第167位的GuidePoint Security (弗吉尼亚州雷斯顿)、以及排名第234位的Herjavec Group（加拿大多伦多）、以及排名第316名的GreyCastle Security（纽约特洛伊）。

欧洲顶级网络安全企业加入榜单。

● 2014年4月披露的心脏出血漏洞引起全球关注，而且是它迄今为止金融业绩最好的年份，发现该漏洞的芬兰公司Codenomicon在欧洲安全企业中排名 第5位，而在网络安全企业500强中名列前25强。“我们感到非常荣幸能够被认可为网络安全领域的领头羊，”Codenomicon首席执行官David Chartier表示，“心脏出血漏洞的发现去年引发媒体对Codenomicon的关注，但我们已经在过去的十年中检测并解决了多个关键漏洞。随着人们 对网络威胁变化的关注越来越多，对积极安全解决方案的需求也持续上涨——而Codenomicon准备帮助多个行业的企业以及政府组织机构解决这些需 求。”

● ESEN是SAP安全解决方案的领先提供商。德国公司Munch在网络安全企业500强中排名第89位，由于保护SAP任务关键型ERP以及业务应用的需 求不断增长，在过去的三年中快速增长。作为在SAP安全方面有经验的公司，ESEN成为全球企业SAP客户的必去公司。

● SpamTitan Technologies总部位于爱尔兰戈尔韦，在网络安全企业500强榜单中名列第123位，为全球100多个国家的客户提供邮件安全应用硬件，包括中 小企业、中小学、高等院校、ISP以及政府组织机构。“在SpamTitan，我们的员工协助客户每天都在处理不断增长的网络威胁，对于小企业及财富 500强企业来说有同等重要性，”SpamTitan首席执行官Ronan Kavanaugh表示，“我们非常荣幸能与网络安全企业500强携手并进，共同强调提高警惕的作用并提高所有企业的意识。”

● 在网络安全企业500强榜单中名列前茅的企业在欧洲拥有总部的公司包括：排名第6位的AVG（荷兰阿姆斯特丹）、排名第10位的英国电信（英国伦敦）、排 名第22位的F-Secure（芬兰赫尔辛基）、排名第27名的Gemalto（法国邦多菲尔塞德斯）、以及排名106位的Sophos（英国阿宾登）。

九、值得关注的现象

Moka5关门歇业，波音的Narus网络安全品牌解散。

● Virtualization Review（VR）报道称企业行动化及网络安全软件供应商Moka5很显然已经关门歇业。很可能公司依然存在并且正在寻求买主。Moka5之前在网络安 全企业500强排名第二，并且获得5000万至1亿美元的风投（对Moka5融资的不同报道很难确定准确的融资金额）。公司由四名斯坦福大学计算机科学家 于2008年创办。

● 《华尔街日报》在2015年年初报道称波音公司正在退出商业往来安全业务，而赛门铁克正在从波音的Narus处招兵买马并获取技术许可证。其他媒体将这次 交易描述为“收购”。我们的研究结果表明赛门铁克仅仅雇佣了Narus的一部分员工。波音似乎还拥有对Narus知识产权（软件）以及客户库的所有权。 “必须澄清的一点是，几乎可以肯定波音并没有退出网络安全业务”，波音高级经理及电子和信息解决方案处通信事业部主任Andrew Lee表示，“我们会继续通过网络安全、数据、分析产品及服务为多个国防、政府及安全客户提供支持。可以说如果没有Narus，我们目前不会关注商业网络 安全。”

十、风险投资

2014年的网络安全资金首次突破20亿美元大关。

● 位于纽约市的CB Insights表示，在过去的五年里，已经在1208家私有网络安全创业公司中投入73亿美元。自2010年起，交易及货币稳步增长，涨幅超过100%。2014年的资金首次突破28亿美元大关，而交易还在稳步增长，达到269件交易量。

● 在风险资本投资者中，Intel Capital是在网络安全创业公司中最为活跃的投资者，自2010年起，投资公司超过20家。CB Insights指出，Intel Capital与Google Ventures是唯一一批最为活跃的网络安全投资者中的企业投资者。

● 曾任Chrysler Corp及Fisker A首席执行官的Tom LaSorda表示他的风险投资资金IncWell已经在全球汽车网络安全供应商TowerSec中进行投资。TowerSec由一个以色列网络安全专家 级底特律汽车专家团队在2012年创立。“我们一直在为解决车辆的网络安全威胁寻求一种解决方案,”时年60岁的LaSorda在最近一份声明中指出， “随着车辆与网络的连接越来越多，或者与设备联网、物联网或者与其它联网车辆的连接越来越多，网络威胁发展得越来越快。随着自驾或自动汽车的发展，威胁变 得更加严重。这种联网程度将人们的生命及个人数据都置于风险中。”

● “我们希望看到在未来两年内，从云端、IT及客户安全市场到物联网安全的网络安全风投活动能够快速扩张。”《网络安全企业市场报告》的主编Steve Morgan表示，“汽车行业将成为许多物联网市场中的一个，我们将看到风投的货币流动情况。”

十一、并购

近期网络安全并购活动

● Singtel以8.1亿美元的价格收购了管理安全服务提供商Trustwave（伊利诺州芝加哥）。Singtel是东南亚最大的电信提供商，拥有超过5亿移动客户，该交易有望在3到6个月内完成。

● Lookingglass（弗吉尼亚州阿灵顿）是一家网络威胁情报监控攻击管理提供商，目前宣布以全现金方式收购CloudShield。后者是一家深层封包处理（DPP）公司。目前未透露收购金额。

● 云安全提供商CloudLink（加拿大渥太华）宣布将被EMC收购。

● CSC收购了一家云计算基础架构提供商Autonomic Resources（北开罗莱纳州卡里）。该公司是首个按照FedRAMP获得合规的云服务提供商，也是首个通过DISA发布的安全控制实现合规的公司。

● 国防承包商Raytheon（马塞诸塞州布兰）投资15.7亿美元与私募股权公司创建一家新的网络安全公司Vista Equity Partners LLC。新公司将结合Raytheon公司的网络产品部与Websense Inc.（加州圣地亚哥），而后者是Raytheon同意从Vista收购的公司。

● Bain Capital从Thomas Bravo公司（Thomas Bravo曾在2012年以12.6亿美元的价格收购了Blue Coat Systems）以24亿美元的价格收购了Blue Coat Systems（加州森尼韦尔）。Blue Coat 提供在线安全及WAN优化解决方案。

● The Kenjya Group（马兰里州哥伦比亚）与Trusant Technologies（马兰里州哥伦比亚）宣布合并计划。新成立的公司叫Kenjya-Trusant Group，将为IC、DoD及DHS提供网络保护、信息技术、工程学、建筑管理及收购支持服务。

● GTT Communications（弗吉尼亚州麦克莱恩）是一家云网络服务提供商，它宣布将以15230万美元的价格并购MegaPath的管理服务业务。该业务向500位大客户提供私人网络、访问服务及管理安全服务。

● Akamai Technologies收购了一家DNS平台提供商Xerocole（科罗拉多州博尔德）。

● Vistronix收购了Agency Consulting Group (马兰里州哥伦比亚)、Objective Solutions(OSI，马兰里州哥伦比亚)及ExaTech Solutions（弗吉尼亚州赫恩登）。Objective为IC提供大数据、网络、收集及高级分析解决方案。OS交易在数据分析、无线安全、通信协议 分析、实时安全信息领域扩展Vistronix的知识专长。

● PAE收购了USIS的Global Security and Solutions (GS&S)业务块。GS&S的员工大概有1900人，提供的服务主要包括诉讼支持、生物特征提取及登记、培训、建设监控及减轻资讯。收 购加强了PAE对保密市场上国土安全局及其他客户的现有支持，以及多个关注身份管理、基础架构保护、信息管理及任务支持的长期合同。

● Ross Technologies (RTGX)收购了The Tipestone Group（弗吉尼亚州Fairfax），后者是一家为美国国防部及IC提供网络研究及计划以及投资组合管理能力的提供商。

● 思科收购了Neohapsis（伊利诺伊州芝加哥），后者是一家应用安全、云安全、合规、IT风险及安全策略、安全设备安全、网络及终端安全服务的提供商。这次交易增强了思科的先进恶意软件安全解决方案组合并协助提高在网络会议及云端的网络安全服务。

● 微软收购了Aorato Ltd. (以色列)，后者是一家网络安全创业公司，开发一种目录服务应用防火墙。Aorato从Accel Partners、Innovation Endeavors、Glilot Capital Partners以及Mickey Boodael集资到1000万美元的风投。

● ZeroFOX(马兰里州巴尔的摩)收购了一家隐形安全技术公司Vulnr。Vulnr的技术将被整合至ZeroFOX Enterprise、网络安全的社会风险管理平台，以促进公司的产品发展。

十二、值得关注的交易

最新网络安全投资及IPO活动。

● 网络安全创业公司Illumio（加州森尼韦尔）在C轮融资中获得1亿美元投资。Illumio提供云及数据中心安全平台。

● 移动安全公司Skycure（以色列特拉维夫）集资800万美元支持新的研发工作。该轮融资机构包括Shasta Ventures、Pitango Venture Capital、以及Michael Weider。Skycure目前为止融到的资金共有1100万美元。

● Lookingglass（弗吉尼亚州阿灵顿）是一家网络威胁情报监控及管理提供商，刚刚结束了2000万美元的B轮融资。该轮融资由纽约市Neuberger Berman Private Equity Funds引领。

● Sqrrl（马塞诸塞州剑桥）是网络威胁识别及响应的大数据分析提供商，在B轮融资中集资700万美元。该融资由Rally Ventures领导，加入的企业包括Atlas Venture以及Matrix Partners。公司同事发布了检测及响应网络安全威胁的新软件。目前为止的融资额为1420万美元。

● Team8（以色列）是一家网络安全创业公司办事处及智库，在A轮融资中集资1800万美元。支持者包括Alcatel-Lucent、Bessment Venture Partners、Cisco Investment and Innovation Endeavors。

● Pindrop Security (佐治亚州亚特兰大)是防电话诈骗及呼叫中心验证提供商，在B轮融资中集资3500万美元。

● Dtex Systems (加州San Jose)是一家内部人士威胁防护解决方案提供商，在A轮融资中集资1500万美元。该融资由Norwest Venture Partners及Wing Ventures领导。

● Darktrace是一家由Autonomy老板Mike Lynch支持的英国网络安全公司，已集资1800万美元。融资机构还包括Investor Talis Capital以及Hoxton Ventures。

● SecureKey Technologies（加拿大多伦多）市身份及验证解决方案提供商，在C轮获得1900万美元的融资。融资由Blue Sky Capital及Rogers Venture Partners LLC引导。

● Zimperium（加州旧金山）是一家移动威胁防御解决方案提供商，在B轮融资中集资1200万美元。融资由Telstra Ventures领导，还包括TOYO Corp.、Sierra Ventures、Lazarus Israel Opportunities Fund、以及三星。

● Emailage（亚利桑那州钱德勒）是一家反欺诈解决方案提供商，在融资阶段融资380万美元。融资由Felicis Ventures领导，还包括Double M Partners以及Mucker Capital。

● PayPal以6000万美元的价格收购了一家以色列网络安全公司CyActive。

● Datashield（犹他州帕克市）是一家网络安全解决方案提供商，从Huntington Capital获得400万美元的夹层贷款及股权承诺。

● Horonworks（加州圣克拉拉）是一家存储及分析大数据的开源平台，在IPO阶段获得1亿美元的融资，其初始市值为6.66亿美元。

● Evident.io（加州都柏林）是一家AWS持续云安全技术提供商，在A轮融资中获得985万美元。该融资由Bain Capital Ventures领导。True Ventures也有参与。公司之前在种子资金阶段从True Ventures获得150万美元的融资。

● V-Key Inc.（新加坡）是移动安全及密码技术提供商，在B轮融资中从Ant Financial 及return backer IPV Capital获得1200万美元的融资。

● Endgame（弗吉尼亚州阿灵顿）是安全情报及分析工具的开发商，在第三轮融资中获得3000万美元。该轮融资由新投资商Edgemore Capital and Top Tier Capital Partners联合领导。之前的支持公司包括Bessemer Venture Partners、Paladin Capital Group、Columbia Capital 以及 Kleiner Perkins Caufield & Byers、Savano Capital Partners。

● CipherCloud（加州圣何塞）是一家云可见性及数据保护解决方案提供商，在B轮融资中获得5000万美元。融资由Transamerica Ventures领导，此外还包括Delta Partners、Adreessen Horowitz 以及T-Venture.

● Clef (加州奥克兰)是一家利用Apple指纹阅读器而非密码的双因素认证解决方案提供商，在种子资金阶段从Morado Ventures以及个人天使投资集资160万美元。

● Cyber Squared (弗吉尼亚州阿灵顿)是一家网络威胁情报平台开发商，在首轮集资阶段获得400万美元，并将公司名更改为ThreatConnect。该轮融资由GroTech Ventures领导。集资将用于加速产品开发及在全球扩展销售及营销。

● NowSecure (伊利诺伊州奥克帕克), 是一家移动设备数据安全及管理厂商，在A轮融资中获得1250万美元。该轮融资由Baird Capital领导，同时Math Venture Partners及Jump Capital也参与其中。

● ThreatStream (加州雷德伍德城)是一家SaaS网络安全威胁情报平台，在B轮融资中获得2200万美元。该轮融资由General Catalyst Partners领导。其他的投资者还包括Institutional Venture Partners、Google Ventures以及Paladin Capital Group。

● NexDefense (佐治亚州亚特兰大)是一家网络安全公司，获得融资240万美元。该轮融资由Mosley Ventures以及Buckhead Investment Partners领导。

● DB Networks (加州卡尔斯巴德)是一家机器学习及行为分析网络安全提供商，在新一轮的风投中获得融资1700万美元。该轮融资由Grotech Ventures领导，Khosla Ventures及Citi Ventures也参与其中。

● Nok Nok Labs (加州帕洛阿尔托)是一家验证解决方案提供商，在C轮融资中获得825万美元。融资支持者包括DDS Inc、Raven Ventures、DCM Ventures、联想集团以及ONSET Ventures。

● Area 1 Security (加州门洛帕克)是一家专注社会工程攻击的网络安全创业公司，在A轮融资中获得800万美元，由Kleiner Perkins Caufield & Byers领导。目前公司已融资1050万美元。其他支持者包括Allegis Capital、Cowboy Ventures、Data Collective、First Round Capital、RedSeal Networks 首席执行官及之前的Venrock Partner Ray Rothrock、以及Shape Security 首席执行官Derek Smith。

● EdgeWave (加州圣地亚哥)是军方网络安全解决方案提供商，在additional A轮融资阶段从TVC Capital、Northgate 及 Bill Baumel and RWI Ventures合作伙伴获得200万美元的融资。2014年获得的资金总计800万美元。

● Vkansee Technology (北京)，是一家移动安全指纹传感器，在风投阶段从中国航空工业集团获得700万美元的融资。

● iSIGHT Partners (德克萨斯达拉斯)是网络威胁情报解决方案提供商，在C轮融资阶段从Bessement Venture Partners获得3000万美元的融资。公司将利用这一势头改善情报服务、加强核心ThreatScape产品、开发新的合作伙伴并扩展器销售及营销 活动。

● Ionic Security (佐治亚州亚特兰大)是企业分布式数据保护平台提供商，在C轮融资中获得4010万美元。该轮融资由Meritech Capital Partners领导；其他支持者包括Kleiner Perkins Caufield & Byers,return支持者包括Google Ventures、Tech Operators以及Jafco Ventures。 

● Phantom Cyber是一家网络安全创业公司，公司旨在进军汽车网络安全行业，宣布在种子资金阶段从网络安全大企业中获得270万美元。投资者包括赛门铁克前任首席 执行官John W. Thompson、Internet Security Systems (ISS) 前任首席执行官Thomas E. Noonan 以及Sourcefire前任首席执行官John C. Becker、以及NetSuite公司首席执行官Zach Nelson (之前为McAfee高级执行官，现加入Intel)。

● CloudLock (马塞诸塞州沃尔瑟姆)是一家云数据安全企业，在第四轮融资中集资670万美元。公司此前从Bessment Partners、Cedar Fund以及Ascent Venture Partners获得2800万美元的融资。

●据《福布斯》报道称云应用安全公司Veracode（马塞诸塞州伯灵顿）将在五月份上市。Veracode在风投阶段获得1.1亿美元融资。在去年9月份由Wellington Management领导的F轮融资中获得4000万美元。

● 路透社报道称，领先的SIEM供应商LogRhythm（科罗拉多州博尔德）的投资商包括Access Venture Partners、Adam Street Partners、 Grotech Ventures 以及 Riverwood Capital。在今年下半年将选择摩根大通及摩根斯坦利作为IPO。

● Rapid7 (马塞诸塞州波士顿)是一家完全软件及服务提供商，从Bain Capital及Technology Crossover Ventures获得3000万美元投资。Rapid7的投资者包括Bain Capital Ventures及Technology Crossover Ventures。路透社报道称公司将选择摩根斯坦利及Barclays协助IPO。

● 邮件安全供应商Mimecast（马塞诸塞州波士顿）的投资者包括Insight Venture Partners、Dawn Capital以及Index Ventures。路透社报道称公司与一些投资银行洽谈了今年后半年的IPO但并未雇佣任何公司。

《全球网络安全市场报告》是美国网络安全公司 Cybersecurity Ventures发布的季度报告。报告内容包括来自IT分析公司关于市场规模及行业预测等综合研究、发展潮流、就业、联邦政府部门、全球网络安全企业 500强热门公司、著名的并购案例、投资及IPO活动等。

由于原文篇幅相当长，FreeBuf将此报告分为多部与各位分享。

一、市场规模及预测

全球网络安全市场由市场规模预测确定，据预测2014年的市场规模为710亿美元，到2019年将超过1550亿美元。

● 高德纳公司（Garner）曾预测全球信息安全支出将于2014年达到711亿美元，而数据丢失预防领域的增长速度创新高，达18.9%。预测显示，全球信息安全支出将在2015年增长8.2%，达到769亿美元。

● 2015-2025网络安全市场预测：Visiongain发布了关于网络、数据、终端、应用及云安全、身份管理及安全运营领先企业的预测报 告。报告指出，网络安全市场将在2015年达到754亿美元（与高德纳的预测相差不大），而市场对信息安全解决方案的需求持续高增长。

● Markets and Markets报告指出，到2019年，网络安全市场预计增长至1557.4亿美元，复合年增长率（CAGR）从2014年至2019年将增长 10.3%。航空、国防及情报垂直行业将成为网络安全解决方案的最热门提供商。北美洲将成为最大市场，亚太地区及欧洲、中东和非洲地区在市场新引力方面有 望增长。

未来三年内，“下一代”网络安全支出将从150亿美元增长至200亿美元。

● 最近一期的CIO杂志（《华尔街日报》出版）文章指出，随着企业从传统防火墙及终端供应商转向云及大数据解决方案，预计FBR资本市场将在今年（2015年）“下一代网络安全支出”中增长20%。

● FBR资本市场常务董事及高级研究分析员Daniel Ives表示，约10%的企业及政府机构已经升级到下一代安全软件，如检测并拦截应用层威胁的防火墙、转向安全的大数据分析服务，“这些软件工具的市场在未来三年将达到150亿至200亿的规模”。

● Frost & Sullivan网络安全高级行业分析员Chris Rodriguez（2015年4月）表示，“越来越多的黑客及民族国家针对网站发动攻击，试图获取非法访问企业网络及高价值数字资产的权限。因为网络应 用带来了许多独特的安全挑战需要基于目的的解决方案，此类高级别数据安全事件刺激了市场对WAF（网络应用防火墙）系统的需求。全球市场规模将在2018 年有望达到7.773亿美元。”

● 位于美国加州洛斯盖多斯的Spikes Security是众多下一代供应商中来势凶猛的一家公司，它在全球最热门最具创新力网络安全企业500强（Cybersecurity 500）中位列第116位。公司首席执行官Branden Spikes曾在全球最成功的企业家、工程师、创新者及投资者之一的Elon Musk手下担任首席技术官，并在Zip2、PayPal、Tesla以及SpaceX公司任职超过15年。Spikes Security为隔离并删除浏览器恶意软件提供了唯一的平台。

全球每年在移动及网络安全方面的支出预测为110亿美元，且不断增长。

● 高德纳报告称，2014年出售了近22亿台智能手机及平板电脑，预计截至2017年，将有75%的移动安全事件源于移动应用的错误配置。

● “2014年美国的移动网络流量首次超过台式电脑，手机成为上网最为便捷、成本效益最高的设备，” AVG Technologies公司（为Windows、iOS及安卓设备提供客户安全、隐私、业绩及备份移动应用及软件全球最大的提供商之一）的首席技术官 Yuval Ben-Itzhak说道，“因此，2015年我们将看到移动app成为黑客的首要目标，而App应用商店里那些未经开发者维护的应用将成为最容易受攻击的目标之一。”

● Ernst & Young在《2014年全球信息安全调查》报告中指出，安全团队增长最快的支出与移动技术相关（46%），其次为云及虚拟化（43%）、数据泄露（41%）、以及身份及访问管理（39%）。

● Infonetics Research报告指出，移动设备安全市场将于2018年增长至34亿美元。

● Mobile Security (mSecurity)权威发布：2014-2020年——SNS Research发表《设备安全、基础设施安全及安全服务报告》称，移动设备及网络安全投资仅在2014年便达到110亿美元。在未来6年中，这一市场的 复年合增长率将达到20%左右。

● SNS Research指出，反恶意软件/反病毒客户软件的安装快速成为多数智能手机及平板电脑的实际需求。此外，随着移动支付等安全机会不断增多，移动设备OEM（贴牌生产）也将先进的生物测定学如指纹传感等整合至智能手机及平板电脑中。

● 拥有正确策略及服务的移动安全企业拥有一大把机遇，其中顺应潮流的企业之一便是SnoopWall, Inc.，它是全球首个专注于移动app安全领域的反监控软件开发公司。“随着移动银行、零售商及钱包进入移动领域，移动设备安全将成为今年（2015） 年的最高要求，”SnoopWall的首席执行官Gary Milierfsky指出，“这就是我们开发SDK的原因，这样我们就能抵挡来自亿万无法检测到且伪装成免费受信任的app攻击，这些恶意app在守株待 兔窃取有价值的个人可识别信息。”SnoopWall在网络安全企业500强中名列第90位。

安全将成为大数据分析的杀手APP。

● 研究公司IDC称全球大数据及分析市场将在2015年实现1250亿美元。

● IIA公司指出，大数据分析工具将成为防御第一线，而机器学习、文本挖掘及本土模型将会提供全面而综合的安全威胁预测、检测、威慑及阻碍计划。

● IDC指出，物联网分析将成为热门，五年的复合年增长率达到30%。物联网将成为数据/分析服务的下一个关键点。IIA公司指出，虽然物联网趋势一直关注数据生成及生产（传感器），但物联“分析”是一种特殊的大数据分析，通常包括异常检测及“数据分析”。

● “Cybersecurity Ventures希望大数据安全分析”空间在来年面对更加新型的竞争者以及争夺市场份额的大批供应商时还能保持很强的竞争力，”《网络安全市场报告》首席 主编Steve Morgan指出，“这是一种大融合空间，现有企业来自多个不同行业及不同立场（大数据、分析、网络监控、日志等）以及由风投单一控制的新型企业。”

● 私营公司Lancope位于美国乔治亚州阿法乐特，在网络安全企业500强中名列第2。“在包括众多供应商及不同类型防御技术的地方，Lancope感到 非常激动，公司因将网络作为提供上下文安全分析的创新之举而名列十大网络安全提供商，”Lancope总裁兼首席执行官Mike Potts表示，“对网络可见性的不懈追求以及对解决客户最难安全问题毫不动摇的坚持一直是我们业务的基石。我们很高兴我们的战略能够得到来自 Cybersecurity Ventures及其他出台这份榜单安全实践者如此大的肯定。”

● Splunk是大数据领域广为人知的热门选手，在网络安全企业500强中名列29。Splunk继续在安全及欺诈、物联网及行业数据领域扩大基于市场及垂直解决方案的业务。

● 在网络安全企业500强中名列44位的Ziften公司是另外一家值得关注的公司。他们具有突破性的解决方案提供了持续的实时可见性及情报，启动了事件阻 止、检测及响应。利用Splunk独特的大数据分析能力以及安全领域的全面性，为Splunk app提供服务的Ziften将为Splunk提供综合终端可见性的原生整合，同时具有将信息与威胁信息与网络情报结合的能力，从而提供一种端对端的攻陷 指标视角。

● 在网络安全企业500强榜单名列第132位的英国公司Solibreaker是一家极有前途的网络安全分析提供商，吸引了来自IT安全实践者的很多注意 力。“Solibreaker通过对海量数据的分析及情境化，提供除了网络事件技术参数以外更大的图景，它已成为网络开源情报的领头 羊。”Silobreaker联合创始人及首席执行官Kristofer Månsson指出。

二、网络犯罪

网络犯罪不断上涨，每年为世界经济造成数千亿美元的损失。

● PWC发布的2015年全球信息安全状态调查报告指出，2014年，全球所有行业检测到的网络攻击共有4280万次，比去年增长了48%。

● 华盛顿战略和国际研究中心在2014年发布报告称，每年计算机及网络犯罪活动为世界经济带来的损失超过4450亿美元。

● 美国司法部最近在刑事司专门设立网络安全部门。“鉴于网络攻击的复杂度及规模不断增长，而且需要法律及调查工具来对抗攻击，网络安全部门将发挥重要作用” 司法部长助理Leslie Caldwell在乔治华盛顿大学法学院演讲时表示。新组建的司法部网络团队将“确保有效利用强大的法律执法工具将犯罪分子绳之以法，同时确保每个美国公 民的隐私”。

● 调查网络犯罪，如网站被黑、入侵事件、数据窃取、僵尸网络及拒绝式服务攻击是FBI的工作重点。为了赶上网络威胁的发展步伐，FBI呼吁有经验的认证网络 专家加入FBI担任网络特别员将自己的专业技能应用起来。“FBI寻求具有卓越才能、受过技术训练的个人，肩负FBI的使命，保护我们的国家及人民免受来 自快速发展的网络威胁之苦。”FBI刑事、网络、响应及服务部门执行助理局长Robert Anderson,Jr.指出，“我们需要这些人加入FBI，处理与众不同且极其复杂的攻击，并将自己的专长融入其中。”（来源：fbi.gov）

● 网络犯罪为小型网络专业公司带来了市场机遇，位于美国加州丹维尔、在网络安全企业500强排名40的Autonomic Software公司便是一例。“自2014年年底，我们的收益是原来的三倍，”公司总裁Tony Gigliootti表示，“目前我们携手一家致力于利用关键安全更新控制进程设备的全球最大公司之一以及美国军队盟友一道确保关键IT应用的安全。有超 过80%的网络攻击是由我们成功阻止的。”

● 另外引起市场注意力的网络斗士是位于美国马塞诸塞州的公司Cryptzone，在500强中排名48位。“随着网络攻击的不断升级，组织机构对可信任合作 伙伴的需求不断增长，组织机构希望这些合作伙伴能够在每个易受攻击的组织入口点提供一层保护措施以阻止攻击者，”公司总裁及首席执行官Kurt Mueffelmann表示，“我们感到非常荣幸，能够因解决多个安全问题而得到认可。”

● 网络犯罪除了为世界经济造成数以亿计的损失，同时为供应商及服务提供商创造了数以亿计的收益机会外，网络犯罪也为寻找投资资金的企业带来了负面影响。 KPMG公司最新发布的一项研究报告指出，近80%的投资者因曾被入侵或效率低下的网络安全策略而遭拖延。KPMG采访了全球负责逾3万亿美元基金的 130多家机构投资者，“投资者在寻找能够抵御网络攻击的组织机构以确保自己的业务是安全的并保护自己的投资”。

三、就业市场

到2018年，美国对信息安全专家的需求将增长53%。

● Peninsula Press（斯坦福大学记者计划项目之一）对美国劳工统计局的数字分析后指出，美国有超过209,000个网络安全就业机会，并在过去的五年中职位空缺增长了74%。到2018年，市场对信息安全专家的需求将增长53%。

● Burning Glass Technologies公司在2014年发布报告称，在过去的五年中，市场对网络安全专家的需求增长比其他IT工作快3.5倍，比其他行业快12倍左右。

● Channel Partners 报告称，美国五角大楼计划增加两倍网络工作人员，而FBI网络处计划雇佣1000名代表及1000名分析师，而美国国土安全局的网络安全专家雇佣计划为1000名。

● FBI希望能够迎接未来的挑战。“我们正在寻求许多网络人员，” FBI刑事、网络、响应及服务部门执行助理局长Robert Anderson,Jr.指出，“FBI及美国政府将在未来几年中持续寻找此类人才。”成为特别代表的关键要求包括通过严格的背景调查及健康测试、年龄为 23-37岁之间（包含）。未来的网络特别代表需要满足成为特别代表的相同门槛，同时还要在计算机及技术领域有丰富的经验。优先的背景条件包括计算机编程 及安全、数据库管理、恶意软件分析、数字化取证、甚至还包括道德黑客（来源：fbi.gov）。

● 最近BloombergBusiness发表一篇文章强调称，在过去的几年中，网络安全企业雇佣了几百名前政府黑客。前政府间谍及黑客成为网络安全服务行 业的前线员工。Board David DeWalt首席执行官及总裁表示，网络安全市场领头羊火眼公司自2013年以来雇佣的前政府黑客超过100人。

● U.S. News and World Report将信息安全分析师的职位列为2015年百强工作岗位中的第八位。他们表示，到2020年，该职位将以36.5%的速度增长。

● CyberSecurity Ventures推出一项全球最佳网络安全雇主目录，为寻求工作机会的销售及市场主管、工程师及技术人员及高级经理提供了社区资源。该目录同时也面向企业 招工，帮助寻求首席信息安全官及IT安全岗位，同时帮助需要招聘有经验员工或及格水平候选人的网络安全供应商及服务提供商寻找人才。

四、教育及培训

快速增长的安全意识培训市场在全球超过10亿美元。

● 多个报告强调计算机安全意识培训的重要性，例如IBM在2014年发布的网络安全情报指数中指出，95%的安全事件涉及人为因素。

● 高德纳研究部副总裁Andrew Wells表示，安全一事培训市场每年的收益（全球范围）超过10亿美元，并且还在以每年13%的速度不断增长。

● 高德纳公司指出，员工的行动可对安全及风险性能造成毁灭性打击。首席信息安全官（CISO）与员工通信领导不断寻求教育性安全意识解决方案以帮助改善组织机构的合规性、扩展安全知识并更改不当的安全行为。

● 卡内基梅隆大学及美国特勤局在2014年发布的《美国网络犯罪调查》报告中指出，28%的网络安全事件归因于在职及离职员工、承包商及其他受信任方。近三分之一的受访者称此类事件造成的损失比外部攻击要大。

● 高德纳在2014年第四季度发布了首份《安全意识计算机培训供应商魔力象限》报告，回顾了最大安全意识培训供应商以及许多后来者的情况。高德纳报告中所提到的供应商的年收益约为6.5亿美元。

● 为了响应来自安全意识及其他教育、培训及认证领域不断增长的需求，Cybersecurity Ventures发布了一份顶级网络安全教育及培训提供商目录。

● 市场增长推动了许多新型地方、国家及全球参与者的加入，他们在安全意识培训方面有多种不同的计划及方法。Digital Defense, Inc.（DDI）公司通过SecurID即传播专业信息的培训计划保护重要的商业数据，通过幽默、有趣、便于记忆的方式加强员工的意识并创造一种安全文 化。

五、趋势

随着外包网络安全的企业越来越多，管理安全服务提供商（MSSP）市场持续增长。

● Infonetics Research在一份名为《云及CPE管理安全服务报告》中表示，到2017年管理安全市场将超过90亿美元。

● Frost&Sullivan研究人员预测欧洲、中东和非洲的MSSP市场在2018年将达到50亿美元。“威胁情报、研究、检测及补救服务的增 长速度可能是安全资产监控及管理的两倍，将成为区分市场领袖的重点关注领域，” 网络安全研究主任 Frank Dickson表示。

● Frost & Sulivan网络安全研究主任Frank Dickson（2015年4月）指出，“北美管理安全服务将在2018年达到32.5亿美元。安全资产管理及监控将成为最大的市场领域。然而，市场增长 将由不断涌现的威胁情报、研究、检测及补救服务业务也就是行业创新核心驱动。”

● ABI Research发布的市场情报表明全球管理安全服务市场将在2015年底达到154亿美元，在2020年将达到329亿美元（ABI Research在这一领域的市场规模将超过Infonetics或Frost & Sullivan的市场规模——而后两者也有相似的预测）。

● 高德纳预测称，到2018年超过一半的组织机构将通过专注于数据保护、安全风险管理及安全基础设施管理的安全企业加强企业安全状况。他们指出，2015 年，约10%的IT安全企业产品能力将作为云服务或云管理产品通过云进行传播。高德纳指出，在2015年，30%的中小企业的安全控制将基于云。

六、美国联邦政府部门

联邦部门为小企业及网络安全提供商带来新机遇。

● Deltek发布（2014年10月）联邦信息安全市场报告——研究塑造联邦信息安全市场的趋势及驱动因素，并提供未来五年的情况预测——指出，美国联邦 政府对供应商提供的信息安全产品及服务将从2014财年的78亿美元增长至2019年的100亿美元，复合年增长率达到5.2%。

● 路透社报道称奥巴马总统为2016年财年的预算提案包括将在网络安全支出方面增长10%。如议会通过，美国政府在网络安全领域的支出将达到1400亿美元，以更好地保护私营及联邦网络免受网络威胁的攻击。

● 美国副总统拜登、能源部长Ernest Moniz以及白宫科学顾问John Holdren近期在州立诺福克大学公布称能源部在未来五年将提供2500万美元的资助以支持网络安全教育。这一新资助将用于创建新的网络安全协会，由 13个传统黑人大学、两个国家实验室及一个k-12学区组成（来源：whitehouse.gov）.

● 美国政府将增加在先进网络技术方面的投资。联邦政府通过由政府赞助的网络化物理系统给予物联网安全特殊关注。小型企业可利用这些研发合约手段参与政府网络安全市场。

● 联邦政府为小型企业在网络安全领域开发创新解决方案提供了特殊资助。美国政府同时要求大型国防承包商将其网络安全解决方案开发承包给小企业。这样，小型企业就可通过多种方式参与联邦网络安全市场，或者与政府直接签署合同或者帮助大型企业完成小企业再承包配额。

● “为了提供更广泛、更优惠的网络安全资源访问权限，总务管理局（GSA）与国土安全局（DHS）从战略上通过持续的诊断及缓解（CDM）、持续的监控服务 （CMaaS）及一揽子采购协议（BPAs）（参见gsa.gov/cdm）”Code Dx首席执行官Anita D’Amico博士表示。Code Dx是一款软件漏洞评估工具开发者，在网络安全企业500强中名列第15名。Code Dx曾从美国国土安全局获得多个SBIR（小企业创新研究）奖励。

● MindPoint Group是一家专注于IT安全专业服务的企业，在联邦政府领域有着丰富的经验，是一家在Inc. 5000中名列前20的公司，得到业内及客户的认可，例如因其创新云安全工作连续两季度受到NASA的荣誉表彰，并荣登网络安全企业500强榜单（名列第 224位）。MindPoint在华盛顿特区有两个代表处，属于SBA认证8(a)、女性所有（SDB）、经济弱势小企业（EDWOSB）及小型弱势企业 （SDB）类别的企业。通过使用多样化战略，利用多种收购方式如CDM/CMaaS BPA，公司支持多个政府客户包括多个最大的美国联邦机构等。MindPoint Group的服务包括管理安全服务、云安全、FedRAMP合规及IT GRC（管理、风险及合规）。

美国国土安全局2015年的预算为328亿美元。

● 为国土安全局提供382亿美元的非灾难性、净弹性预算权力以保护国家不受恐怖主义分子的攻击，解决关键资本需求、执行核心国土安全功能如交通安全、网络安全、灾难准备以及边境安全。（来源：whitehouse.gov）

● 预算包括5.49亿美元，主要支持EINSTEIN入侵检测及防御系统、持续的诊断及缓解、关键管理网络安全措施以解决针对联邦计算机系统及网络的威胁及 漏洞。这些措施通过国家保护和计划署（NPPD）执行，保护联邦计算机系统及网络免受网络攻击、网络中断及利用，增强国家及地方政府的网络安全能力，并支 持私营部门保护关键基础设施。（来源：whitehouse.gov）

● 预算同时支持联邦网络校园的设计以安置民用网络安全机构，提高政府响应网络安全事件的整体能力。（来源：whitehouse.gov）

美国国家情报计划2015年的预算为456亿美元。

l  为国家情报计划提供456亿美元的基准自主基金以支持国家情报计划并反映协商过程以关注对最关键能力的资助。（来源：whitehouse.gov）

l  预算包括应用网络空间能力保护联邦网络、关键技术设施、以及美国经济，同时提高针对入侵及反情报威胁的情报网络安全；通过广泛使用IT云增强信息共享以在情报信息环境中提高效率并增强数据安全（来源：whitehouse.gov）。

七、全球市场

到2020年，亚太地区在关键基础设施上的安全支出将达到220亿美元。

● ABI Research表示网络间谍及网络战争中的活跃活动影响了亚太地区的民族国家级私营企业机构。数字化的先进行业及新兴知识经济是网络威胁分子有利可图的目标，或与政治理想有关或为了经济利益。

● 亚太地区的关键基础设施支出将在2020年达到220亿美元，ABI Research网络安全关键基础设施市场研究策略报告指出。

● “网络安全市场有很大的差异化。国内供应商将在东北亚市场如日本、韩国及中国出现。然而，外国安全供应商拥有进入东南亚市场的重要机会，尤其是澳大利亚、 新西兰、马来西亚、印度尼西亚、泰国及印度，”ABI Research数字化安全实践董事Michela Menting表示。

● 总部位于新加坡并在马来西亚、泰国、中国、中国香港、中国台湾及日本设有多个代表处的公司i-Sprint是一家为本地区域服务的亚太网络安全企业。i- Sprint在网络安全企业500强中名列第75名，同时在美国拥有代表处，而且是全球金融机构及高度安全敏感环境的首要身份、凭证及访问管理解决方案提 供商。随着亚太地区网络安全市场的持续增长，美国及亚太地区的网络安全企业将会更多注意到彼此，成为渠道及OEM合作伙伴、技术联盟以及分配关系。i- Sprint是一家向美国客户及潜在合作伙伴传达明确意愿的亚太地区企业。现在需要等待的是美国企业对总部或卫星办公室在非美国地区的企业接受度有多 高。

0x0前言

14年11月笔者在百度xteam博客中看到其公开了此前报告给Google的CVE-2014-8507漏洞细节——系统代码在处理经由短信承载的WAP推送内容时产生的经典SQL注入漏洞，影响Android 5.0以下的系统。于是对这个漏洞产生了兴趣，想深入分析看看该漏洞的危害，以及是否能够通过一条短信来制作攻击PoC。

在断断续续的研究过程中，笔者发现了SQLite的一些安全特性演变和短信漏洞利用细节，本着技术探讨和共同进步的原则，结合以前掌握的SQLite安全知识一同整理分享出来，同各位安全专家一起探讨Android平台中SQLite的安全性，如有错误之处，也请大家斧正。

0x1起：食之无味，弃之可惜

鼎鼎大名的SQL注入漏洞在服务器上的杀伤力不用多说，可惜虎落平阳被犬欺，SQL注入漏洞在Android平台长期处于比较鸡肋的状态。比较典型的漏洞例子可以参考：http://www.wooyun.org/bugs/wooyun-2014-086899

虽然Android平台大量使用SQLite存储数据导致SQL注入很常见，而SQL注入的发现也相对简单，但其危害十分有限：在无其他漏洞辅助的情况下，需要在受害者的手机上先安装一个恶意APP，通过这个恶意载体才可能盗取有SQL注入漏洞的APP的隐私数据（如图1）。很多人会说，都能够安装恶意APP了，可以利用的漏洞多了，还要你SQL注入干嘛。正是因为这个原因，导致SQL注入漏洞一直不被大家所关注。

0x2承：远程攻击的大杀器

14年TSRC平台的白帽子雪人提出了一种存在已久，在Android平台却鲜未被提起的SQL注入利用方式：load_extension。通过一些简单漏洞的配合，SQL注入漏洞可以达到远程代码执行的可怕威力。

简单来说，为了方便开发者可以很轻便的扩展功能，SQLite从3.3.6版本（http://www.sqlite.org/cgi/src/artifact/71405a8f9fedc0c2）开始提供了支持扩展的能力，通过sqlite_load_extension API（或者load_extensionSQL语句），开发者可以在不改动SQLite源码的情况下，通过动态加载的库（so/dll/dylib）来扩展SQLite的能力。

便利的功能总是最先被黑客利用来实施攻击。借助SQLite动态加载的这个特性，我们仅需要在可以预测的存储路径中预先放置一个覆盖SQLite扩展规范的动态库（Android平台的so库），然后通过SQL注入漏洞调用load_extension，就可以很轻松的激活这个库中的代码，直接形成了远程代码执行漏洞。而在Android平台中有漏洞利用经验的同学应该都很清楚，想要把一个恶意文件下载到手机存储中，有许多实际可操作的方式，例如收到的图片、音频或者视频，网页的图片缓存等。类似的案例笔者也见到过，如下图远程利用SQL注入load_extension在某APP中执行了恶意的SQLite扩展。

0x3转：攻与防的对立统一

也许是SQLite官方也意识到了load_extension API的能力过于强大，在放出load_extension功能后仅20天，就在代码中（http://www.sqlite.org/cgi/src/info/4692319ccf28b0eb）将load_extension的功能设置为默认关闭，需要在代码中通过sqlite3_enable_load_extensionAPI显式打开后方可使用，而此API无法在SQL语句中调用，断绝了利用SQL注入打开的可能性。

凑巧的是，出于功能和优化的原因，Google从 Android 4.1.2开始通过预编译宏SQLITE_OMIT_LOAD_EXTENSION，从代码上直接移除了SQLite动态加载扩展的能力（如图4）。

虽然有了以上两层安全加固，但Android平台的安全问题往往不是这么容易就能够解决的。和Android平台五花八门的机型和系统版本一样，部分手机生厂商和第三方数据库组件并未跟随官方代码来关闭自身代码中SQLite动态加载扩展的能力，默认便可以直接使用SQL注入load_extension，导致这些手机或者APP极易被远程攻击。

总结来说，利用SQLite的load_extension远程实施攻击，适用于4.1.2以前的官方Android版本，或者是部分手机厂商的机器，又或者是使用到某些第三方数据库组件的APP。客观来看，这种攻击手法的攻击面并不算宽，并会随着高版本Android的普及和手机厂商的代码跟进而越来越窄。

那么除了最直接最暴力的load_extension攻击方式之外，SQL注入是不是又变得一无是处了？在魔术师一般的安全人员手里，不管多么不起眼的攻击方式都可能被用到极致。百度xteam的CVE-2014-8507就是一个很好的例子。

0x4合：一条短信就控制你的手机

接下来，我们回到最开始的问题，如何通过一条短信来控制手机？

事实上在看到CVE-2014-8507后，笔者花费了大量时间尝试在标准Android机器中，通过彩信发送恶意so库，随后通过短信激活恶意so库的方式，来实现控制手机。最终由于SQLite自身的sqlite3_enable_load_extension保护和系统代码其他若干个方面的限制，成功在smspush进程完成SQL注入后，却没有办法进一步利用恶意so库，无法完成正在意义上的控制手机。

另外一方面，百度xteam对CVE-2014-8507的利用已经很精彩，结合WAP推送处理代码的特点利用SQL注入提供数据，完成了打开通过短信任意APP的导出Activity的攻击，结合上其他的系统或者APP漏洞，不难达到真正意义上控制手机的效果。

作为狗尾续貂的补充，接下来和大家探讨一下如何在真实手机中通过自行构造PDU给任何Android 5.0以下机器发送含有SQL注入代码的WAP推送消息。

承载攻击的是WAP推送功能，而正常的短信APP无法通过短信发出WAP推送，通过短信群发等其他运营商提供的短信接口，也无法发出WAP推送消息。笔者通过一段时间对短信PDU格式的研究后发现，在Android vendor RIL之上进行一些修改，普通的手机也能够发出WAP推送消息。下图6的sendSMS函数（http://androidxref.com/4.4.4_r1/xref/frameworks/opt/telephony/src/java/com/android/internal/telephony/RIL.java）在每次发送短信前都会被系统调用，其中的第二个参数我们可以得到完整的原始PDU，通过对PDU内容进行一些修改，我们可以把普通的短信变成WAP推送消息。在此位置进行改动，随后PDU在替换后向底层传之后，也能成功的被基带解析并发送，接收方也能成功的接受并处理。

普通短信的PDU中，包含了信息中心的号码，发送方的号码，接收方的号码，时间戳以及短信内容文本（如下图7）。而WAP推送和普通短信的最重要区别，就是WAP推送承载的是WBXML格式的多媒体消息而不是普通文本，通过修改PDU中的类型标志位并附加上WBXML格式的内容，一条合法的WAP推送消息就能成功的从手机中发出。

为了方便测试和演示，笔者写了一个转换WAP推送的Xposed模块（如下图）。激活后，通过短信APP中发送给任何人的普通短信都会自动转换成包含CVE-2014-8507 SQL注入漏洞的WAP推送，自动打开对方手机的设置界面。关键的PDU处理代码请点击这里下载，请勿用于任何非测试用途。

0x5后记：如何使APP的数据库使用更安全

从2014年腾讯整体漏洞的数据来看，跟数据库安全相关的全部都跟SQL注入漏洞有关。因此，能够封堵SQL注入漏洞，基本上就能安全的使用数据库了。下面结合历史漏洞给出以下几点安全建议供大家参考（如果是腾讯的同学就方便多了，我们终端安全团队为业务定制了数据库安全组件）：

1.   不直接使用原始SQL语句，而是使用具备预编译参数能力的SQL API；

2.   如果一定要使用原始SQL语句，语句中不应有进行任何字符串拼接的操作；

3.   如非必要，记得主动调用SQL API关闭动态加载扩展的能力；

4.   使用数据加密（如SqlCipher）扩展SQLite数据存储的安全性。

0x6相关链接

[1] http://lcx.cc/?i=4428

[2] https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-8507

[3] http://xteam.baidu.com/?p=167

[4] http://www.sqlite.org/cgi/src/tree?ci=trunk

[5] https://android.googlesource.com/platform/external/sqlite/

[6] https://android.googlesource.com/platform/frameworks/base/+/android-4.4.4_r2.0.1/packages/WAPPushManager/

[7] http://androidxref.com

[8] http://www.gsm-modem.de/sms-pdu-mode.html

中美信息与网络安全正在进入一场“冷战”的状态，而虚拟世界已经越来越按照20世纪形成的民族国家体系的界限划分。

谷歌、Facebook、Twitter等全球最大的社交网站已经被一些国家排除在外，现在那些被媒体视为“问题公司”的名单越来越长，包括了思科、微软、IBM这些科技巨头，美国有些提供计算与数据服务的公司，包括一些咨询公司，成为以“国家安全”的名义怀疑的对象。以华为为代表的中国科技公司，在美国一直面临同样的问题。

这些科技公司，真的担负起“国家安全”的使命，真的是政府从事间谍与窃听的“帮凶”吗？

华为轮值CEO徐直军不久前在华为全球分析师会议上回答记者的提问时说：“我们只希望安安静静地做生意，（政府间）关系好的时候不要想到我们，关系差的时候也不要想到我们——我想这也是全球企业所希望的。”我相信中国有许多公司想成为全球性公司，想成为像华为那样成功的公司，都不希望承担起“国家安全”的使命。

这一轮网络与信息“冷战”的爆发，美国人斯诺登的“叛变”是个导火索。“棱镜门”事件至今还没有停止发酵，让许多美国公司“躺着中枪”——想想看，美国国家安全局为什么能够监听那么多国家的政府、领导人、企业、研究机构、个人？人们很自然地得出一个结论，一定是借助了美国公司遍布全球的互联网和信息技术。

但是，那些全球性的信息与网络技术公司，是不可能承担其政府的“安全使命”的。这些公司所提供的是信息基础设施，也是通用的信息与网络技术、产品与服务，全球性公司的命根子是客户的信任，一旦被认为是政府任务的代理人，其生意将会遭受毁灭性打击。

中国与美国都是互联网大国。中国的领导们都梦想着在自己的国土上出现一个“硅谷”，中国最优秀的互联网公司，多数都在美国上市，而这些公司基本上都是学习美国的商业模式，在成长过程中几乎都获得了美元风投。信息网络技术是21世纪产业革命的基础，是引领创新前沿，也是经济增长的新引擎。中美两国都应该避免互相“妖魔化”对方的信息网络公司，避免让两国的高科技公司成为受害者。

21世纪的国家安全观，的确需要在信息网络时代与时俱进。国家与国家之间出于安全的目的，互相搞间谍活动是国与国之间，尤其是大国之间的“潜规则”，大家都只做不说。美国的逻辑挺有意思，政府不得对私人机构展开间谍活动，尤其是政府不应该通过商业间谍活动来帮助本国企业获得情报，因为这违背了正当的市场竞争原则。

但是这样的逻辑无法解释其侵入华为公司的电脑，因为这是对中国一家民间机构的间谍行为，尽管美国声称这是出于国家安全的目的，但把华为阻挡到美国市场之外，客观上帮助了华为在美国的竞争对手，而美国商业利益在国会强大的游说能力是众所周知的。

尽管在网络安全方面尖锐对抗，中国与美国都相信一点：信息技术主宰着未来的创新与新兴产业，代表着各自国家经济的未来，而互联网最大的价值是联结，大数据成为国家新的资源，与传统的油气及铁矿石资源不同，数据资源用得越多，共享越多，越有价值。

中美两国政府应该就信息网络时代的新型国家安全观展开更加深入和坦诚的沟通、磋商与谈判，在国家安全领域制订新的游戏规则，甚至你知我知的“潜规则”：哪些行为是为各自的国家利益，尤其是安全所必须的，包括各种间谍活动；哪些是商业活动，哪些是个人隐私，哪些是商业机密，等等。应该说，将全球带入互联网时代的美国，在这方面做得并不完善，美国一直因为技术先进而有些沾沾自喜，以为在虚拟世界里，自己是唯一的隐身人，可以任意穿堂入室，偷窥别人的隐私。总之，让政治的归政治，让商业的归商业。

美国思科公司的CEO钱伯斯也以一封致奥巴马总统的公开信，指责美国国家安全局（NSA）被媒体报道在思科交付客户的设备上安装用于窃听的装置，并且直言不讳要地求白宫在互联网时代对待国家安全问题要有“新的方法”。