36氪获悉，DevSecOps敏捷安全厂商「悬镜安全」于今日正式宣布完成数亿元人民币B轮融资。本轮融资由源码资本领投、GGV纪源资本跟投，红杉中国继续加持。元启资本担任本轮独家财务顾问。
悬镜安全是36氪持续关注的一家硬科技驱动的敏捷安全公司。其专注DevSecOps软件供应链持续威胁一体化检测防御，旗下原创悬镜DevSecOps智适应威胁管理体系。
据了解，这一体系主要覆盖从威胁建模、开源治理、风险发现、威胁模拟到检测响应等关键环节的开发运营一体化敏捷安全产品，及以实战攻防对抗为特色的软件供应链安全服务，旨在帮助企业组织逐步构筑一套适应自身业务弹性发展、面向敏捷业务交付并引领未来架构演进的内生积极防御体系。国际上，悬镜的同行企业Snyk在2021年连续融资E、F两轮，总融资额达到14亿美金。
公司创始人兼CEO子芽向36氪介绍，悬镜在近一年中的业务进展主要体现在核心产品研发、原创技术开源和商业化落地等三方面。
首先在产品架构上，悬镜目前打造了较完整的体系，主要包括一款全流程平台和四款CI/CD工具链产品。其中平台是夫子DevSecOps全流程安全赋能平台，工具链包括源鉴OSS/Open SCA开源威胁治理、灵脉IAST灰盒安全测试、灵脉BAS智慧威胁模拟和云鲨RASP自适应威胁免疫。
谈差异化能力，36氪观察到至少从2020年起，业内专注DevSecOps的公司日渐增多，不少企业也多从IAST入手提供产品。对此子芽介绍，当前悬镜的IAST产品在开发语言的覆盖和检出率精准度上均具备明显优势，在信通院2021年的《中国DevOps现状调查报告》中，其IAST产品以5.84%的市场占有率排名第一。而之所以能做到这样的效果，其表示，在关键技术路线上，悬镜产品采用具备真正自适应能力的原创代码疫苗技术，通过轻量级插桩探针深入应用内部，结合自学习分析引擎，可以在准确理解情境上下文的基础上快速识别应用自身缺陷和安全风险。
另外，公司还在去年发布了RASP产品，通过“单探针”策略，使用户只需要在应用中部署一次探针就能获得IAST和RASP的双重能力，在降低客户部署成本的同时快速提升业务应用的自我安全防御能力。在SCA层面，随着开源软件在全球范围内的流行，开源软件安全的重要性也随之提升。对此，悬镜也在2021年正式对外开放Open SCA开源社区，用开源的方式做开源治理，并同时对外提供开源版本和企业版本的SCA产品。子芽介绍，之所以要针对SCA打造开源社区，是希望全球有更多开发者用户在编码阶段就可以更好的使用创新的SCA技术来做开源治理，更好地实现安全前置。
另外在商业化上，子芽介绍，当前客户会根据自身的差异需求选购悬镜的多样化产品。当前，公司的企业客户包括中国人民银行、中国银联、中国银行、中国工商银行、浦发银行、重庆银行、广州农商银行、苏州农商银行、浙商银行、SHEIN、中国平安、中信建投证券、上海证券交易所、中国石化、中国石油、中国电信研究院、中国移动研究院、中国联通研究院、中体彩、人民网、国家电网、北京大学、中兴通讯、中国工程物理研究院、小鹏汽车、东风日产、长安汽车、中国汽车研究院、南方航空等众多行业标杆用户。在整体数量上，悬镜当前的企业客户已经达到数百家。
从开发源头做敏捷安全治理
谈及行业驱动因素，公司介绍，从开发源头做安全风险治理已经成为愈发多企业保障软件供应链安全的刚需。
具体数据上，根据第三方权威调查，接近92%的已知安全漏洞都发生在软件应用程序中，且应用中每1000行代码至少出现一个业务逻辑缺陷。此外，78%-90%的现代应用融入了开源组件，平均每个应用包含147个开源组件，且67%的应用采用了带有已知漏洞的开源组件。反观现状，公司介绍目前绝大多数企业用户对业务应用漏洞的发现除了内部自测以外，多半源自外部第三方安全研究人员或安全厂商。整个软件开发生命周期中，不同阶段修复安全漏洞的成本差距显著，研发测试阶段与线上运营阶段的修复成本甚至能够相差数百倍。因此，前置安全工作，把漏洞风险及开源威胁消灭在萌芽状态，防止应用带病上线，保障软件供应链安全十分迫切且必要。
针对这种情况，悬镜安全旗下明星产品之一灵脉IAST灰盒安全测试平台，作为悬镜DevSecOps智适应威胁管理体系中上线前测试环节的应用风险发现平台，通过新一代全场景实时数据流情景分析技术，如运行时应用插桩（含动态污点追踪及交互式缺陷定位）、终端流量代理、旁路流量镜像、主机流量嗅探、启发式爬虫、Web日志实时分析等和原创AI启发渗透测试技术赋能传统IT从业人员，在甲方用户的组织内部快速建立安全众测模式，使传统安全小白（如研发、测试、QA等）完成应用功能测试的同时即可透明实现深度业务安全测试，运行时动态监测开源风险，精准覆盖95%以上中高危漏洞，有效防止应用带病上线。
用智能攻防来度量安全有效性
另外，攻防对抗是网络安全建设过程中永恒的主题，是检验现有安全体系防御应对未知威胁成效能力最为直接的方式。这其中的手段包括持续的安全众测、不定期进行攻防演练并辅以配套的检测响应手段等。
针对这类需求，悬镜安全旗下另外一款明星级产品灵脉BAS智慧威胁模拟平台，作为悬镜DevSecOps智适应威胁管理体系中运营环节的自动化威胁模拟和安全验证平台，在国内创新实现“AI+威胁模拟”的智能攻防演练机器人系统，将安全专家在大量渗透测试过程中积累的实战经验转化为机器可存储、识别、处理的结构化经验，并且在自动化测试过程中借助人工智能算法不断进行“自我思考”和逻辑推理决策，以贴近实际专家渗透测试的方式，对给定目标进行从信息收集、扫描探测、漏洞发现、漏洞利用、后渗透到持续验证的整个完整入侵模拟和安全度量过程，持续检验甲方用户现有安全防御措施的有效性，从“真实黑客”视角持续动态评估目标组织的安全态势，并大幅度弥补安全人员水平参差不齐和效率低下的问题。
以代码疫苗赋能业务出厂免疫
而且，随着云原生技术的迅猛发展、应用开源的快速普及和DevSecOps实践的规模化落地，网络安全正在经历从边界安全到端点安全、再到应用安全的发展演进，下一代应用安全的技术重心将是运行时情境感知。
悬镜安全“积极防御”体系中的关键产品之一-云鲨RASP自适应威胁免疫平台，作为悬镜DevSecOps智适应威胁管理体系中运营环节的检测响应平台，通过专利级应用漏洞攻击免疫算法、运行时安全切面调度算法、Webshell深度AI检测引擎及纵深流量学习算法等关键技术，实现RASP与IAST关键技术深度融合，将主动防御能力“注入”到数字化业务应用中，借助强大的应用上下文情景分析能力，可捕捉并防御各种绕过流量检测的攻击方式（如分段传输、编码混淆变形、应用内存马等），提供兼具业务透视和功能解耦的内生主动安全免疫能力，为业务应用出厂默认安全免疫迎来革新发展。
公司DevSecOps研究最新实践成果
综上，结合多年的敏捷安全落地实践经验和软件供应链安全研究成果，子芽表示悬镜安全探索出一套基于原创专利级“敏捷流程平台+关键技术工具链+组件化软件供应链安全服务”的第三代DevSecOps智适应威胁管理体系。
图1：悬镜第三代DevSecOps智适应威胁管理体系
公司介绍，这一体系作为DevSecOps全流程敏捷安全赋能平台，从构筑之初就注重技术落地的柔和低侵入性，从驱动DevSecOpsCI/CD管道持续运转的几大关键实践点入手，通过对威胁建模、开源治理、风险发现、威胁模拟及检测响应等关键技术创新赋能企业组织现有人员，旨在帮助用户逐步构筑一套适应自身业务弹性发展、面向敏捷业务交付并引领未来架构演进的内生积极防御体系。
整体谈及公司理念，子芽表示，安全的本质是风险和信任的动态平衡，悬镜一直在帮助甲方用户更好地拥抱变化，更快速地适应云原生技术普及，做好内生敏捷安全。其还提及，相比过往传统的原生软件应用，一个很明显的技术趋势是，未来绝大多数被发布出来的数字化应用将是安全可信的，原因是这些应用可以借助代码疫苗技术的能力，实现应用自身缺陷和风险的自发现和外部未知威胁的出厂免疫”。
图2：DevSecOps敏捷安全工具金字塔v2.0
另外，悬镜也会根据每年的研究和实践，持续完善DevSecOps敏捷安全工具金字塔，旨在达到既预测未来DevSecOps关键技术演进的路线，又为业内组织后续的体系化安全建设指明方向的效果。
最后谈及最新业务规划，子芽表示，本轮融资后悬镜将进一步深化在中国软件供应链安全关键技术的创新研发，及上下游产业生态的布局，希望凭借下一代敏捷安全框架，在DevSecOps敏捷安全、软件供应链安全和云原生安全等新兴应用场景下打造闭环的第三代悬镜DevSecOps智适应威胁管理体系。并且，公司还计划持续升级在华北、华东、华南、华中、西南、港澳等地区的规模化产品服务交付和运营能力，深度覆盖金融电商、能源电力、智能制造、电信运营商及泛互联网等企业级安全市场。
关于投资：
本轮领投方源码资本合伙人黄云刚表示：“DevSecOps是云原生大背景下安全敏捷化的必然趋势。以威胁管理为中心，整合多种工具链，DevSecOps体系能够帮助企业把安全贯穿于开发到运营的软件全生命周期中，必将成为企业数字基础设施的重要组成部分。我们看好悬镜安全在DevSecOps领域的技术前瞻性，悬镜的产品也已经获得了多个行业重要客户的认可。期待悬镜能在IT基础设施加速云化、安全环境日趋复杂的未来为客户创造巨大价值。”
本轮跟投方GGV纪源资本管理合伙人李宏玮表示：“随着数字化和智能化的深入，软件和应用程序不断加快迭代周期和上线速度，敏捷开发和开源也被广泛应用。在软件的生命周期中，修复漏洞的成本随着发现阶段的进程呈几何级增长，目前缺乏有效的产品在代码开发阶段和上线前做出高效检测。悬镜的产品正是为此打造，且已经在大量头部客户中积累了良好的口碑。GGV看好这支年轻团队，并将长期支持公司发展。”
PreA轮独家领投方红杉中国董事总经理翟佳表示：“将安全嵌入DevOps流程形成DevSecOps，符合当前的敏捷开发需求趋势，使得安全可以‘左移’和‘右移’。DevSecOps渗透至研发到运营整个软件生命周期，与软件供应链安全息息相关，可以有效帮助企业在软件开发阶段实现数字化应用漏洞的自动化检测与修复，进而大幅降低业务安全成本和风险，这是网络安全的新兴重要发展方向。在这一领域不断深耕的悬镜具有确定的领先优势，构筑了较深的行业壁垒，并且业务进展迅速，拓展并沉淀了不少行业高质量标杆客户，发展前景长期看好。”
