四叶草马坤：安全并非产出服务，所以赚钱会慢一点

2012年马坤和几个朋友创办四叶草安全公司时候，是个三无公司，没有项目，没有客户，没有人。

2015年12月，四叶草安全宣布获得3000万元 Pre-A轮融资，投资方为浙江如山资本。

时隔两年，在 2017 年最后一个工作日，四叶草安全宣布完成 6700 万人民币的 A 轮融资，由基石基金领投，鲁信创投、如山资本等跟投。

“2015 年融资后，我们一直没有跟资方对接，直到 2017 年七八月份的时候，为了一些后期发展才开始筹备，相对来说整个融资过程比较顺利。”马坤告诉雷锋网(公众号：雷锋网)宅客频道。

这是一种缘分，马坤把四叶草安全与资方的碰撞如此形容，“相比 base 在北上广的公司，落户西安的四叶草资源可能会少一点，被认可更多的是我们的创业理念和价值观吧。”

事实真的如此轻松吗？

▲马坤

安全行业赚钱难？

“安全公司起初都比较难赚钱，原因是这并非一个产出服务，而是做保障的，所以会慢一些。”

四叶草创立五年，至今年 9 月份才开始盈利，之前基本略有亏损。“因为我们早期一直在做外包服务，就是接活儿做项目，公司没有市场和销售，所以整个利润相对较薄，投入又较高。”

马坤也坦白在 Pre-A 轮融资前出现过多次发不出工资的情况，不过每次快发不出工资时，就会接到几个项目。

“我们的运气比较好。”

雪中送炭未必不好，但终究不是长远之计。

而目前无论是党政军以及一些大型企业，面临的数据跟踪、商业竞争背后黑客的驱动力越来越大，客户需求慢慢变成刚需。再加上《网络安全法》推出，企业安全投入开始增多。对于企业来说，安全并非产出服务，但它可以保障企业不被黑客行为伤害造成商业损失。

“我们要做的就是给企业看病，这是我个人以及我们团队喜欢做的事，所以并没有急于求成。公司成立到现在这五年，我们抱着一种喜欢并对未来比较有信心的心态，一直在坚持。”

从开始靠外包养活小团队，再逐渐扩大团队，承办 CTF 比赛和完善全时风险感知平台 Bugfeel 等产品，从亲自跑客户到现在招了几个销售市场人员，四叶草从仅能够养活自己开始慢慢盈利。

产品如是

想在检测领域做强做深并不容易。

如果说四叶草安全最初发布的基于社区的分布式漏洞扫描平台 Bugscan 是通过社区汇集多种黑客思维，并将这种黑客思维进行数据建模，然后将模型输入到产品顶层，以此实现产品初步的互联网特性。

那么接下来从一个免费的分布式平台，过渡到一个商业化的产品则较为困难。

之前的产品使用者是黑客、发烧友以及安全爱好者们，后期则要让甲方客户理解，这两种思维方式显然不一样。对于黑客来说，简单，迅速，直接，准确发现问题十分关键。

“甲方则会要求更为丰富，比如文档、报告，还有一些格式化的东西，以及提案，所以我们在很长的时间内对产品进行了优化，包括对报告的优化，对界面的优化，以及对客户提案的优化，还有对用户理解模型的优化。”

当然，这一“联动”的计划在转型中面临从黑客思维转向甲方思维，“很多时候我们认为这个应该这样做，但是客户认为那样做。所以需要我们在中间取一个折中点，既保留自己的特色，又让甲方可以接受。除此之外，我们的团队成员多是攻防技术出身，没有甲方的工作经验。所以在这一环节中，我们陆续从甲方挖了一些人解决问题。”

竞争与合作

事实上一些大厂也有漏洞扫描平台，竞争绝不会少。

但在马坤看来，自家的“娃娃”是有个性的，这种个性更多是在行为层面发现用户的漏洞，而不单纯的依靠特征。

传统厂商的漏洞扫描平台多依靠特征发现一些漏洞，即针对一条条呆板的规则进行比对发现，可以把它理解成杀毒软件扫描病毒的方式。

而四叶草通过多年的安全服务项目和社区，集成了大量的黑客行为模型，并把这种模型加之以特有算法，初步实现了一些人工智能，然后让产品自动化的模仿人的行为，发现用户漏洞。

模型的搭建少不了数据支持，马坤告诉雷锋网宅客频道，四叶草得到的这些数据依托之前搭建的分布式漏洞扫描社区，目前注册人数超过两万，每天活跃人数500-1000人。这些白帽子会在社区发布如何验证漏洞的插件，而这些插件即四叶草所收集的数据，也就是黑客行为模型。每天所能收集到的二、三十个插件就是模型更新迭代的“原料”，马坤也将这种方式比作“互联网的众筹模型”。

当然，有竞争也会有合作。

对于主机层面的漏洞扫描，更为需要特征，而对应用层面的漏洞扫描，行为则更为重要，所以四叶草也会与同行进行互补，联合做项目。

但马坤明确表示不准备在主机检测层面投入过多精力。

“因为目前黑客的攻防，很多都是从网站或者平台着手的，如果以房间相类比，窗子或者房间内部的某些家具会成为其率先着手突破的入口，这些家具相当于一些应用。而整个地基，或是横梁可以比作操作系统，黑客对这一层面投入并不如前者。”马坤对雷锋网说道。

作为聚焦 Web 以及应用层面检测的四叶草在这轮融资之后也将对产品进行一些细分。比如可能按照行业去划分，或者为客户进行定制，做出不同的版本。

“现在我们主要客户是政府运营商、金融，互联网企业，我们会按照现有的几个行业进行划分。因为每个行业用户使用的操作系统，数据库，以及它的网络环境，资产种类是不一样的，而我们有了很多客户案例，现在正在做这种产品的划分。”

。