长亭科技陈宇森：我打破的四个质疑

在雷锋网(公众号：雷锋网)编辑的认知里，人这辈子有一件事很难做到：不在意别人的眼光。

其次最难做到的是，面对别人的质疑，顶住压力，用事实证明别人是错的。

后者更让人心累。

但后来，雷锋网发现，在商业的世界里，人不可能不在意别人的“眼光”和“质疑”，相反，只有推翻这些更让人心累的不认可，才可能在这个世界里达到商业目标。

让编辑产生了这个感悟的是长亭科技（以下简称长亭）的 CEO 陈宇森。这个才二十几岁的青年的履历闪着光：他曾免试保送进入浙江大学竺可桢学院求是科学班，从学生时代开始就进入网络安全攻防领域，而他创办的长亭科技的核心成员大多出自业界赫赫有名的蓝莲花战队。

去年 6 月，长亭宣布完成数千万人民币 A 轮融资，启明创投领投。

7 月 13 日，长亭正式宣布其完成亿级 B 轮融资，投资方为经纬中国。同时，长亭发布了两款新产品：扫描器产品洞鉴（X-Ray）和云主机安全产品牧云（CloudWalker）。而且，牧云将于 9 月底正式开源。陈宇森认为，这是长亭成为国内第一家实现软件产品开源的网络安全公司的标志。

一个星期前，雷锋网就获悉了这个消息。“闪光”的前黑客、现网络安全创业者陈宇森讲述了 B 轮融资背后，他和团队艰难打破的四个质疑。

口述：陈宇森 ｜整理：李勤

“曾梦想仗剑走天涯，看一看世界的繁华”，这是我们从校门走出后的初衷。

长亭科技最早的四个联合创始人都来自蓝莲花战队，2014 年、2015 年几乎包揽了全球所有重量级网络安全大赛的前三名，也是中国首支入围 DEFCON CTF的团队。此外，在 2016 年“315”晚会上，长亭还是智能摄像头、POS 机破解的技术支持方。这就好比一群怀着雄心壮志的年轻人在山里练了几年剑，剑法还不错，取得了一些成绩。

我们的创始团队很年轻，既有国际化视野，又有顶级的攻防和计算机思维，还有扎实的计算机功底，后续招来很多人也拥有多年的计算机科学的系统培训背景。我们希望用更底层的技术或者是更优美的算法，而不是一个冰冷的规则解决网络安全问题。我们想构建智能化、制度化产生有效信息的产品，用智能的手段帮助企业构筑层层防线，“化繁为简，智能安全”就是我们的理念。

最早外界对我们的评价是——“技术不错的学生团队”，但怎样从这个起点出发，将技术转化为产品，开拓市场，奠定品牌，打破外界的固有印象，成为一家做得还算不错的创业公司？我们现在做到了，但这个过程让我觉得“纸上得来终觉浅，绝知此事要躬行”。

在过去很多年里，我们面对了大量的质疑。

质疑一：年轻团队技术能否落地，颠覆成熟系统？

公司刚成立时，已有 IDS、WAS 这样超过十年的系统。当时，这样的系统被认为在效率和可用性上保持了最佳的平衡。

“你们是很年轻的团队，怎么能颠覆这样成熟的系统呢？”有人提出。

我们最早的办公地点在清华科技园，就在孵化器里占了几个工位，后来搬进一幢民居里，有点像美国的车库创业，几个醉心技术的年轻人有时甚至吃睡都在公司。大家生活在一起，对于技术的讨论贯穿于整个创业初期。

那时，我们既打一些比赛，又做早期的技术研究。还用了行业里面比较热的大数据、机器学习的方法，想要在海量的外部流量攻击检测中做一些创新，碰了很多壁。团队很小，我们过得很艰苦，但在技术研究方面很有冲劲。

功夫不负有心人，2015 年，我们成功想办法解决了外部攻击里复杂度最高的 SQL 注入攻击，基于这样的方法，在极其复杂和庞大的数量级下，我们将误差控制在了 1 %以内。

当年，我们针对这个成果做了两个对外的演讲，一是在 2015 年的阿里安全峰会上，我讲了《SQLCHOP》的话题，引起了业内的关注。另外，在 2015 年全球网络安全顶级会议之一的 Blackhat USA上，也进行了演讲，当时国内极少有团队能登上 Blackhat 的演讲台。

在这个领域解决了最难解决的 SQL 注入问题后，我们认为剩下的一些问题可以用时间来印证。

质疑二：有没有初期商业化能力？

解决了技术问题，证明可以在技术领域创新。我们又面临了另一个质疑：你们只是一个网络安全比赛领域的强队，打打比赛，拿一些冠军。但一群每天对着电脑的 geek，会服务客户、拓展市场吗？

当时国内某个大公司的大佬跟我说，你们肯定活不过一年。

年轻人不服输，我们当时的想法就是，怎么着也要活一年吧。

我们先用了免费拓客的方式获取客户，给客户签协议服务，客户认为比较好，我们再签合同。因为我们的服务早期效果比较好，客户认为比传统的供应商好很多。所以，同年我们拿到了天使轮真格基金 600 万人民币的融资。

质疑三：能否产品化？

网络安全领域纯服务化的公司增长幅度有限制，产品边际成本低，规模效益强，在我们克服了技术创新和盈利能力这两项难题后，迎来了第三个问题。

有人质疑说：你们是依托人的服务，长久的成长不可保证。你们都开始融资了，要有很高的增幅，后面资本才会有更多的投入。很多大安全公司进行技术并购，你们又年轻，也获得了一些成绩，卖掉算了吧。

对我们而言，产品这条路是要走下去的，我们最早的创新是做更好的产品帮客户解决问题，如果我们不做，对客户也没法交代。如果刚开始我们给自己定了一个大目标，感觉不舒服就不走那条艰难的路了，这样是不对的。

2016 年初，整个公司挖来了很多技术顶尖的精英人才，力图打造一支精英化团队。这类人喜欢灵活的作息，中午 12 点来公司，晚上 12 点下班。当时，我们把这一帮很厉害的人压制到必须早晨 8 点来到公司，晚上8、9点再走，每天都是这种小黑屋模式。

我们心里有一股气，觉得为什么会做不出来？

大家按照已有的经验，踏踏实实地做了大量功课，每天多花一些时间，最终从技术引擎成功迭代到商业产品，整个过程用了大半年。最终，我们在 2016 年 7 月发布了两款产品，一款是基于人工智能语义分析的下一代 Web 应用防火墙雷池（SafeLine）; 还有一款产品是谛听（D-Sensor），它利用了伪装欺骗的新理念，在客户内网做一些威胁捕获，这两个产品都在 2016 年 7 月发布，我们成功闯过了这一关。

我们现在推出的是“洞鉴”与“牧云”。

在做“洞鉴”之前，我们对互联网金融、传统金融、券商，以及保险这些行业客户做了深度调研，并且对其中 40 家客户做了上门走访，走访的结果跟我们预想的结果差不多，大型的客户目前都已经采购了类似的产品，有的客户甚至采购了很多家厂商的产品。客户觉得，某一个指定的产品满足不了它的需求，所以需要采购很多家的产品满足多方面的需求，同时在功能上做一些补充。

这表明目前类似的产品依然存在一些缺陷：无法扫描关键的漏洞；误报很多；结果不够丰富；用原来的扫描技术和原来那套扫描方式扫描现在比较新的网站，完全搞不定；对 0Day 支持非常弱。“洞鉴安全服务系统“以产品的形式自动发现一些企业的漏洞，它在上述六个方面做了比较好的优化。

私有云、公有云跨距叠加，日益增长的“多云”企业意味着更多的服务器工作负载建立在混合云数据中心的基础上。云环境日渐复杂，当企业实施了混合云数据中心，多层架构的工作负载环境让持续联动的安全更加困难，并不可避免地的走向难以管理，随之产生的风控及合规等相关安全需求也日渐棘手。

扫描器可以从外部发现安全网络可能存在的风险，牧云则是一个基于 Agent 的对云服务器工作负载安全平台，在服务器内部，以探针的方式安装在服务器上，用探针去做一些数据统计，统计服务器内部有没有发生风险攻击。

质疑四：产品可以规模化吗？

我们有攻关新技术的能力、为客户服务的能力、将技术产品化的能力，在这些能力都具备的情况下，如何做到规模化？

中国的市场还是比较难做，可能会遇到各种各样的潜规则和壁垒。对年轻的团队而言，大家觉得你们做不了规模化，做到这样已经很不错了，后续的增长肯定是放缓的。

有人对我说，你们对销售一无所知。

我是搞技术的，2015 年开始参与公司的销售工作，那段时间我也被打击过很多次。尤其在团队发展的早期，我在一个关键决策人的办公室外等了一两天。为了一个可能不是那么准确的销售机会，我们从北京飞深圳、上海，一个又一个希望破灭后，对一个原来天天写代码，每天获得稳定成就感的人而言，这是一种让人怀疑人生的打击。

无论是做安全还是写代码，获得的是一个稳定的产出，但销售是一个纯结果导向的职业，你没有拿下一单就是没有拿下，没有拿下就没有任何的成就感。

我很痛苦。

后来，明确了公司的销售风格以及以技术导向解决问题的风格获得客户的认可之后，通过口碑的传播，我们积累了一批又一批非常漂亮的客户案例。

对任何企业而言，赚钱是生命线，大家不会认可不赚钱的企业。无论是二级市场还是一级市场，体现我们能力的目标点是，销售额的增长是多少？从 2015 年的一点点，到 2016 年、2017 年、2018 年，我们销售额的增长率超过 300 %。如果今年销售目标能够完成，我们会超过一个“小目标”。

via 雷锋网

。