肖新光：大戰略基石——美國信息安全產業格局的解析

編者按：孫子兵法雲“知己知彼，百戰不殆”。在中美網絡安全領域“斗而不破”的遏制與反遏制、打壓與反打壓博弈中，對美方的戰略、能力、產業、技術等進行全面綜合的了解至關重要。但遺憾的是，過去中方的視角長久的放在關鍵基礎技術領域，放在微軟、英特爾、谷歌、蘋果等廠商身上，卻忽略了美國產業體系中一股強大而獨立的力量，其信息安全企業星群，他們也同樣是美國全球戰略能力的基石。

在網絡信息攻與防的雙方向上，美國均擁有著全球最頂級的巨大威懾力和他國看似無法企及的戰略優勢，而來自中國的觀察者易於犯的錯誤是——既伴著內心深深的憂懼，對這種戰略優勢進行著輕率地道義層面批判，卻缺少對其核心支撐點——信息安全產業的深入而系統地分析。

美國信息安全產業並不是一台生冷而高聳的巨型兵工廠或商業機器，而是一組生動、富有理想與活力的企業符號。長期以來，國內對這些企業符號充滿了疑問和不解，一方面，是其傳統的巨頭Symantec、McAfee等始終屹立不倒﹔另一方面則是新興企業與新興技術此起彼伏。巨頭型廠商厚重全面的解決方案與獨立安全廠商的新概念、新產品交相輝映，令觀者應接不暇，更令把美國當作信息化和信息安全建設標尺的各國政府和行業用戶茫然無措。

但如果我們把這些企業的規模、並購關系、技術領域、市場范圍以及與美國政府的關系，完全羅列開來，進行梳理的時候，就會發現他們並非如突兀墜落在平原上的巨型隕鐵，而是有著鮮明的層次和關聯的大戰略基石。

一、美國信息安全產業格局的層次分析

一如美國在其他信息產業領域的優勢一樣，以Apple、Google、IBM、Microsoft、Ora-cle、Cisco、Qualcomm、Intel、Facebook（按市值排序）等為代表的基礎信息巨頭同樣在信息安全產業架構中扮演著寬闊而堅實的地基。其穩居全球供應鏈的頂端位置、進行大量的信息聚合和創造、改變全球用戶的工作和生活方式，其一方面構成美國全球戰略威懾能力，同時又能反過來游說院府影響美國的政治走向。而透過斯諾登事件，公眾們亦知道了，他們與美國的龐大國家機器微妙互動，強化了后者覆蓋全球的情報能力。由於這些企業規模龐大、市值往往以千億美金衡量，並持續進行並購，不斷擴容體量，我們可以稱其為信息“寡頭”企業。

在這些寡頭層次之上，則是信息安全產業的巨子們Symantec、McAfee、Trend micro（趨勢），他們市值數十億美金乃至數百億美元，盡管這些企業均從反病毒起家，但經過多年發展和持續地兼並重組，其產品跨度已經形成完整的從流量到端的解決方案能力、並向集成、存儲、雲等安全關聯的各方面擴展，產品用戶覆蓋全球。對中國類似石油、電信、電力等關鍵行業來說，選擇其產品曾長期被視為“政治正確”的選擇。

而對更多的安全廠商來說，其依然專注於系統安全、網絡安全或其他安全技術的某個窄帶領域，可以稱其為專業安全廠商或獨立安全廠商：

表 1 一些具有代表性的美國專業安全廠商技術領域分布

美國專業安全廠商，除了具有單點專注的特點外，大多不僅服務於美國用戶，也堅定地追求著全球市場。他們是全球網絡安全技術發展的風向標，他們享有“美國制造”的國家品牌帶入感，引導著信息安全創新的話語權。但同時他們與寡頭和巨頭企業不同的是，他們執行更為穩健務實的市場政策，駕輕就熟地尋找當地國家的集成商和掮客企業，通過OEM繞過當地政策和法制的保護，如國內很多場合的“國產”防火牆招標就是Fortinet（飛塔）等美國品牌的“貼牌產品”內戰。

隨著市場發展，這些獨立安全廠商既具有成為新巨頭的潛質，同時也有被巨頭收購，成為其解決方案中一部分的可能。

而由於美國瞄准全球市場的安全廠商和明星過多，亦掩蓋了若干隱形的冠軍和一個特殊的市場，即面向其政府和國家機器用戶的專用市場。而其中又呈現出兩個企業群落，即專用技術企業和承包商。

專用技術領域，是和美國國家機器作業關聯密切的技術服務領域，包括入侵取証、數據恢復、數據分析等，這些廠商有的是獨立廠商，也有的是巨頭廠商或其他大型傳統企業（甚至是非IT企業）的一部分。大數據分析的明星企業Palantir作為美國官方的御用安全企業，是這個產業群體的代表之一。

而承包商則往往是更深入情報作業的直接參與和執行者，類似斯諾登所效力的Booz Allen Hamilton、信號分析處理廠商Argon ST、面向C4I系統的網絡安全服務廠商Gnostech Inc等。在這個層次上，我們可以看到美國信息安全思想與其國土安全觀和全球戰略能力的融合。這些廠商不止服務於專用網絡信息系統，也服務於關鍵工業生產、軍事裝備等領域。安全思想通過這種服務，深達到更多的關鍵層次領域，達成虛實結合、網電一體。信息安全概念、意識和方法也同時擴散到社會基礎、國土安全和軍事體系的全景縱深。

通過圖1我們可以看出，盡管美國信息安全企業技術領域繁多，投資關系復雜，但這其中幾條邊界非常清晰。

●基礎寡頭和獨立安全廠商的邊界：盡管傳統寡頭廠商不斷兼並獨立安全廠商以擴大體量，但我們看到的是其既未導致“獨立安全廠商消亡”而構成對自由競爭的傷害﹔同時也沒有改變寡頭廠商的原有軌跡——他們依然堅定扮演集成服務提供商或者網絡服務提供商的固有角色。如Google絕不會因為兼並Virustotal（多引擎掃描服務提供者）和Zynamics（安全分析工具軟件制造商）而變成一個在安全市場上有所動作的廠商。無論規模大小，美國廠商通常都具有簡單清晰的模式與價值觀。

●開放市場和專有市場的邊界：從某種意義上說，以全球市場為目標的美國獨立安全產品廠商專注而窄帶，使其不會向與國家機器的情報體系“過從甚密”的方向游移，從而導致傷害其面向全球用戶的信任力。而專有市場的存在，亦既有助於形成美國獨有的國家安全作業能力，避免信息外泄，同時，也保証這些廠商不必在全球市場收益和美國官方訴求間徘徊，而可以堅定地如被Fireeye收購之前的Mandiant一樣，在中美大國博弈間，充當非官方的技術喉舌（而即使這種並購發生后，Fireeye也在努力強調“M部門”與Fireeye本體之前的區別）。從這個意義上說，這個層次不僅是一個商業層次，也構成了大國話語權博弈的立體縱深。

●政府、軍方與承包商的角色與關系：圍繞軍方和情報機構承包商體系是重要的美國商業文明特色，其在具體的情報作業層面，彌補了國家機器本身的人力不足，遏制了大政府傾向，而同時也形成了一個獨有的信息層次屏障。盡管出現了斯諾登事件，但我們依然要看到，在充分利用信息的聯通和共享，主動國家安全能力提升的思路下，承包商層次其實在很長時間扮演了一個信息和作業中間帶的角色。同時也可以看到，這些承包商（包括部分專有市場廠商），往往由前軍政界人士發起或者擔任高管，其也建立了一種約定俗成的合法利益輸送層次（旋轉門），形成了一種既同謀共贏、又不傷害美國國家能力的特殊（而且是合法的）政商關系。

這個看似嚴謹又充滿活力的龐大體系，並不是某種計劃經濟的產物，也不是某屆或某幾屆總統班子馬基雅維利式先驗設計的結果。而是在其“企業自由”的立國支撐點下，持續遵循內部自由競爭、對外強力輸出的產物，可以概括為“頂層設計、自由生長、建立規則、強化優勢”。

二、領跑者：巨頭的形成與價值

美國作為計算機和互聯網的本土，在上世紀80年代的個人計算機革命中，亦誕生了一批其早期安全企業，這其中就包括了被稱為信息安全傳統三大的Symantec、McAfee和Trend Micro（盡管Trend Micro自詡為治理結構跨美、日和台灣地區的國際廠商，而並不完全是美國廠商，但其根本上還是獲益於美國的土壤和產業機會，並也在硅谷信息安全群中扮演重要角色）。

他們的共同特點都是創建於上世紀80年代，在反病毒領域獲得了產業認同和早期價值最大化，而逐步成為擁有了上萬名員工、十億美金量級的銷售額的企業巨人。他們當初在反病毒領域獲取第一桶金並不偶然，信息安全市場有兩個最重要的最成熟的領域，一個是以反病毒為代表的系統（主機）安全領域，一個是防火牆（安全網關）為代表的網絡安全領域。這兩類產品都是在與主流威脅對抗中不斷改進成型，並逐步具備了共同特點，即經過基本的安裝配置部署后，就自行成效，可以不經人工干預而產生效果。而相比之下，類似IDS、掃描器等對使用者的能力和精力有較大依賴的產品，均未能形成較大市場規模。

病毒的威脅在上世紀80年代下半期即快速到來，因此主機安全技術的商業化，要比網絡安全技術早了十余年。但 “三大巨頭”並非唯一的先行者，上世紀80年代末、90年代初，反病毒企業在全球如雨后春筍般浮現，反病毒核心技術“反病毒引擎”的第一技術平台此時亦並不在美國，反而是由 Kaspersky和Dr.Solomon為代表的歐系廠商佔據，與美國廠商呈現爭鋒之勢。在這種對壘中，美國國內市場龐大的內需、資本市場的澎湃活力所帶來良好融資能力、以及全球市場的布局輻射，讓尚在幼年的“三大”站上了巨人肩膀。他們紛紛較早躍上美國資本市場，並開始了持續的並購之路。使之從單一反病毒廠商發展為綜合性的全領域解決方案的廠商。在這個美國企業能力不斷強化，歐洲企業一邊頑強創新、一邊退守自保的過程中，Dr.Solomon很快被McAfee收購，而McAfee則完整獲得了其先進引擎能力。而卡巴斯基雖然也穩健發展，成為俄羅斯IT的旗幟性企業，同時也成為俄羅斯國家安全的支點企業，但從商業上看，其並未成長為可以在市值（估值）和國際市場覆蓋能力上與“三大”比肩的巨頭。

傳統“三大”與美國情報體系是否有密切的互動？目前尚未有公開資料可以証明。如從公開資料上看，至少沒有証據顯示他們參與了“棱鏡”計劃，但棱鏡更多是NSA與具有內容和關系價值的互聯網巨頭廠商的合作。而安全廠商自身的資源更多是安全事件、端設備環境和流量行為的信息，顯然從這個層面上，作為安全廠商的情報價值是不夠的。但傳統“三大”對全球行業用戶的部署到達能力、端和流量的結合手段、與作為安全廠商進行數據採樣提交方面的用戶先天容忍度，又有獨特的情報優勢。如果我們關注《Symantec互聯網安全分析報告》，我們就同樣可以看到能夠採集這些資源所依托的巨大部署規模，以及這些信息所投射的戰略價值。

三、專業安全廠商的創新迭代與創新方法

在美國獨立信息安全企業的星群中，最富有魅力和研究價值的，是其專業安全廠商的創新迭代。在這個過程中新企業、新技術、新公司、新產品品類不斷涌現，而從威脅到產品形態的新概念更迭，也讓全球跟跑者們叫苦不迭。

無疑這種概括新威脅、定義新概念、形成新品類式的成熟打法，驅動了多家美國網絡安全企業從初創到“各領風騷幾年”式的快速迭代成長，但這種成功絕不是源自單純的概念炒作和商業包裝，而是有其值得尊敬的內因與外因。其內因是：對新威脅的敏銳把握，豐富的產品想象力，迅速的單點核心技術突破，並形成新形態品類的能力﹔其外因則是：對於創新的鼓勵和寬容，以及鮮明的專有核心技術價值導向。

在美國安全企業創新迭代案例中，其中最閃亮的軌跡，是網絡安全廠商Netscreen、Fortinet、Paloalto Network和Fireeye依次崛起。而其所提出的產品概念，均創造出了細分市場，也依次在基於流量的安全產品中成為獨立品類冠軍。我們將這四家廠商的要素，繪制成表2，由此我們則可以看出，這些企業所形成的產品品類概念，絕非空泛包裝，而是應對當時主流威脅的結果。

表 2 美國主流網絡安全廠商的創新迭代 

Netscreen面對信息高速公路建設引領的帶寬快速增長趨勢，提出了基於ASIC的高速硬件防火牆的思路﹔Fortinet面對網絡應用發展帶來的郵件蠕虫、垃圾郵件、廣告軟件等威脅，提出了“統一威脅管理”的概念﹔Paloalto Networks面對互聯網客戶端和SNS的大發展等帶來的新威脅，設計了“下一代防火牆”﹔而Fireeye面對政經集團背景的APT攻擊大潮，採用沙箱前置與流量產品結合的方法，亦形成了自己獨特的反APT和0day漏洞的產品形態。

這四個廠商的創新過程，都是典型的硅谷路線。強力的技術核心團隊迅速得到技術資本的關注和推動支持，在發展的過程中資本給予了研發之路高度的耐心和容忍，如Paloalto Network在起步近兩年后，產品才基本成型，Fireeye在成立幾年后，才找到了我們今天看到的正確產品思路。更令人稱道的是，在他們尚還弱小，並無足夠的支付能力之時，大量人才就因其良好的發展前景和上市預期，從傳統“三大”和其他主流企業紛紛加盟，呈現了一種令國內業界難以想象逆向流動的生態。

資本環境的追捧創造，必然推動了人才富有理想主義和冒險精神，而理想主義和冒險精神又獲得了高回報的激勵，這就構成了一個完整的正能量鏈條。

四、變局：大並購時代

2010年起，美國整個信息安全產業格局的發展開始進入到新的大並購時代。從2010年7月開始，在之后將近兩年的時間裡，美國企業發起了超過10個價值10億美元以上的並購案，其中最有影響力的無疑是“Intel對McAfee的並購”，這是信息安全開始走向寡頭化的風向標。美國的傳統軟件廠商、大集成商、芯片供應商和既有的巨頭安全企業，都紛紛出手把大量獨立安全公司融入體系，這些並購使其技術原有短板得以補充、新技術的儲備不足獲得應對以及解決方案更加完整。

表3美國企業發起的信息安全相關的典型並購案例 

我們通過圖2展示了在大並購時代所推動的跨行業寡頭體系的形成。但在這個過程中，我們並未看到這種巨型“托拉斯”所帶來的壟斷和對創新的扼殺傾向。恰恰相反，這些並購多數並不是基於擴大市場份額、消滅競爭對手的考慮，而更多瞄准單點上有突出技術優勢的以及能夠彌補、或強化收購者自身短板的企業。被並購的新銳技術團隊，多半因其技術優勢而獲得了良好的溢價，幾人、十幾人的小團隊都可因其核心技術能力，獲得千萬甚至數億美元的估值。從而使收購成為良好的技術創新團隊自我價值實現和風險投資者的推出通道，並引發了“從寡頭中再次創業，再次被寡頭收購”的風潮。

因此，大量並購不但沒有消亡了美國在安全領域中的基礎創新能力，反而使之成為了技術創新的動力源泉。

而在國際博弈中，來自歐洲、日本、印度等國的個性安全企業，則往往在嶄露頭角后，被美國巨頭廠商兼並。從這些企業團隊角度來看，已經達成了某種成功（但交易中的議價能力往往有所不足）。但從國家能力對比來看，則匯入了美國對單極世界主導地位不斷被強化的趨勢。

而反之，如果被收購的是美國廠商，而買主來自其他國家。美國官方和民間機構，則會陷入異常的敏感之中，美國官方所形成的《An Analysis of Chinese Investments in the U.S. Economy》一文中雖然輕描淡寫的說：“對於中國的國際直接投資，美國政府並沒有統一的立場。國家和地方官員尋求增加經濟活動以吸引中國的國際直接投資……同時，其他聯邦官員極其擔心中國的國際直接投資在國家安全和經濟安全方面的潛在影響。”

但如果這種投資涉及網絡安全，則基本不可能達成，2011年初，美國外國投資委員會阻礙華為收購小廠商3Leaf的案例，就是這種緊張感的典型案例。

中國企業在美國的並購動作，顯然會觸痛美國政府最敏感的神經。但如果認為這種緊張感僅僅是針對中國的，其實就誤讀了美國固有的“國家安全情結”，一個鮮明的例子是，即使對於同在西方陣營的小老弟以色列，美國也同樣做出了阻礙Checkpoint收購美國著名開源安全廠商Sourcefire的舉動。

五、產業秩序：互信與互動與產業聯盟

2011年的RSA展會上，新興的主機安全廠商Bit9打出了對巨頭廠商McAfee的攻擊性廣告，但這其實是美國式的技術幽默。McAfee無疑會警惕Bit9，並視其發展做出對應的反應，但不會是那種“東方式”的強勢打壓。

自由競爭是美國企業發展的核心動力，這種動力中既有價值導向，也有規則定義——鼓勵競爭、鼓勵創新、限制壟斷。這種廠商間既存在合作，又存在互補、互信的一個良好例証是——基於各自的雲化服務，美國已經形成了一個反APT作業的“事實聯盟”，在這個體系上，有Palo alto Networks所貢獻的可執行文件鑒定服務、Wildfire、Bit9所貢獻的海量白名單和文件信譽鑒定、已被Google收購的Virustotal提供的多引擎對照掃描+靜態分析+動態執行服務、Fireeye提供的文檔格式溢出和移動應用鑒定服務，而一些新銳移動雲端安全服務廠商如Trustlook、Virtual Threat等亦可能成為體系的一員，各廠商間購置對方的分析服務，作為自身分析能力的擴展，同時還有Solera等廠商兼容各家產品進行集中分析，Mandiant等則負責傳播造勢，從而形成了一個應對APT的產業資源體系和事實上的利益同盟。

六、政商關系解讀

對於美國IT企業與政府間的關系，有兩種意見都是偏頗的，一種是全面拔高其IT企業的道德操守和信息自由信仰，而對其與美國國家機器間的互動關系視而不見﹔而另一種則墮入徹底陰謀論，把一切美國IT產品都簡單視為具有主觀惡意的邏輯炸彈，亦把一切美國IT廠商都視為其情報體系的緊密互動層。而拋開這兩種先天偏見，則有助於我們理清美國安全廠商與政府的微妙關系。

例如有人以德國《明鏡周刊》報道的“NSA的ANT系列信息裝備”作為美國安全企業為美國情報機構安放后門的証據，但經過對相關資料的分析研判，更准確的表達應該是有多家安全產品的弱點可以被NSA利用，這裡需要注意的是“弱點”和“后門”有本質的區別，否則就很難理解為什麼中國廠商華為也在這份名單之上。筆者認為，這個案例總體上隻能說明NSA信息武備的豐富程度和強大的弱點與漏洞挖掘能力。

我們從斯諾登事件引出的信息中，亦可做出下列分析：

1. 與美國情報機構建立密切關聯的多數企業是有信息聚合能力的互聯網巨頭，由於其建立在全球用戶以信息上載、聚合以及置換免費服務的模式基礎上，美國可以通過愛國者法案對其數據實現“合法”監控。

2. Cisco與NSA的密切聯系可以被証實，但並不能說這就代表了美國情報機構與其網絡設備和安全廠商的典型關系，NSA可以放心與Cisco合作的原因，是后者已經建立起了全球市場的牢固不可替代性，同時其產品覆蓋能力也有足夠的戰略價值。而其他美國廠商並不具有足夠的政治風險抵御能力。

3. 美國已經通過類似標准污染的方式（類似NIST SP800/90標准中對隨機數強度的弱化），實現對更多產品的“上游感染”，而不需要直接和這些廠商發生情報作業的關聯。

筆者願意做出這樣的判斷，在全球范圍普遍性的傷害美國企業的用戶信任力，並不符合美國國家利益的最大化。換言之，美國在信息領域的戰略威懾能力，首先來自其產品與服務的到達能力和覆蓋程度，而不來自其中是否有可利用的后門。這種態度不是期望為美國專業安全廠商洗白，而是希望大國博弈的因應之策建立在理性的思考和分析之上。

我們不妨看棱鏡門中的一個事實，在美國的互聯網大佬中，Facebook是最后一個加入的，同時也是棱鏡“上榜”企業中最后一個上市的，而尚未上市的Twitter則根據資料顯示尚未加入。如果做一個類比來看，這可以稱為 “把羊養大了再擠奶”的原則，而不是“把豬養肥了再殺掉”。

而通過NSA向RSA公司支付1000萬美元，換取其使用有后門的算法的操作，我們亦可以做出這樣的判斷，美國政府積極地為那些承擔國家義務的企業提供補償。另一個案例或許也能為這種判斷提供注腳，當美國政府要求Fireeye對中國禁售的時候，也同時設定規范，要求與五角大樓等政府機構有網絡連接關系的軍火商、大的IT廠商部署反APT產品，這種導向形成了在其“愛因斯坦”計劃之外的一種單點但有效的反入侵能力層次，推動了以Fireeye為代表新銳廠商的產品部署，而從客觀上，這構成了要求Fireeye放棄中國大陸市場的經濟補償。

七、啟示錄

網絡信息安全早已不是實驗室技術，其在本世紀初就進入了以大產業體系為基礎，以企業創新為動力的時代。可以說沒有產業就沒有技術與產品，而沒有企業這個基本元素，也就談不上產業的存在。經濟界已經充分認識到中小企業是創新與社會發展的核心動力，而在信息技術領域，我們卻依然期望簡單地通過大規模的國家投入或是某個應用方向賭博式的技術繞前就可以改變當前的被動局面。

美國信息安全產業的強大，為我們正確理解信息化和網絡安全之間的關系提供了典范注解。國內有部分聲音認為，依靠信息系統的國產化和信息系統某些安全特性的增強，就可以一勞永逸地拋棄所有的安全風險、威脅和積弊，而不再需要安全產品的保駕護航。而事實上我們看到，作為擁有最高“國產化”率、最好的核心技術自給能力的美國，自身也同樣面臨著廣泛的安全威脅，也擁有著最為發達的信息安全產業。這說明，強大的自主信息化和強大的自主網絡安全互為保障，相輔相成，不可能互相取代。

美國信息安全產業的層次結構、價值導向、運行規則等，顯然值得我們分析、研究、借鑒。

充足的內需是美國信息安全產業得以發展的基礎，美國用戶在信息時代發展中享受了最先進的技術成果，也同時深刻感受到了安全威脅，從而認識到了信息安全產品和服務是一個獨立的市場門類和層次，這個層次不可能依靠信息體系自身內置的安全能力所取代。這種認識促成了信息安全產品採購在信息化的預算中長期超過20%的高比重，這為美國安全企業形成了充分的收益空間。

活躍的資本力量和成熟的資本市場則為美國安全廠商提供了助跑和催化機制，其對風險、收益、創新的成熟理解，促成了保護創新、引導創新的價值導向。從Fireeye虧損3000萬美元上市，卻能因其技術方向、產品能力和人才儲備等因素獲得極高的市值，我們就能看到美國証券市場的特有魅力。而CIA背景的In-Q-Tel模式的橫空出世，這代表了美國官方直接入局這一領域，為美國國家安全孵化出未來所需的技術支點。

清晰的市場規范、對商業文明和契約精神的成熟理解、合理的政商關系設計等等，則都成為美國信息安全產業有利的保障力量。從而使“鼓勵創新的中小安全企業發展，遏制壟斷對創新的傷害”成為社會共識。

在大國競技中，跟跑者未必要對領跑者亦步亦趨，但需要分析領跑者的領先軌跡。這種軌跡中有無法模仿的先發優勢和地緣特點，以及歷史經緯的偶然眷顧﹔但同樣會有因果清晰的必然規律。認識到這些，對於跟跑者的路徑選擇，至關重要。(本文以作者在中國計算機學會 YOCSEF舉辦的“中國網絡空間戰略，呼喚什麼樣的頂層設計？”特別論壇上的同名發言錄音速記稿為基礎，進行了較大篇幅的整理改寫。感謝我的同事Billy、Angel Li、雪之夢等對本文的貢獻。)

（來源：中國信息安全）