随着互联网、移动应用的爆发，在线交易的安全需求呈爆发态势，盗号、欺诈、刷单、薅羊毛等恶意行为，给网络平台上的游戏、社交、购物、支付等各行各业的在线业务带来了极大的损失。基于在线交易场景的安全需求，近年来国内也催生出多家，诸如验证码、设备指纹、风控引擎、APP加固等业务安全的初创公司，但今天安全牛采访的是一家致力于打造整个业务安全体系的公司，顶象技术。

一、业务安全的概念形成

安全牛：为什么创业要做业务安全这个方向？

陈树华：业务安全是一个很大的概念，传统的安全离业务很远。因此目前的要做的就是把原来安全远离业务的部分补上。站在用户的角度来看，就是反欺诈、薅羊毛、刷单、电信欺诈等典型在线业务的安全问题，以及新兴的洗钱问题。所有这些问题都与业务联系的很紧，都是由于线上交易的业务逻辑存在的，这里面流淌的是业务运营者的价值利益。业务安全的本质就是要解决这些问题，帮助业务正常发展。

在腾讯、阿里十多年，基本上所有互联网业务的安全我们这些人都做过了。以游戏安全为例，游戏安全一直是个重灾区，盗号、盗装备、作弊、外挂等各种问题，而传统安全并没有相应的有效的手段去解决，这其实就是最早的业务安全需求。后来到了阿里，几乎全部的业务都是线上交易。电子商务、支付宝、菜鸟、飞猪、UC，甚至也有游戏。这些线上交易产生的安全问题，防火墙、IDS、DLP等传统安全技术并不适用。

但互联网公司的业务是不能停的，因此总结归类问题，再想办法去解决，这样就形成了在线的业务安全概念。

二、业务安全体系的构成

安全牛：与其他做业务安全的公司的区别在于，顶象似乎更加强调业务安全体系，那么你是如何看待这个体系的？

陈树华：我按照从后往前的顺序来大致说一下，首先是风控引擎。业务安全的核心就是对风险的控制，而平衡风险自然需要风控体系，比如基于数据的，包含了模型和策略，并始终根据情况在不断调整的风控引擎，它与业务高度耦合。

但仅有后端的引擎是不够的，在很多时候，典型的如交易高峰期，就必须配合风控引擎对恶意流量的拦截，以减轻风控引擎的压力，才能支撑业务的正常运行，于是就又催生了业务安全网关。

业务安全网关再往前是通讯链路，再往前就到了设备上的APP，于是移动安全里的APP加固，源码保护，以及应对加固被破解之后的动态更新技术。

从后端的网控引擎，到业务安全网关，再到通讯到设备的保护，大致上这就是一整套业务安全体系，而体系化防控在对抗黑产或攻击方面，具备很大的优势。这也是我们之所以强调要打造整个业务安全体系的原因。

三、顶象目前的产品体系和技术优势

安全牛：公司目前的产品体系是怎样的？

陈树华：产品线分三大类，和上面说的差不多，是一个业务安全体系。刚才从后往前说，现在从前往后说。首先是以端设备保护为中心，解决App安全、嵌入式设备、IoT方面的安全，包括核心业务逻辑的保护、数据保护，以及一定的对抗能力。然后是通讯保护，加密和身份识别等。最后是业务安全网关和风控引擎。

安全牛：其实，诸如设备指纹、用户画像、验证码、黑白名单、威胁情报等技术和产品，都已经有相关业务安全的厂商在做，顶象又有什么样的竞争优势呢？

陈树华：说的直接一些，顶象团队这些人对于互联网业务的理解就是一个绝对的优势。目前团队大部分人，都是从阿里、腾讯出来的，不敢说所有，但至少中国80%的线上业务形态我们都经历过，并且真正的动手去做过防控。

比如，在数据风险处理、数据分析和数据模型方面，我们现在累积的针对不同情况下的风险模型，已经应该超过1.5万种，而且迭代速度也很快。这个数量非常大，因为一个普通的企业，或是一个大的业务也顶多需要几百个模型就够了。

因此作为一个刚刚创立的初创企业，我们目前的用户就已经包括了航空、电网、运营商、互联网公司，甚至还有IoT设备制造商。

还有就是对业务安全体系的理解，毕竟之前在最大的互联网平台上经历过，而且全是体系化的防控，所以我们知道如何去构建一个很好的业务安全体系。

安全牛：对于一个初创公司而言，一开始就做整个体系，而不是做单点产品，会不会有些力不从心？

陈树华：你说的不错，一般来说的确是这样，普通的创业公司一开始只会从一个点去切入，不管是验证码、设备指纹，还是风控引擎，从一个点来做容易的多。

但我们则一开始就瞄准的是整个业务安全体系，并不说我们不自量力，整个团队是在认真评估各种情况、资源和能力之后才决定这样做的。每一个单独的产品，我们都能够做的不比别人差，甚至会更好，既然如此，为什么不做整个体系呢？

四、人才是最大的投入

安全牛：事情要靠人来做，初创企业如何招到优秀的人员？

陈树华：这里我要强调一下，人应该是技术型企业最大的投入，顶象要成为一个强技术驱动的企业，而不是营销驱动，因为后者与安全的本质是背离的。

我们的HR在招人的时候，基本上都是在大型互联网公司中挑人。这样做效率会非常高，因为这些人已经被百里挑一过了，一定是行业里面最优秀的。

安全牛：那岂不是成本会很高，一个初创公司能否承担住这样的成本？

陈树华：所以说今年我们资金里面主要的部分，都会花在人才引进上。目前阶段我们的运营成本和推广成本都不大，主要就是人。不仅如此，顶象的股份基本上全部给到员工。这一点，据我所知，国内可能只有华为一家是真正意义上的全员持股，而我们就是第二家。

安全牛：国内除了创始人和核心员工以来，一般都以期权为主。

陈树华：我们不谈期权，说句实话，我觉得期权不靠谱，还是股份来得实在，公司赚到钱谁有多少股就能分多少钱。目前我们的员工持股超过50%，投资人没有占多少，我也没占多少。公司不是一个人的，而是属于团队所有人员的。

安全牛：方便谈一谈资金状况吗？

陈树华：现在为止融过两轮，具体多少没必要说，我不希望拿融资额说事，成为一种宣传噱头。总之，第一轮的融资款现在只花了不到三分之一。总融资额，如果以200人的团队规模的话，够公司运营四、五年。资金足够用，因此我们最关心的是如何在最短的时间把业务安全这件事做成。

五、打造业务安全平台 构建全维度的防控体系

安全牛：也就是说公司未来的发展始终是定位在业务安全？

陈树华：其实，即使建成了上面所说的业务安全体系，反欺诈也好、反薅羊毛也好，IoT安全也好，也只是一种单点性质的业务安全能力。因为整个业务安全的概念太大了，各行各业、千差万别。因此，未来需要思考的是如何把所有的能力打通并结合起来，这将是顶象长期努力坚持的方向。

安全牛：具体是什么样的能力打通？

陈树华：首先这个平台要标准化，同时扩展性非常好，能够迅速接入新的安全能力，以支撑新的业务。比如我在阿里时做的平台，一套平台同时支撑一百多个业务，大业务里面还嵌套着数百小业务和各种活动。平台扩展性不好的话，根本无法支撑。

之前厂商所做的就是帮助用户搭建安全系统，建立自己的业务安全能力，然后就没有然后了。但未来，我们希望构建整个行业的风控网络，成为一个各种防控模型的平台。因此，需要把每个用户的安全防控模型返回到这个大的平台中。当然，前提是在得到用户许可的情况下。

返回的目的是什么？是要做二次加工，如调整参数、统一数据格式等，以适配别其他不一样的业务或用户，而且这一过程是自动化处理的。这种高效的标准化平台如果建成的话，在打击黑产方面将产生巨大的作用。

现在为什么防护方处于下风，一个主要的原因就是各自为战。想解决这个问题，至少目前靠数据层面的打通是不可能的，没有人愿意把自己的数据分享出去。所以，我认为能够在模型层面去打通，去重新构建整个安全防控体系才是最有意义的。