新锐｜李薛：三十岁，学习创业
东巽科技和安在常来常往，但李薛还是第一次见。
同为东巽科技的创始人，李术夫和李薛的性格看上去截然相反：李术夫健谈、开朗，说起话来柔和而轻快；
李薛却是声音低沉、慢条斯理，每句话都像是经过了深思熟虑，透着一股沉稳劲——这样的气质通常属于技术出身的人。
和李术夫复杂的创业经历不同，在做东巽科技之前，李薛一直深耕于技术。
“2010年李总拉我出来创业的时候，其实我想得很简单。就觉得是十来个人，找一个领域钻研，再有个固定的盈利模式。”
李薛这样轻描淡写地讲述着他的第一次创业——对于技术之外的一切，他似乎想得并不太多。
一直到2012年，他才真正开始思考“创业”的意义。此时，他已三十岁。
“人常说三十而立嘛，那时候就开始思考，以后到底要做什么，到底要靠什么赚钱呢？”
从大学时开始，李薛便开始通过他喜欢的技术赚钱了。
大学时，李薛的专业是通信工程，但他唯一感兴趣的，只有计算机技术。“计算机相关的课程成绩都不错，不相关的就比较惨淡了。”
和许多技术爱好者一样，李薛注意到了彼时风头正盛的黑客杂志，看得多了，他索性开始尝试成为作者，“我写的也不差嘛，就投稿试试，好玩。”
第一笔稿费到手，当时的几十元钱，抵得上李薛好多天的伙食费了。
通过不断的投稿，李薛收获了几千元稿费，与其同时，那些“和计算机不相关”的学科也纷纷敲响警钟。最终的结果是，“挂科实在太多，稿费大部分都交了重修费了。”
进入工作岗位，李薛成为了渗透测试工程师，又通过自学掌握编程，做了研发、测试和技术支持，关于软件的一整套流程，他已经熟稔于心——不过，自始至终，他只经历了两家公司。相对安稳的工作环境，让他不必思考太多技术之外的东西。
但在三十岁的当口，关于未来的疑问，出现在李薛的脑海里。
“想了挺长时间，最后觉得，其实赚钱，怎么赚都是一样的。”李薛得出了结论，“目标不应该是赚钱，而是在安全领域，把一件事情做出一定的成绩。”
或许是受到引导李薛投身安全的事件“中美黑客大战”的影响，李薛定下的目标是“帮助国家发现他国的网络威胁攻击”：“能够找到对方组织的证据，再溯源到具体的人。”
这个目标不可谓不宏大，需要的能力和条件也绝非轻易可得：“要有产品、有数据，还有服务。”有趣的是，原本“如何赚钱”的疑问，在这个过程中得到了解答：“能做到这些，就需要站在一个较高的高度来整合各种资源。到了那个时候，钱也就自然而然地来了。”
而说到国家之间的攻击，有一个词是绕不开的：APT攻击。
几年之前，APT还是一种全新的攻击方式。不了解的人毫无概念；稍有认知的，一定会知道那几桩震惊世界的案例，便难免对它凶猛的攻势、复杂的布局感到惶惑。
彼时的APT攻击，如同少有人知的深山中突然杀出的一头凶兽。
东巽科技正是从那时开始投身APT攻防研究的。
如今，APT攻击已经为越来越多的人所理解。“两年前我们宣讲，第一件事就是要介绍APT攻击是怎么一回事。”李薛介绍，“现在不需要了，大家都明白APT是怎么一回事。”
与此同时，APT防御的市场也已渐渐打开。“以前APT的项目属于创新的科研项目，很少涉及企业安全。到了今年，很多大型的行业用户在安全建设中都在考虑APT了。”
尽管如此，外界对APT攻击的认知误区依然存在。
和江海客“所谓APT攻击并非是真正存在的”的观点相似，李薛认为，APT中的“高级”只是“相对高级的攻击”而非“高维攻击”：
“伊朗那一次的武器级的恶意代码用了四个0Day，2个已知漏洞，自然让人感觉很高级；但是去年的乌克兰电网事件，我们分析下来，攻击的前置不是什么武器级的代码，就是蠕虫。最后通过定时摧毁模块配合其他攻击手段，比如占电话线阻碍警方等一些手段的组合，并不高深，重要的是目的性很强。”
至于“APT攻击大多由邮件钓鱼完成攻击前置”的观点，李薛并不完全赞同：
“其实是IPS（入侵防护系统）WAF（Web应用防护系统）出来后，攻击难度明显提高，攻击者才调整了方向，通过鱼叉式邮件发起攻击。理论上要把前面的攻击手段也覆盖进来，才是完整的攻击手段，因为APT从来都是非常灵活和复杂的战术实施方法。”
由此看来，APT攻击真正的玄机，不在攻击手段，而在于组合和布局：战术的艺术。
李薛特意提到了洛克希德·马丁公司提出的“网络杀伤链”——侦查、选择武器、投递、漏洞利用、安装植入、命令控制、达成目标。
“我们要讲清楚攻击者是怎么攻击的，实际上应该把这七个阶段做了哪些事情都讲清楚，什么时候开始的？侦查到了什么？利用了什么漏洞？有没有利用成功？是被渗透了还是直接植入了恶意代码？有没有非法控制？做了什么操作？”
攻击的流程既已理清，防御措施便应运而生：“断链式防御”。
“第一，漏洞；第二，用于控制的木马，即特种木马；第三，在内网面做攻击的渗透技术。防御者需要对三个关键技术进行阶段性防御，在终端处、网络处和云端处利用不同的行为分析方法进行防护。成功截断这三个关键技术，就可以把攻击拦截下来，这就是断链式的防护。”
李薛曾在一次采访中这样阐述他的理念。
“基于攻击链的模型，针对不同的攻击阶段进行相应的监测和防御，就能截断攻击链条。就算第一步没有防住，第二步还可以拦截。”
说完，李薛又补充了一句，“断链式不太容易被理解，所以就说成基于杀伤链的安全监测和威胁分析。”
由此，便有了“铁穹”和“明镜”。
要在网络空间发现潜藏的高级攻击威胁，就需要基于行为分析方法给网络管道“号脉“，按照此思路李薛拿出了自己的王牌：“铁穹高级持续性威胁预警系统”。
“铁穹主要防护用户在访问互联网时所面临的各种安全威胁。在网络出口处旁路采集网络通信数据，分析通信数据中的网络入侵和非法控制的通信痕迹，识别各类威胁行为，在网络层实现对全网范围内的威胁识别与追踪，并对关键资产遭受的损失进行审计定位。”
媒体这样介绍最初的“铁穹”，这是国内第一款针对APT攻击的防御产品。
“铁穹”尽管针对“管道”的威胁预警卓有成效，但李薛发现，这还远远不够。
在后续的客户服务过程中，有些用户打电话询问，为什么“铁穹”检测到安全问题，通过杀软却扫描不出？
李薛发现，“端”层面的杀毒软件造成了新的障碍：“不同用户对杀软的选择不一样，有国产的、有国外的，能力参差不齐，客户环境的复杂性还会导致杀软版本未能及时更新等实际问题。更麻烦的是，攻击者也会特意针对杀软给恶意代码做免杀。”
另一种情况则是，受感染的终端实在太多，用户无法快速实现恶意代码的具体处置。
“铁穹从流量上帮客户一次性发现四百多台机器都有问题，一台一台上机很困难；更何况某些恶意代码还做了双进程保护之类的抗清除技术，相当于多加了一条命，杀软很难完全清除干净。”
如何帮助用户在“终端”的层面快速处置，成了李薛思考的新课题，“需要自动化手段。一是帮助用户检测恶意代码行为；二是处置的问题，确定如何处置，删文件、删服务还是结束进程，然后自动处理。”
于是便有了“明镜”这款产品。
“像人工判断一样，先用特征扫描把所有不认识的东西找出来进行比对，基于威胁情报的匹配、特征码的检测、行为的分析确定问题后，最后再下达处置任务。”李薛介绍道，“针对终端的‘明镜’就是这么来的。”
李术夫曾在采访中表达过进军“云端”的愿望。而如今，李薛表示，这一想法想法已经落到实处：
今年年初，“铁穹”4.0版本正式发布，除增加“威胁感知地图”以及多项检测技术外，更是在国内厂商中第一个也是唯一一个在产品中真正应用机器学习的行为研判技术，同时新版本还支持云端威胁情报的关联查询，结合云端东巽威胁情报平台的能力，以云端海量的TTPs信息和黑客组织信息为支撑，对非机读信息进行进一步的细节关联查询。
“当下我们在云端构建TIP威胁情报平台，在平台上汇聚用户内部威胁线索和外部互联网的情报数据。一方面有利于通过关联分析等挖掘发现潜藏的安全威胁；另一方面可以对攻击者进行画像，利用同源性分析等方法来完成溯源。”
李薛笑着说道：“当然，考虑到中国国情，这个TIP平台是完全支持私有化部署的。”
从“铁穹”到“明镜”再到“威胁情报”，“云、管、端”三个层面的防御逐步展开，东巽科技也已渐成格局。
创业至今，东巽在不断转变，李薛也在经历着转变。
提及三十岁当口的设想，李薛说起了微博上的一张关于“如何画一匹马”的漫画图，“前面几步是画圈、画直线，到了最后一步，发现还要加上一大堆细节——真正实施计划不会像最早想得那么简单，不光是坡度很陡，还有坑、有陷阱、要绕路。”
“要说达到目标，还没有。”李薛说，“不过，基本还是按照我理想的节奏前进。”
从单纯做技术到总揽大局，李薛遇到的难题并不少。
“商务问题、管理问题、组织能力等等，经验都是欠缺的，我和李总总是绞尽脑汁去解决。”艰难的时候，他以毛泽东的经历激励自己，“当年毛主席遇到的矛盾不比现在少，但他也想尽办法达到了目标。相较于他的目标，我的目标还小很多呢。”
不知不觉间，李薛和李术夫身上，都已打上了鲜明的创业者烙印。东巽科技的员工常常看到，两人经常在深夜分享技术文章，周末也时常出现在办公室里。“创业之后，我们对于上班下班的概念，已经非常模糊了。”
和所有创业者一样，两人的想法也会出现冲突，“毫无矛盾就能把事情办好，不现实。”但这并不妨碍两人的关系：“上一秒在产品策划会上争执，下一秒就把酒言欢了。”
“其实我一直在向李总看齐。”李薛说，“李总的年龄比我大，投入也比我多。我和他相比还是有差距的。”
不可避免地，李薛也必须平衡工作和家庭：女儿刚刚三岁，自己却必须将更多精力投入事业，家人也难免会不理解。“我也劝导、开解了很多。在这一块，我已经尽量做到最好了。”李薛告诉我们。
距离李薛开始创业已经过去了七年。技术人员的气质仍然鲜明，创业的道路也并不平坦。
但毫无疑问，他已学会了如何成为优秀的创业者；三十岁时的设想，也正一步步地走向现实。
- 推荐阅读 -