网络安全的劣币驱逐良币：当"便宜"成为唯一标准

一、深信服的 0day：当”便宜”的代价是数百万损失

2020 年 10 月，一个编号为 CNVD-2020-46552 的漏洞在安全圈炸开了。

深信服终端检测响应平台（EDR）——这个在国内企业安全市场占有率极高的产品，被发现存在未授权远程命令执行（RCE）漏洞。

攻击者只需向目标服务器发送一个精心构造的 HTTP 请求，无需任何登录凭证，就能直接执行系统命令、拿下服务器权限。

受影响的版本包括 3.2.16、3.2.17、3.2.19——而这些版本，恰恰是当时大量企业正在使用的”主流版本”。

更讽刺的是，这个漏洞的利用难度极低。在地下黑产论坛上，PoC（概念验证代码）很快就开始传播，一些”脚本小子”都能用它入侵企业内网。

1.1 一次真实的代价

某企业在 2020 年选择深信服 EDR 时，决策逻辑很简单：

  • CrowdStrike Falcon：年费约 60-90 元/终端/月
  • 深信服 EDR：年费约 30-50 元/终端/月

1000 台终端，三年下来能省 100 多万。

老板拍板：”就选深信服，功能差不多，为什么要多花一倍的钱？”

半年后，黑客通过 CNVD-2020-46552 漏洞，从深信服 EDR 入手，拿下了企业内网的核心权限。数据泄露、业务中断、监管处罚……

财务部门算了一笔账：这次事故造成的直接损失，是当初节省下来的采购费用的 50 倍。

潜在的商誉损失和法律风险，还无法估量。

二、更讽刺的是：5 年后，悲剧重演

2025 年，深信服的另一个核心产品——运维安全管理系统（OSM / 堡垒机）再次爆出远程命令执行漏洞。

  • 漏洞编号：CVE-2025-12916
  • 影响版本：3.0.11_20231222 之前的所有版本
  • 利用方式：攻击者可绕过登录限制，通过特定接口执行系统命令

这不是偶发事件，而是系统性的研发质量问题。

从 2020 年到 2025 年，整整 5 年时间，深信服的产品依然在重复同样的错误。

三、为什么深信服能做出有 0day 的产品？因为技术不重要

3.1 对比：深信服 vs CrowdStrike 的研发模式

维度 深信服 EDR 更高安全标准组织（Google 安全工程 / 一线商业安全厂商共性）
研发投入 营收的 25-30% 左右（公开数据） 高投入 + 强制安全工程流程（投入比例本身不是核心差异）
漏洞赏金计划 无或形同虚设 高额公开赏金（Google 最高可达数十万美元级），外部研究者持续压力
代码审计 未知（大概率以内部自审为主） 强制代码评审 + 第三方独立审计 + 大规模模糊测试/静态分析
补丁推送机制 多需客户手动升级或依赖在线升级开启 自动、快速、低感知推送；严重问题优先强制更新
漏洞响应时效 几周到数月常见 关键漏洞通常 24-72 小时内响应并给出缓解/修复方案
信息披露 CNVD 等平台公告较简略 详细技术分析报告 + CVE + 时间线透明公开
责任承担 合同免责条款为主 市场约束（客户流失、股价、诉讼）+ 保险/合规责任更强

核心差异在哪？

更高安全标准的组织把“避免严重 0day 和低级漏洞”当成生存与信誉问题——一旦出现低门槛未授权 RCE 或大规模故障，会直接面临客户流失、市场信任崩塌、监管与诉讼压力。
深信服（及类似厂商）更倾向于把同类问题当成成本与公关问题——能省则省，出事主要依赖合同免责、公关处理和补丁后补。
关键不在研发费用比例本身（深信服近年研发费用率约 25-30%，并不低），而在于：
• 是否有强制的安全开发生命周期（SDL）
• 是否有真实的外部压力（高额赏金、独立审计、市场问责）
• 人才是被当作“消耗品”还是“长期资产”
• 补丁和响应机制是“客户自己升级”还是“厂商主动、快速、自动推送”
当采购决策长期以价格和关系为主导、出事后责任承担偏弱时，即使研发费用数字看起来不低，也很难形成与顶级安全工程组织同等级别的防御能力。

3.2 深信服的”人力绞肉机”模式

行业内流传着一个段子：

某人从深信服离职，干了 3 年，从应届生做到”资深工程师”（职级上的，不是能力上的），然后在 30 岁那年被”优化”了。

有人问他：”你们团队的技术积累怎么样？”

他苦笑：”什么技术积累？我们组每年流失率 40%，新人入职培训两周就上手干活，干到 35 岁就被清退。核心代码谁写的？不知道。为什么这么设计？不知道。出了漏洞怎么修？照着 Stack Overflow 抄。”

深信服的人力模型：

1
2
3
4
5
6
7
8
9
10
11
22岁应届生入职（月薪 8k-12k）
    ↓
培训 2-4 周（背 PPT、学话术）
    ↓
996 工作 3-5 年（写代码、改 bug、陪客户）
    ↓
30-35岁被"优化"（腾出 HC 给更便宜的应届生）
    ↓
技术积累？随着离职员工一起消失
    ↓
下一批应届生入职，重新开始

对比 CrowdStrike 的模型：

以北美一线安全大厂 CrowdStrike 的人才体系为例。即便像 CrowdStrike 这样曾因规则更新引发全球蓝屏的巨头，其底层工程人才积累依然深厚。国外厂商也会犯大错；事故之后还能全局回滚、公开时间线，靠的是这支没有被三年一换的工程队伍。

1
2
3
4
5
6
7
8
9
25岁工程师入职（年薪 $100k+）
    ↓
3-6 个月系统培训（代码审计、漏洞挖掘、应急响应）
    ↓
工作 10-20 年（持续技术深耕）
    ↓
晋升为 Staff/Principal Engineer（年薪 $300k+）
    ↓
技术积累沉淀在团队里（导师制、知识库、代码 Review）

核心差异：

  • 深信服把工程师当”消耗品”（用完就扔）
  • CrowdStrike 把工程师当”资产”（越老越值钱）

3.3 亿格云枢的”mv 命令”笑话

如果说深信服还算”头部厂商”，那么亿格云枢这类”更便宜”的新兴厂商，情况更加魔幻。

亿格云枢 ZTNA 的价格优势：

  • Palo Alto / Cloudflare ZTNA：年费数十万到上百万
  • 亿格云枢 ZTNA：只需同行的十分之一

老板一看报价，立刻拍板：”就它了！”

半年后，亿格云枢的 0day RCE 漏洞被黑客利用，企业内网沦陷。补丁催了一个月，还在内部评审。

紧急联系亿格云枢的应急响应团队，来了两个看起来刚毕业的年轻人。

企业的运维工程师说：”你帮我们把这个日志文件移动到 /tmp 目录下，我们先备份。”

年轻人愣住了：”移动文件用什么命令？”

运维工程师：”……mv。”

年轻人：”mv 是什么意思？”

运维工程师当场崩溃：”你们是来做应急响应的，连 Linux 基本命令都不会？”

年轻人尴尬地说：”我是上个月刚入职的，培训了两周就派出来了……”

（有人可能不相信，但是亿格云枢的售后工程师技术服务不行、人员流动性大，是我亲眼所见，我以个人名誉担保）

3.4 为什么这种模式能持续？因为甲方只看价格

甲方的采购逻辑：

决策因素 权重 深信服/亿格云枢的策略
价格 50% 只要国外同类产品的 10%-50%
关系 30% 养大量销售，陪喝酒、送礼、搞定关键人
资质 15% 花钱买证书（等保、ISO）、找关系过审
技术能力 5% 随便做个 Demo，PPT 吹一吹就行

结果：

  • 技术投入的 ROI（投资回报率）极低
  • 把 1 块钱投在研发上，可能带来 0.1 块钱的销售增长
  • 把 1 块钱投在销售/关系上，可能带来 10 块钱的销售增长
  • 理性的商人会选择把钱投在销售上，而不是研发上

当技术能力不影响销售时，厂商为什么要在技术上投入？

当采购决策由财务部门主导时，安全团队的专业意见为什么重要？

这个市场的机制，天然地奖励”便宜”，惩罚”可靠”。

四、护网”苕皮哥”：劣币如何自我毁灭市场

如果说深信服的 0day 是”产品端的劣币”，那么护网行动里的”苕皮哥”，就是”人才端的劣币”。

4.1 事件回顾：12 天赚 3 万的”炫耀”

2023 年8月，一个在读大学生在小红书上高调晒出”护网 12 天赚 3 万”的帖子，日薪 2700 元。

原本以为会引来羡慕，结果却引发了一场信任危机。

甲方企业炸了：
“这些人把我们的敏感信息随便发到社交媒体，万一泄露系统架构怎么办？”

监管部门注意到了：
“如果护网真的只是让大学生背题值守，这个演练还有什么意义？”

行业内开始质疑：
“一个有 5 年经验的安全工程师，日薪也就 5000。凭什么大学生背两周题，就能拿 2700？”

4.2 市场的连锁反应

从 2024 年下半年开始，市场标准突然收紧：

  • 招标文件明确要求”不得使用在读学生”
  • 保密协议从”走形式”变成”严格审查、违约重罚”
  • 人员背景调查开始要求”学历证明 + 无犯罪记录”

外包公司慌了。

原本他们靠”大学生低价套利”赚差价：

  • 从甲方拿 5000 元/天
  • 给大学生 2500 元/天
  • 自己赚 2500 元/天（50% 毛利）

现在不能用大学生了，必须请正规工程师（4000-5000 元/天），利润率从 50% 暴跌到 10%。

为了维持生意，外包公司开始疯狂降价抢单。

护网市场的价格体系迅速崩盘：

  • 2023 年：工程师日薪 5000-6000
  • 2024 年：工程师日薪 3500-4000
  • 2025 年：预计跌到 3000 左右

4.3 正规工程师的困境

一个有 5 年经验的安全工程师，站在这个崩塌的市场里，面临荒诞的困境：

  1. 价格下降了 30%，但工作量没减少
    甚至因为合规压力更大，要写更多报告、做更严格的审查

  2. 市场对”经验”的定价权彻底崩塌
    5 年经验 vs 应届生，价格只差 15%（3500 vs 3000）

  3. 护网订单越来越少
    企业开始质疑这种”演戏式”防御的必要性

劣币不仅驱逐了良币，还把整个市场一起毁掉了。

4.4 为什么甲方要用”速成鸡”？因为护网不是真防御

真实的护网逻辑：

护网行动的本质，不是”真实的攻防对抗”，而是”应付检查的合规演练”。

甲方需要的是：

  • 人数够（值守表填满）
  • 日志全（记录完整）
  • 报告漂亮（应付检查）

至于这些人能不能真正防住攻击？不重要。

既然是”演戏”，当然要找最便宜的”群众演员”。

一个有 5 年经验的安全工程师，日薪 5000，能做应急响应、写 YARA 规则、分析日志。

一个大学生，日薪 2700，只会值守、记日志、写报告。

但甲方只需要后者。

五、香港的选择：用脚投票

5.1 为什么主流外资与大型港企几乎清一色采用国外方案？

在和香港的安全从业者交流时，我问：”你们为什么不考虑国产方案？便宜很多啊。”

对方直接反问：”你知道深信服那个 EDR 漏洞（CNVD-2020-46552）吗？”

“知道。”

“你知道亿格云枢的应急响应团队，连 Linux 基本命令都不会吗？”

“听说过。”

“你知道这些厂商用 996 压榨年轻人，35 岁就裁掉，根本没有技术积累吗？”

“这个我亲眼见过。”

他摊了摊手：”那你还问我为什么不用国产方案？我们公司的数据值几十亿港币，我敢把它交给一个’技术不重要’的团队吗？”

5.2 香港市场的逻辑

核心差异：

内地市场 香港市场
采购决策权在财务部门 采购决策权在 CISO（首席信息安全官）
核心指标是”省钱” 核心指标是”有效”
出了事，IT 负责人最多写检讨 出了事，CISO 会被董事会问责、丢工作
厂商靠”低价 + 关系”拿订单 厂商靠”技术能力 + 历史记录”拿订单
没有明确的责任承担机制 有保险、诉讼、监管的多重约束

结果：

  • 主流外资与大型港企宁愿花 2 倍的钱买 CrowdStrike 这一档的方案，也不愿意冒险用深信服。CrowdStrike 也曾因规则更新引发全球蓝屏；买家仍然选择它，是因为其工程人才积累深厚，事故会变成客户流失、诉讼和公开复盘。
  • 国产安全厂商在香港的高端市场份额极低。汇丰、渣打这类主流外资和本地大型金融机构，几乎清一色采用欧美一线方案；中资机构，以及部分本地中小企业，仍在使用腾讯云、阿里云和深信服的海外版。
  • 这不是”市场壁垒”，而是”用脚投票”

六、劣币驱逐良币的终局：自我崩塌

6.1 短期（1-3 年）：良币被挤出市场

  • 深信服、亿格云枢继续靠”低价 + 关系”占领市场
  • 真正有技术能力的工程师，开始准备出海（考雅思、投简历）
  • 护网市场价格崩盘（从 5000/天 跌到 3000/天）
  • CrowdStrike、Palo Alto 等国外厂商，在内地市场份额持续萎缩

6.2 中期（3-5 年）：甲方开始”用脚投票”

  • 0day 事件越来越频繁（因为厂商团队技术水平持续下降）
  • 部分甲方企业吃过大亏后，开始转向国外方案（像香港的主流外资和大型港企一样）
  • 国产安全厂商的市场份额开始分化：
    • 头部厂商（深信服）靠政企关系维持
    • 中小厂商（亿格云枢）批量倒闭
  • 监管部门开始收紧标准（但为时已晚）

6.3 长期（5-10 年）：整个行业失去未来

人才梯队断层

  • 优秀的安全工程师全部出海（新加坡、澳洲、欧洲）
  • 留在国内的，要么是”关系型销售”，要么是”速成鸡”
  • 真正能做漏洞挖掘、协议分析、应急响应的人，行业里找不到几个

技术能力崩塌

  • 国产安全产品的 0day 越来越多
  • 关键基础设施的安全防护，完全依赖国外方案
  • 一旦面临”技术制裁”（如被禁用 CrowdStrike、Palo Alto），整个国家的网络安全体系崩塌

终极悖论

  • “国产替代”的初衷是”自主可控”
  • 但因为”劣币驱逐良币”，国产产品越来越不可靠
  • 最终企业只能用国外方案，反而失去了”自主可控”
  • 我们用”便宜”换来了”依赖”

七、结语：当技术不重要的时候，没人能幸免

这个市场最终会怎样？

我不知道。

但我知道的是：

  • 主流外资与大型港企，几乎清一色已经采用国外方案
  • 真正有技术能力的工程师，正在加速出海
  • 护网市场的价格，从 2023 年的 5000/天 跌到 2025 年的 3000/天
  • 深信服、亿格云枢的 0day，还会继续爆发

当一个市场让”技术不重要”成为常态时，所有人都在假装：

  • 甲方假装自己买到了安全
  • 厂商假装自己提供了安全
  • 工程师假装自己在做技术
  • 监管部门假装自己在监管

直到某一天，真实的攻击来临，整个骗局崩塌。

当”便宜”成为唯一标准，被摧毁的不仅是产品质量，不仅是工程师的职业尊严，而是整个社会的数字安全基础设施。

而那些以为自己”省了钱”的甲方企业，终将在真实的威胁面前，付出数倍、数十倍的代价。

到那时，想要重建，已经来不及了。