Netskope：零信任头号领导者，能否颠覆Zscaler？

Netskope 是一级市场最重要的成长期网络安全资产之一，也是安全投资者们非常期待在不久后 IPO 的明星公司。在持续追踪研究后，我们基于以下原因对 Netskope 的未来前景非常看好：

1. SASE（SSE + SD-WAN）赛道仍然处于黄金增长期，Gartner 预计其市场将以 35% 以上的 CAGR 在 2025 年增至 150 亿美元。

疫情显著提升了客户对完整 SSE 套件的需求，各家供应商产品也走向成熟，在争夺客户的过程中展现出产品、架构愿景、网络性能和 Go-To-Market 上的明显梯度分层。Netskope 目前成为 SSE 市场的领导者；

2. 整合分散的安全供应商是各大 CISO 的明确任务。

目前平均每个大型企业需要购买 76 个安全工具，并且以接近 20% 的速度增长，因此之前 SSE 下 SWG、CASB、ZTNA、FWaaS 单独向最佳供应商购买的情况正在转变，CISO 逐渐更倾向于向同一家供应商采购。CASB 在 23 年初成为了 CISO 最高优先考虑的产品（20 年以前为 SWG，目前逐同质化；疫情期间为 ZTNA），而 Netskope 的 CASB 和 DLP 能力处于绝对领先位置；

3. Netskope 以 CASB 起家，但是目前已经布局非常完善，团队能力也很优秀，没有明显短板。

创始人 Sanjay 此前是通信巨头瞻博网络的 VP 及安全事业部 GM，对安全和网络的理解都很深，在 19 年及时招募了 AWS 负责 Network Infra 的 SVP，一年时间构建起了 100Tbps  网络带宽的全球 PoP 基础设施。Netskope 之前在 Marketing 上没有 Zscaler 强势的弱点也被 Gartner 魔力象限的突破补足，年初以来各类销售线索激增；

4. Netskope 通过 SD-WAN 布局显著扩大了 TAM，和 Zscaler 走向战略分化。

Netskope 在 2022 年收购了由 Velo Cloud 早期团队创立的 SD-WAN 厂商 Infiot，将无边界 SD-WAN 服务添加到了产品组合中，而 Zscaler 暂时还没有明确的 SD-WAN 进展，市场上也已经没有接近 Infiot 质量的标的可供收购；

5. AI 及 LLM 的一系列进展是 Netskope 拓展业务很好的催化剂。

我们之前在云之后，大模型是网络安全的新机会吗？一文中详细讲过 LLM 时代 CISO 对于使用 ChatGPT 这类产品的数据防泄漏需求。此外，如果 LLM 的延迟以及成本问题能够迎来突破，Netskope 强势的 DLP 引擎可以将传统机器学习和语义搜索的技术快速叠加上 LLM 完成升级；目前 Netskope 已经迅速推出了 Skope AI 来抓住这些催化剂机会。

此外，在经济下行周期投资网络安全有一系列好处，包括客户分配的 IT Spending 稳定、毛利率以及对云计算成本的 Add-On 价值高、高部署和迁移成本让客户 Retention 极强等。

Netskope 有一个非常有趣的成长轨迹。

它首先是一家随着云趋势成长的公司，在 2012 年之后的数年时间里都是专注于 CASB，帮助 CIO 和 CISO 们克服使用云和 SaaS 的安全顾虑。

它还是一家一直在红海战场中逆袭的公司。尽管有 Greylock、Sequoia Capital、ICONIQ、Accel、Lightspeed 等优秀基金的一路支持，Netskope 在早期一度被 Skyhigh、CloudLock 等玩家压了一头，但这些竞争者没有 CEO Sanjay Beri 的长期愿景，在 2016 年后陆续卖身给 Cisco、Macfee 等老牌厂商并且逐渐丧失创新。

Sanjay 是连续成功创业者，在 Netskope 之前将上一家创立的公司卖给了瞻博网络，并且留在那里操盘数亿美元级别的业务线，离职再度创业的愿景是打造一家 100 年的公司，因此在 CASB 的收购潮中坚持独立，并且在过去 5 年不仅站稳了 CASB 方向的独立第一名位置，还大幅拓展了产品线和 TAM，成为了现在的 SASE Leader。

企业进行补救的方法是在每个单点购买对应的产品，导致了安全供应商的分割，总预算的上升，同时每个安全工具只是被用来处理单点问题，缺乏上下文和全局防护。

对这种混乱情况的终极解法是使用一个统一的平台，同时提供 SWG、CASB、Private Access（ZTNA）、FWaaS（防火墙即服务）这些完整的 SSE 套件，帮助企业一站式地解决对 SaaS、Web 和内网应用资源的访问、规则设置、DLP 监测等。这样做的好处是企业无需安装实体设备、多次进行复杂部署、使用分散的控制台等。在这些产品之上，边缘的 PoP 基础设施网络则可以帮助客户最高性能地使用这些服务。

这种统一的 SASE 平台目前来看是网络安全领域皇冠上的明珠之一，对供应商要求很高，因此 Netskope、Zscaler、Palo Alto Networks、Cloudflare 等最优秀的安全和网络公司都在角逐成为赢家。

Netskope 的 SSE 产品

SSE 包含 3 个核心产品：

• SWG：

帮助公司员工和 Web 流量之间安全交互，比如老板希望普通员工在上班期间无法访问 YouTube，而社交媒体运营员工可以浏览 YouTube 但无法上传视频，就可以通过 SWG 进行 URL 过滤以及限制 HTML 中的 POST 来实现。

• CASB：

帮助公司员工和 SaaS 安全交互。比如通过 CASB 设置某些员工可以创建一项 Salesforce 活动而别人只能浏览，或是让营销 团队可以在 Linkedin 上发帖而研发团队只能编辑不能发新帖。SaaS 没有固定的编写方式，可以是 HTML、JavaScript、JSON，需要 CASB 供应商做许多解析逻辑。

• ZTNA：

帮助公司员工和企业部署在自己数据中心或云上的内网应用高性能和安全地交互。比如通过使用 ZTNA 来限制已提交离职员工在周五晚上访问内网的某个存有敏感表的应用。

从现有的产品矩阵来看，Netskope 的布局已经相当完善，不光涵盖了 SSE 的 3 个核心组成部分，在 RBI（远程浏览器隔离，被视作下一代 SWG 的核心）和 CSPM（即 Wiz 的核心业务）等延伸领域也已经有资产布局：

我们之前在云安全的文章中将 Netskope 作为 CASB 的代表者展示，而 CASB 目前仍然是 Netskope 的安身立命之本，不管是宽度还是深度都有绝对优势：

• 宽度：

Netskope CASB 支持的总应用数超 5 万，最接近的 Palo Alto Networks 的 CASB 只有 2.5 万，预计年底到 3 万，Zscaler 的 CASB 则在 2021 年才起步，还差距狠大。

• 深度：

Netskope 对于 Out-Of-Band C  ASB的集成、SaaS 的攻击威胁上都理解非常深，在最核心的 SaaS 上，比如 Dropbox、Salesforce、M365 等，Netskope 提供的可见度和权限控制颗粒度都是最强大的。

*Out-of-Band CASB 通过连接到各个 SaaS 的 API 来检查文件以实现安全，而 In-Line CASB 则通过安装代理讲 SaaS 的所有流量转给代理来实现 CASB 能力。Out-Of-Band 需要极深的 Know-How，而 In-Line CASB 则兴起于疫情期间。

在狭义的 SWG 和 ZTNA 产品上，这两类产品的供应商本身已经相当同质化，很难做出差异点，更多是全球 PoP 基础设施的基本功比拼。在被视作 SWG 的下一个核心战场的 RBI 上，Netskope 在 21 年收购了 Randem 获得了服务器端渲染用将视频信号传输到本地的基础技术，和 Zscaler、Palo Alto Networks 的架构没有太大差异，但略落后于收购了 S2 Systems 并获得了本地渲染能力的 Cloudflare。

NewEdge 全球网络

构建一个全球分布式的 PoP 边缘基础设施本应是一件极其困难的事情，Cloudflare、Zscaler、Fastly 等公司花费了数年还是十几年的时间实现这一点。

Netskope 从 19 年开始补足自己的全球 PoP，挖到了 AWS 的 Global Network 和 Amazon carrier 负责人 Joe DePalo 操刀。得益于已经发展成熟的数据中心托管服务商，Joe 基本上只花了一年的时间就在 Netskope 建立起构建了 50 个全球 PoP 网点和 100Tbps 的网络容量。目前跟 Zscaler 等竞争对手相比已经不落下风。

Netskope 也是少数在中国有 PoP 的公司，分别在北京、上海、深圳有 1 个 PoP —— 核心原因是 Netskope 对于用户体验的重视，只要发现某个区域的网络请求达到一定量级就会去开 PoP。由于一直这样比较激进地开 PoP，Netskope 的 PoP 网络利用率可能平均只有 20%+，比行业均值要低很多，它靠通过比竞争对手更高的定价来维持这种奢华的网络性能。

目前 Netskope 正在探索的 Container Service 可以帮助客户在其 PoP 里部署应用，起到类似边缘云计算的效果。这最终可以帮助 Netskope 提升 PoP 的利用率并且向客户追加销售。

由于 Netskope 过去以 CASB 见长，Zscaler 过去以 SWG 见长，许多客户过去需要同时采购它们的产品才能真的满足需求，但是随着 SASE 统一平台的趋势被 CISO 接受，Netskope 和 Zscaler 互相 Land & Expand 的情况更加明显。

根据 Netskope 前 Field CTO 和 Zscaler VP 的观察，Zscaler 的客户在采用它的 CASB 方面会迟疑一些，而 Netskope 的客户在 CASB 之上购买 SWG 或者 FWaaS 则更顺畅，正好可以替换掉 Blue Coat 的硬件，但 Netskope 本身的客户基数仍小于 Zscaler —— 后者在全球拥有超 5600 个客户。

鉴于最新的财务数据较为敏感，下面可以对 Netskope CFO 在投行活动中分享过的 22 年上半年数字跟 Zscaler 的情况做个对比：

Zscaler 在 IPO 时拥有 50% 的增速，至今没有失速。

这种情况背后的原因是网络安全（Network Security）的特殊性 —— 这不是那种 PMF 未验证的新兴市场或者客户的预算未达到稳定的蓝海市场，而是一个红海市场，客户往往已经拥有相似功能的产品，新的供应商需要说服客户更换、放弃已有产品的投资、花成本切换到新的解决方案，只有拥有极强产品力的供应商才能做到这一点。

而一旦达成了这一目标，网络安全领域的创新公司就有机会享受一个较长的增长期，持续占据客户的 IT Spending，增速从 50% 级别缩减到 30% 需要数年的时间。

延伸阅读