Horizon3, het bedrijf achter het pentestplatform NodeZero, heeft de grens van 100 miljoen dollar aan jaarlijks terugkerende omzet (ARR) overschreden. Het bedrijf meldt een groei van meer dan 120 procent. NodeZero is volgens Horizon3 in gebruik bij ruim 7.000 organisaties, en een groot deel van de klanten test inmiddels maandelijks of wekelijks.
In september 2021 passeerde Horizon3 de grens van 1 miljoen dollar ARR. Het NodeZero-platform is volgens het bedrijf inmiddels ingezet voor meer dan 350.000 tests in productieomgevingen. Tot de klanten rekent Horizon3 onder meer Fortune 10-bedrijven, multinationale banken, zorgnetwerken en overheidsinstanties. Het bedrijf beschikt over een FedRAMP High-autorisatie.
Van intern pentesten naar platform
Horizon3 begon met het autonoom pentesten van interne productiesystemen. Volgens het bedrijf leverde dat toegang op tot trainingsdata over cybersecurity die zich achter de firewall bevonden. Daarna breidde Horizon3 het testen uit naar externe omgevingen, cloud, Kubernetes en webapplicaties. Het bedrijf stelt dat al die tests veilig in productieomgevingen draaien.
Daarnaast voegde Horizon3 functies toe die aansluiten op het pentesten: de automatische inzet van misleiding (deception) op basis van gevonden aanvalspaden, ondersteuning van CTEM-workflows (continuous threat exposure management) en inmiddels ook agentische remediation-workflows via zogeheten blue-team agents. Volgens Horizon3 is misleiding als verdedigingsmethode weer in opkomst, omdat die effectief zou zijn tegen agentische aanvallers.
Medeoprichter en CEO Snehal Antani schrijft de groei toe aan drie factoren: vroege investeringen in het kanaal, de stapsgewijze ontwikkeling van een enkel product naar een platform en een bedrijfsvoering die tijdens economische cycli groei en efficiëntie in balans hield. Hij noemt de 100 miljoen dollar ARR een eerste mijlpaal.
Van jaarlijkse naar wekelijkse tests
Horizon3 meldt dat ongeveer 80 procent van de klanten is overgestapt van jaarlijkse naar maandelijkse pentests. Volgens het bedrijf test 40 procent zelfs wekelijks. Horizon3 schrijft die verschuiving toe aan de zelfservice-opzet en het abonnementsmodel van het platform.
Het bedrijf richt zich op securityprofessionals, IT-beheerders en netwerkengineers die hun eigen omgeving willen aanvallen. Zo moeten ze zien welke kwetsbaarheden daadwerkelijk te misbruiken zijn, welke problemen als eerste aandacht verdienen en of hun securitymaatregelen werken. Horizon3 verwacht dat de hogere testfrequentie de overgang naar continuous exposure management versnelt, waarbij organisaties over langere tijd kunnen aantonen hoe het met hun cyberweerbaarheid staat.
Drie investeringsgebieden
Antani stelt dat nieuwe AI-modellen pas ontdekte kwetsbaarheden sneller omzetten in werkende aanvalspaden dan traditionele testcycli kunnen bijbenen. Het bedrijf investeert daarom in drie gebieden.
Als eerste breidt Horizon3 zijn ‘soevereine’ cyber-AI-regio’s uit. Die zijn bedoeld voor organisaties die hun data binnen landsgrenzen moeten houden. Daarnaast bouwt het bedrijf centers of excellence voor cyberweerbaarheid binnen kritieke infrastructuur. Daar wil Horizon3 de cyclus van hacken, herstellen, verifiëren en herhalen laten werken op de schaal en met de controleerbaarheid die zulke omgevingen vragen. Ten derde ontwikkelt het bedrijf AI-leercycli voor aanval en verdediging. Horizon3 beoogt daarmee dat elke test in productie de volgende verbetert, op basis van de aanvalspaden uit honderdduizenden eerdere tests.
Antani geeft aan dat het uitvoeren van pentests op grote productieomgevingen, herhaalbaar, controleerbaar en binnen door de klant vastgestelde kaders, Horizon3 onderscheidt van andere aanbieders. Hij verwacht dat de verdere ontwikkeling van AI-modellen de verschuiving naar continue pentests zal versnellen.
