点击↑蓝字

关注墨云安全

Gartner于2022年首次发布《2022年中国安全技术成熟度曲线》，该曲线指出，随着国内数字化转型的推进，尤其是云计算、大数据、人工智能、物联网和电子商务的发展，企业机构数字资产保护已成为安全和风险管理领导者的关键任务。

国内法规日趋严格，安全的重要性更甚以往。这篇报告是全新的中国安全创新领域技术成熟度曲线，墨云科技被认可为入侵和攻击模拟（BAS）与软件成分分析（SCA）双技术领域代表厂商。

图一：2022年中国安全技术成熟度曲线

 中国的入侵和攻击模拟技术

目前，网络安全面临着复杂性、艰巨性、多元化的挑战，多数企业基于安全合规要求和最佳实践建设了纵深防御的网络安全防御体系，但实际防护效果和响应处置水平一直缺乏有效的测试和验证，因此，基于攻击者视角构建新一代数字化安全方案是必然趋势。

在《Hype Cycle for Security in China, 2022》中，Gartner 将入侵和攻击模拟进行定义：“认为通过自动化模拟外部和内部、横向移动和数据泄露等威胁向量，使企业更好地了解其安全薄弱点。”自动化入侵和攻击模拟工具经过验证，是人工渗透测试演习的有效替代方案，通过持续对 IT 基础设施实行渗透测试帮助企业改善安全状况。

墨云科技旗下主流产品智能自动化攻击模拟平台，基于 BAS 技术，为用户提供自动化的、持续的入侵和攻击模拟技术支撑手段，通过对网络安全防护系统的有效性进行持续验证，对组织的网络安全防御态势进行持续评估，持续改善网络安全防御体系效能。

持续验证：自动化运行，持续地评估业务和网络基础设施环境中安全防御能力的弱点和变化，持续改善安全防御态势。

精准识别：依托多年来攻防实战积累的攻击战术，精心设计攻击剧本，模拟攻击的测试验证过程，结果精准。

全局透视：提供对纵深防御体系的全局评估能力，帮助安全运营团队掌握网络安全防御体系的短板和关键风险。

实效度量：综合安全威胁实施的难易度、可能性、安全防御效果等因素，对组织当前的安全防御水平进行量化评估，为网络安全规划、建设、优化等决策提供量化依据。

 中国的软件成分分析技术

在数字化时代，系统研发的过程中开源组件引入的比例越来越高。开源代码的使用大幅度提高软件研发效率、缩短上市时间、降低开发成本，但是开源软件中存在的大量缺陷，甚至是安全漏洞也一并进入了软件部署包，给软件带来巨大的安全风险。因此，解决软件成分中第三方组件的安全问题迫在眉睫，软件成分分析（SCA）应运而生。

软件成分分析可以检测开源软件与第三方组件中存在的已知漏洞，识别潜在供应链安全风险。《Hype Cycle for Securityin China, 2022》中认为，SCA 可以帮助应用开发团队发布更安全的代码，并为安全团队提供主动的风险管理方法。企业可以选择合适的 SCA 工具，在使用开源组件前对其进行主动评估，以避免在生产环境中引入风险，进一 步确保软件供应链安全。

结合人工智能技术与威胁情报数据，墨云科技自主研发Scabot 智能软件供应链安全分析平台，依托基于 AI 的二进制代码相似性对比技术，无需源代码便能够全面高效地检测软件组成，深层次剖析软件依赖关系进行安全风险评估，并提供专业、有效的安全分析和修补建议，实现软件供应链问题的及时预警与修复。

软件成分分析：提供软件物料清单，支持400多种文件格式的深入分析，提供准确的软件组件版本，具备对开源组件进行跟踪管理的能力。

供应链攻击审查：通过及时对软件、系统组件的详细成分分析，可定制待审查供应链模块或文件，实现供应链攻击的预防及修复。

关联漏洞分析：自动化二进制代码分析，检测三方引用及开源二进制软件漏洞，通过关联性分析消除漏洞误报，根据依赖组件的组成信息，判断漏洞对软件的真实影响。

风险预警：利用威胁情报数据，通过严重性、漏洞利用普遍性及恶意软件应用程度等维度确定软件中已知漏洞的修复优先级，实现风险预警。

数据可视化：提供软件成分分析图谱，能够支持多维度数据统计，通过对比历史各项数据，可清晰获得风险趋势。

 攻防演练

在攻防演练中，攻击团队（红队）的任务是，利用攻击者可以采用的一切手段对企业机构系统实施攻击，以展示攻击成功带来的影响。这些手段包括网络钓鱼、社会工程、物理渗透、潜伏和突袭。与之相对的是，防守团队（蓝队）负责检测并应对来自红队的攻击。

中国政府每年都会组织国家级攻防演练，不可预测的恶意攻击也日益增多，这些都促使企业机构主动实施攻防演练。安全服务提供商可能会在演练中担任攻击团队的角色，帮助企业安全团队在接近真实的场景下查漏补缺。

 墨云科技

北京墨云科技有限公司作为国内领先的智能网络攻防科技安全服务提供商，一直秉持着让网络攻防更智能的使命，不断创造突破性技术，专注人工智能在攻防安全领域的应用研究，打造智能化产品体系，为客户提供全方位的信息安全服务。

墨云凭借强大技术实力斩获国家高新技术企业、北京专精特新“小巨人”企业、CNNVD技术支撑单位等多项荣誉，同时也荣获红鲱鱼全球100强，并被Gartner推荐为BAS与SCA双领域标杆企业。目前，墨云科技已在北京、南京、上海、广州、深圳、成都、武汉、济南、西安等多地设有研发中心及分支机构，服务行业客户百余家。

往期回顾

新兴国家战略级安全话题——软件供应链安全

墨云荣获“创客北京2022”软件与信息技术项目十强

入侵和攻击模拟技术的五种应用场景

引领智能网络攻防科技

点击在看

分享给小伙伴

↓↓点击阅读原文，了解更多墨云信息

原文始发于微信公众号（墨云安全）：Gartner 2022年中国安全技术成熟度曲线