以下部分內(nèi)容來源于數(shù)說安全

近日，數(shù)說安全發(fā)布《2022年中國網(wǎng)絡安全十大創(chuàng)新方向》報告，針對每個創(chuàng)新方向進行技術(shù)解讀、核心能力、關(guān)鍵挑戰(zhàn)、應用場景和典型廠商的分析，旨在推動行業(yè)技術(shù)創(chuàng)新、產(chǎn)品創(chuàng)新與應用創(chuàng)新。盛邦安全入選API安全防護和攻擊面管理兩大創(chuàng)新領(lǐng)域典型廠商。

RayAPI ，保護API安全無虞

基于自身在網(wǎng)絡資產(chǎn)治理與應用安全領(lǐng)域的技術(shù)積累，盛邦安全推出了集API資產(chǎn)梳理與加固保護于一體的安全防護型產(chǎn)品——API安全防護系統(tǒng)（RayAPI），在API學習畫像的基礎上，對其進行權(quán)限加固、攻擊防護、數(shù)據(jù)保護和綜合審計，提供全面的管控手段。

RayAPI的五個核心技術(shù)能力：

主被動結(jié)合的API學習引擎：采用主動學習與被動流量分析相結(jié)合的API學習引擎，可以全面梳理用戶業(yè)務中存在的API資產(chǎn)，并結(jié)合流量特征進行語義提取，識別API狀態(tài)、用途等屬性，從而實現(xiàn)標簽化的畫像管理，自動梳理出正常API、影子API與問題API等內(nèi)容；

啟發(fā)式攻擊檢測與防護引擎：采用特征檢測、語義分析與AI學習三合一的啟發(fā)式檢測引擎，通過對已知的攻擊規(guī)則與行為特征簡化判斷邏輯，并對引擎持續(xù)訓練，提升針對未知風險的發(fā)現(xiàn)能力，從而對API相關(guān)的注入攻擊、命令攻擊、異常訪問和非法內(nèi)容進行防護處置；

基于人機識別的API訪問控制：產(chǎn)品基于流量變化和行為特點等角度進行建模分析，梳理API訪問的基線并進行動態(tài)跟蹤，對未授權(quán)訪問、未知請求、非法調(diào)用和異常高頻請求等行為進行識別判斷，并利用反向校驗、訪問限制和白名單等方式進行訪問控制；

面向業(yè)務的API數(shù)據(jù)調(diào)用管控：產(chǎn)品采用全面的檢查點和豐富的數(shù)據(jù)處理模型，能夠結(jié)合業(yè)務特點來對組織敏感數(shù)據(jù)、個人隱私信息、業(yè)務關(guān)鍵信息和系統(tǒng)賬戶口令等數(shù)據(jù)進行精準識別、統(tǒng)計和分類梳理，并結(jié)合擦除、替換和訪問限制等手段來達到脫敏保護等目的；

面向API生命周期的態(tài)勢監(jiān)控：基于時間、空間、業(yè)務屬性和數(shù)據(jù)類型等多種維度對API資產(chǎn)進行監(jiān)控，對API上線狀態(tài)、運行狀況、調(diào)用可靠性、數(shù)據(jù)合法性以及威脅態(tài)勢進行綜合研判，實現(xiàn)API資產(chǎn)的細粒度審計和可視化分析。

基于創(chuàng)新的API 防護技術(shù)與豐富的行業(yè)實踐，盛邦安全將持續(xù)優(yōu)化RayAPI，幫助用戶更好地對抗API攻擊，保護API安全無虞。

基于組織架構(gòu)的攻擊面管理方案防守之所以困難，主要原因在于攻防雙方的不對等。對于攻擊者來說，可以采取漏洞利用、口令爆破、后門等各種攻擊手段，只要找到一個突破口就可以達到目的；而對于防守方來說卻要做到面面俱到，但往往因為暴露面不清、風險不明、人員不足等問題疲于應對。因此，在無法做到不計成本的投入的情況下，做好攻擊面管理、找到防守的關(guān)鍵點不失為一種更為明智的做法。

資產(chǎn)暴露面類別復雜、體量劇增？

隨著云計算、物聯(lián)網(wǎng)等技術(shù)的廣泛應用和遠程辦公的常態(tài)化，各種應用程序激增，企業(yè)資產(chǎn)也變得更加復雜而分散，越來越多的影子資產(chǎn)和不受監(jiān)控的IT資產(chǎn)成為安全防守的盲區(qū)。

主被動結(jié)合的暴露面探測來支招

我們需要以攻擊者視角監(jiān)測網(wǎng)絡空間資產(chǎn)的脆弱性，分析可能被攻擊者利用的風險點，并制訂對應的防守策略，從業(yè)務屬性、社會屬性等維度維護資產(chǎn)的安全性和有效性。

攻擊行為向綜合型、立體式發(fā)展？

當下，攻擊行為朝著基于資產(chǎn)暴露面的通用漏洞、事件型0day、移動端應用/APK攻擊、API攻擊、文檔和文件泄露、企業(yè)敏感信息泄露、勒索軟件攻擊、電子憑證攻擊、供應鏈攻擊、社工庫攻擊等為一體的綜合型、立體式攻擊模式發(fā)展。

以自動化攻擊模擬技術(shù)檢驗防御的有效性

在實戰(zhàn)攻防場景下，我們需要以自動化技術(shù)和攻擊模擬技術(shù)，從攻擊者視角持續(xù)不斷地檢驗現(xiàn)有安全機制的有效性，從而應對愈演愈烈的綜合型、立體式網(wǎng)絡攻擊。

被動安全防御越來越無力？

傳統(tǒng)的被動式網(wǎng)絡安全防御方式是在攻擊者已開始嘗試攻擊的“事中”或者已攻擊成功的“事后”而進行的防御行為，平均檢測和響應時間等關(guān)鍵指標通常較差且補救成本很高。

變被動為主動，多種安全能力協(xié)同發(fā)力

從攻擊者的角度，在“事前”采取主動防御的手段，針對自身薄弱點進行攻擊預判和提前處置，協(xié)同聯(lián)動各種安全能力，提高安全事件響應速度，將隱患消滅于萌芽之中。

基于組織架構(gòu)的攻擊面管理方案要點

◆ 基于企業(yè)屬性梳理包括組織的IT資產(chǎn)、服務、應用、業(yè)務系統(tǒng)的整個暴露面；

◆ 分析組織整個IT資產(chǎn)信息系統(tǒng)暴露面，并將其與組織架構(gòu)進行關(guān)聯(lián)；

◆ 將所有信息資產(chǎn)與組織的漏洞情報進行關(guān)聯(lián)；

◆ 發(fā)現(xiàn)企業(yè)內(nèi)部網(wǎng)絡資產(chǎn)、業(yè)務數(shù)據(jù)、產(chǎn)品代碼、敏感信息及隱私泄露的具體情況；

◆ 基于資產(chǎn)治理“五步法”對攻擊面進行收斂，如資產(chǎn)風險評估、漏洞整改、違規(guī)外聯(lián)整治等。

不久前，盛邦安全入選了《IDC TechScape：中國數(shù)據(jù)安全發(fā)展路線圖，2022》報告并被評為“API安全”技術(shù)領(lǐng)域推薦廠商。此次入選數(shù)說安全《2022中國網(wǎng)絡安全十大創(chuàng)新方向》報告，是對盛邦安全在API安全和攻擊面管理技術(shù)領(lǐng)域持續(xù)創(chuàng)新的再次認可。未來，盛邦安全將繼續(xù)發(fā)揮自身技術(shù)優(yōu)勢，為廣大用戶提供更多滿足攻防實戰(zhàn)場景下的安全防護需求的產(chǎn)品、解決方案和服務。