以下部分內容來源于數說安全

近日，數說安全發(fā)布《2022年中國網絡安全十大創(chuàng)新方向》報告，針對每個創(chuàng)新方向進行技術解讀、核心能力、關鍵挑戰(zhàn)、應用場景和典型廠商的分析，旨在推動行業(yè)技術創(chuàng)新、產品創(chuàng)新與應用創(chuàng)新。盛邦安全入選API安全防護和攻擊面管理兩大創(chuàng)新領域典型廠商。

RayAPI ，保護API安全無虞

基于自身在網絡資產治理與應用安全領域的技術積累，盛邦安全推出了集API資產梳理與加固保護于一體的安全防護型產品——API安全防護系統（RayAPI），在API學習畫像的基礎上，對其進行權限加固、攻擊防護、數據保護和綜合審計，提供全面的管控手段。

RayAPI的五個核心技術能力：

主被動結合的API學習引擎：采用主動學習與被動流量分析相結合的API學習引擎，可以全面梳理用戶業(yè)務中存在的API資產，并結合流量特征進行語義提取，識別API狀態(tài)、用途等屬性，從而實現標簽化的畫像管理，自動梳理出正常API、影子API與問題API等內容；

啟發(fā)式攻擊檢測與防護引擎：采用特征檢測、語義分析與AI學習三合一的啟發(fā)式檢測引擎，通過對已知的攻擊規(guī)則與行為特征簡化判斷邏輯，并對引擎持續(xù)訓練，提升針對未知風險的發(fā)現能力，從而對API相關的注入攻擊、命令攻擊、異常訪問和非法內容進行防護處置；

基于人機識別的API訪問控制：產品基于流量變化和行為特點等角度進行建模分析，梳理API訪問的基線并進行動態(tài)跟蹤，對未授權訪問、未知請求、非法調用和異常高頻請求等行為進行識別判斷，并利用反向校驗、訪問限制和白名單等方式進行訪問控制；

面向業(yè)務的API數據調用管控：產品采用全面的檢查點和豐富的數據處理模型，能夠結合業(yè)務特點來對組織敏感數據、個人隱私信息、業(yè)務關鍵信息和系統賬戶口令等數據進行精準識別、統計和分類梳理，并結合擦除、替換和訪問限制等手段來達到脫敏保護等目的；

面向API生命周期的態(tài)勢監(jiān)控：基于時間、空間、業(yè)務屬性和數據類型等多種維度對API資產進行監(jiān)控，對API上線狀態(tài)、運行狀況、調用可靠性、數據合法性以及威脅態(tài)勢進行綜合研判，實現API資產的細粒度審計和可視化分析。

基于創(chuàng)新的API 防護技術與豐富的行業(yè)實踐，盛邦安全將持續(xù)優(yōu)化RayAPI，幫助用戶更好地對抗API攻擊，保護API安全無虞。

基于組織架構的攻擊面管理方案防守之所以困難，主要原因在于攻防雙方的不對等。對于攻擊者來說，可以采取漏洞利用、口令爆破、后門等各種攻擊手段，只要找到一個突破口就可以達到目的；而對于防守方來說卻要做到面面俱到，但往往因為暴露面不清、風險不明、人員不足等問題疲于應對。因此，在無法做到不計成本的投入的情況下，做好攻擊面管理、找到防守的關鍵點不失為一種更為明智的做法。

資產暴露面類別復雜、體量劇增？

隨著云計算、物聯網等技術的廣泛應用和遠程辦公的常態(tài)化，各種應用程序激增，企業(yè)資產也變得更加復雜而分散，越來越多的影子資產和不受監(jiān)控的IT資產成為安全防守的盲區(qū)。

主被動結合的暴露面探測來支招

我們需要以攻擊者視角監(jiān)測網絡空間資產的脆弱性，分析可能被攻擊者利用的風險點，并制訂對應的防守策略，從業(yè)務屬性、社會屬性等維度維護資產的安全性和有效性。

攻擊行為向綜合型、立體式發(fā)展？

當下，攻擊行為朝著基于資產暴露面的通用漏洞、事件型0day、移動端應用/APK攻擊、API攻擊、文檔和文件泄露、企業(yè)敏感信息泄露、勒索軟件攻擊、電子憑證攻擊、供應鏈攻擊、社工庫攻擊等為一體的綜合型、立體式攻擊模式發(fā)展。

以自動化攻擊模擬技術檢驗防御的有效性

在實戰(zhàn)攻防場景下，我們需要以自動化技術和攻擊模擬技術，從攻擊者視角持續(xù)不斷地檢驗現有安全機制的有效性，從而應對愈演愈烈的綜合型、立體式網絡攻擊。

被動安全防御越來越無力？

傳統的被動式網絡安全防御方式是在攻擊者已開始嘗試攻擊的“事中”或者已攻擊成功的“事后”而進行的防御行為，平均檢測和響應時間等關鍵指標通常較差且補救成本很高。

變被動為主動，多種安全能力協同發(fā)力

從攻擊者的角度，在“事前”采取主動防御的手段，針對自身薄弱點進行攻擊預判和提前處置，協同聯動各種安全能力，提高安全事件響應速度，將隱患消滅于萌芽之中。

基于組織架構的攻擊面管理方案要點

◆ 基于企業(yè)屬性梳理包括組織的IT資產、服務、應用、業(yè)務系統的整個暴露面；

◆ 分析組織整個IT資產信息系統暴露面，并將其與組織架構進行關聯；

◆ 將所有信息資產與組織的漏洞情報進行關聯；

◆ 發(fā)現企業(yè)內部網絡資產、業(yè)務數據、產品代碼、敏感信息及隱私泄露的具體情況；

◆ 基于資產治理“五步法”對攻擊面進行收斂，如資產風險評估、漏洞整改、違規(guī)外聯整治等。

不久前，盛邦安全入選了《IDC TechScape：中國數據安全發(fā)展路線圖，2022》報告并被評為“API安全”技術領域推薦廠商。此次入選數說安全《2022中國網絡安全十大創(chuàng)新方向》報告，是對盛邦安全在API安全和攻擊面管理技術領域持續(xù)創(chuàng)新的再次認可。未來，盛邦安全將繼續(xù)發(fā)揮自身技術優(yōu)勢，為廣大用戶提供更多滿足攻防實戰(zhàn)場景下的安全防護需求的產品、解決方案和服務。