近日，中國(guó)數(shù)字產(chǎn)業(yè)領(lǐng)域第三方咨詢機(jī)構(gòu)數(shù)世咨詢發(fā)布安全行業(yè)首份《ADR 能力白皮書(shū)》，通過(guò)系統(tǒng)研究 ADR 的關(guān)鍵能力以及使用場(chǎng)景等，為廣大政企客戶構(gòu)建整體應(yīng)用防護(hù)體系提供參考和借鑒。白皮書(shū)還推薦了 ADR 領(lǐng)域的代表性廠商，作為一家專注于技術(shù)創(chuàng)新突破的安全新銳公司，邊界無(wú)限憑借其被喻為應(yīng)用 " 免疫血清 " 的靖云甲 ADR 成為唯一被推薦的國(guó)內(nèi)公司。該 ADR 能力白皮書(shū)在 CSA 大中華區(qū)組織的 CSA 研討會(huì)上首次發(fā)布。
ADR關(guān)鍵發(fā)現(xiàn)
應(yīng)用檢測(cè)與響應(yīng)（Application Detection and Response – ADR）是指以 Web 應(yīng)用為主要對(duì)象，采集應(yīng)用運(yùn)行環(huán)境與應(yīng)用內(nèi)部中用戶輸入、上下文信息、訪問(wèn)行為等流量數(shù)據(jù)并上傳至分析管理平臺(tái)，輔助威脅情報(bào)關(guān)聯(lián)分析后，以自動(dòng)化策略或人工響應(yīng)處置安全事件的解決方案。
ADR 以 Web 應(yīng)用為核心，以 RASP 為主要安全能力切入點(diǎn)。
作為安全關(guān)鍵基礎(chǔ)設(shè)施，ADR 能夠與 WAF、HDR、IAST 等多個(gè)安全能力形成有機(jī)配合。
ADR 的五大關(guān)鍵技術(shù)能力：探針（Agent）、應(yīng)用資產(chǎn)發(fā)現(xiàn)、高級(jí)威脅檢測(cè)、數(shù)據(jù)建模與分析、響應(yīng)阻斷與修復(fù)。
對(duì) 0day 漏洞、無(wú)文件攻擊等高級(jí)攻擊威脅的檢測(cè)與響應(yīng)已經(jīng)成為 ADR 的關(guān)鍵能力之一。
ADR 廠商將與公有云廠商、各行業(yè)云廠商建立更加深入的合作關(guān)系，逐步加快 ADR 在各行業(yè)的集中部署。
ADR賽道國(guó)內(nèi)外代表企業(yè)
Araali Network
Araali Network 是今年 RSAC2022 的創(chuàng)新沙盒 10 強(qiáng)，關(guān)注云原生場(chǎng)景下的應(yīng)用運(yùn)行時(shí)安全。其安全理念、技術(shù)框架、產(chǎn)品功能與本文提出的 ADR 十分相符。
舉例來(lái)說(shuō)，Araali 首先會(huì)對(duì)應(yīng)用的運(yùn)行時(shí)環(huán)境進(jìn)行持續(xù)掃描監(jiān)測(cè)，以評(píng)估固有風(fēng)險(xiǎn)并確定其優(yōu)先級(jí)。它會(huì)自動(dòng)檢測(cè)最易受攻擊的應(yīng)用程序、最有價(jià)值的應(yīng)用程序，它還會(huì)查找具有過(guò)多特權(quán)、未使用的開(kāi)放端口、磁盤(pán)上的密鑰、特權(quán)過(guò)高的 IAM 配置，以分析潛在的攻擊暴露面，逐步形成應(yīng)用的安全運(yùn)行基線。
在 " 檢測(cè) " 環(huán)節(jié)，Araali 使用基于 eBPF 的控件來(lái)創(chuàng)建基于身份的行為模型，對(duì)出站的請(qǐng)求進(jìn)行檢測(cè)分析，并與外部威脅情報(bào)結(jié)合，在網(wǎng)絡(luò)流程層面對(duì)惡意連接進(jìn)行分析阻斷。一旦發(fā)現(xiàn)可疑行為，Araali 會(huì)將時(shí)間、客戶端、服務(wù)、狀態(tài)等完整上下文信息一同推送給安全運(yùn)營(yíng)團(tuán)隊(duì)，功能上甚至允許運(yùn)營(yíng)團(tuán)隊(duì) " 重放 " 觸發(fā)告警的行為動(dòng)作，方便團(tuán)隊(duì)參考上下文順序進(jìn)行進(jìn)一步關(guān)聯(lián)分析。
在后續(xù)的 " 響應(yīng) " 部分，運(yùn)營(yíng)團(tuán)隊(duì)除了對(duì)事件中的單點(diǎn)威脅進(jìn)行阻斷外，還通過(guò)自動(dòng)化、自適應(yīng)的 " 彈性補(bǔ)丁 " 對(duì)風(fēng)險(xiǎn)點(diǎn)進(jìn)行加固修復(fù)。這一部分能力，也是通過(guò) eBPF 來(lái)實(shí)現(xiàn)。
基于上述能力，Araali 實(shí)現(xiàn)了對(duì) 0day 漏洞的預(yù)防護(hù)。彈性補(bǔ)丁可以直接鞏固強(qiáng)化應(yīng)用的行為，從而防止?jié)撛诘睦?0day 入侵的威脅。官方宣稱 " 一次響應(yīng)，永久預(yù)防 "。
針對(duì) 0day 等高級(jí)威脅的檢測(cè)能力，以及不中斷業(yè)務(wù)、彈性補(bǔ)丁等貼合用戶實(shí)際需求的優(yōu)勢(shì)，是數(shù)世咨詢將 Araali 列入代表企業(yè)的原因。
Reveal Security
同數(shù)世咨詢一樣，Reveal Security 也明確提出了 ADR 應(yīng)用檢測(cè)與響應(yīng)的理念
它認(rèn)為，網(wǎng)絡(luò)、終端、操作系統(tǒng)以及用戶行為等維度，均已經(jīng)有成型的安全檢測(cè)與響應(yīng)技術(shù)，但在應(yīng)用層仍缺少有效的檢測(cè)與響應(yīng)手段，ADR 應(yīng)需而生。
Reveal 的核心技術(shù)理念，以分析用戶訪問(wèn)應(yīng)用的行為上下文為出發(fā)點(diǎn)，代替基于規(guī)則的應(yīng)用安全檢測(cè)，目的是提升應(yīng)用檢測(cè)的準(zhǔn)確率，為之后的響應(yīng)環(huán)節(jié)提供高效支撐。
在實(shí)現(xiàn)上，它放棄了之前只分析某個(gè)行為本身的做法，改為分析用戶在應(yīng)用中的一系列行為。通過(guò)行為上下文，找出不同于正常訪問(wèn)行為的異常特征 session，進(jìn)而發(fā)現(xiàn)潛在威脅。
Reveal 強(qiáng)調(diào)并非要找到一個(gè)適用于所有用戶的通用性行為，而是要通過(guò)機(jī)器學(xué)習(xí)形成針對(duì)每個(gè)用戶的行為基線，因此，它會(huì)盡量多的獲取各類日志信息，以聚類數(shù)據(jù)引擎對(duì)各類分組數(shù)據(jù)進(jìn)行調(diào)度與分析，逐步形成用戶的行為基線，進(jìn)而發(fā)現(xiàn)異常威脅行為。
據(jù) Reveal 宣稱，其檢測(cè)模型具有非常廣泛的適應(yīng)性，不依賴于應(yīng)用中某個(gè)具體的運(yùn)行環(huán)境。同時(shí)它的聚類分析引擎并不需要準(zhǔn)確集群數(shù)量的先驗(yàn)知識(shí)，仍能保持準(zhǔn)確性。
對(duì)應(yīng)用行為數(shù)據(jù)的聚類分析，是 RevealSecurity 的亮點(diǎn)優(yōu)勢(shì)，也是 ADR 所需的關(guān)鍵能力之一，這也是數(shù)世咨詢將其列入代表企業(yè)的原因。
邊界無(wú)限（BoundaryX）
邊界無(wú)限作為國(guó)內(nèi)新成立的安全創(chuàng)新企業(yè)，其團(tuán)隊(duì)核心成員來(lái)自騰訊玄武實(shí)驗(yàn)室和頭部安全公司，具備很高的攻防起點(diǎn)，因此，0day、內(nèi)存馬等高級(jí)威脅檢測(cè)場(chǎng)景是其 RASP 產(chǎn)品的優(yōu)勢(shì)之一，據(jù)了解，Log4j、Spring4shell 等高危漏洞爆發(fā)時(shí)，他們的 RASP 產(chǎn)品靖云甲都成功檢測(cè)并進(jìn)行了攔截。
基于 RASP 技術(shù)，憑借攻防基因與技術(shù)優(yōu)勢(shì)，邊界無(wú)限完善了應(yīng)用運(yùn)行時(shí)全流程全周期的安全防護(hù)能力，加入了多場(chǎng)景業(yè)務(wù)適配、虛擬補(bǔ)丁、編排模式等檢測(cè)與響應(yīng)能力。依托這些能力，用戶可以快速聚焦攻擊者，定位缺陷應(yīng)用，進(jìn)而提升團(tuán)隊(duì)的 MTTD/MTTR 時(shí)效。
具體以應(yīng)用資產(chǎn)盤(pán)點(diǎn)能力舉例來(lái)說(shuō)，該能力以實(shí)戰(zhàn)攻防演練為主要場(chǎng)景、以攻擊面收斂為主要目的，除了常見(jiàn)的第三方組件庫(kù)等應(yīng)用資產(chǎn)，對(duì)應(yīng)用間的 API 資產(chǎn)也能夠持續(xù)發(fā)現(xiàn)與管理，對(duì)南北向之外的東西向流量，都可以做到覆蓋與識(shí)別，進(jìn)而梳理清楚應(yīng)用間的訪問(wèn)關(guān)系。
今年，邊界無(wú)限也提出了應(yīng)用檢測(cè)與響應(yīng) ADR 的理念，與數(shù)世咨詢不謀而合。作為國(guó)內(nèi)少有的 ADR 代表企業(yè)之一，數(shù)世咨詢會(huì)對(duì)其持續(xù)關(guān)注。
邊界無(wú)限靖云甲ADR
誠(chéng)如數(shù)世咨詢 ADR 能力白皮書(shū)中所述，目前國(guó)內(nèi)相關(guān)領(lǐng)域企業(yè)數(shù)量并不多，只有個(gè)別企業(yè)明確提出了 ADR 這一概念，而邊界無(wú)限就是這么一家將 RASP 技術(shù)提升至 ADR 的安全新銳，并憑借超強(qiáng)的技術(shù)前瞻性和對(duì) ADR 的專注而入選 ADR 能力白皮書(shū)，并且成為國(guó)內(nèi)唯一被推薦的 ADR 代表廠商，其自主研創(chuàng)的靖云甲 ADR 更是被業(yè)界稱為應(yīng)用的 " 免疫血清 "。
邊界無(wú)限副總裁、產(chǎn)品總負(fù)責(zé)人沈思源介紹說(shuō)，靖云甲 ADR 基于 RASP 技術(shù)，以 Web 應(yīng)用為核心，以 RASP 為主要安全能力切入點(diǎn)，打造 Web 應(yīng)用全方位安全檢測(cè)與響應(yīng)的解決方案，是邊界無(wú)限幫助用戶構(gòu)建云原生時(shí)代安全基礎(chǔ)設(shè)施體系的起點(diǎn)和戰(zhàn)略支點(diǎn)，更是 " 靈動(dòng)智御 " 理念的實(shí)踐。靖云甲 ADR 引入多項(xiàng)前瞻性的技術(shù)理念，通過(guò)對(duì)應(yīng)用風(fēng)險(xiǎn)的持續(xù)檢測(cè)和安全風(fēng)險(xiǎn)快速響應(yīng)，幫助企業(yè)應(yīng)對(duì)來(lái)自業(yè)務(wù)增長(zhǎng)、技術(shù)革新和基礎(chǔ)設(shè)施環(huán)境變化所產(chǎn)生的等諸多應(yīng)用安全新挑戰(zhàn)。
邊界無(wú)限靖云甲 ADR 擁有資產(chǎn)管理、入侵檢測(cè)、漏洞管理和內(nèi)存馬防御等核心功能，具備免重啟、采樣決策分離、IT 部署架構(gòu)、性能全面領(lǐng)先等核心優(yōu)勢(shì)，其應(yīng)用場(chǎng)景為業(yè)務(wù)在線修復(fù)、實(shí)戰(zhàn)攻防演練、惡意應(yīng)用攻擊和集團(tuán)應(yīng)用安全建設(shè)能力等。
具體來(lái)說(shuō)，在流量安全層面，邊界無(wú)限靖云甲 ADR 基于網(wǎng)格化流量采集，通過(guò)聯(lián)動(dòng)應(yīng)用端點(diǎn)數(shù)據(jù)、應(yīng)用訪問(wèn)數(shù)據(jù)，高效準(zhǔn)確防御 0day 漏洞利用、內(nèi)存馬注入等各類安全威脅；在數(shù)據(jù)安全方面通過(guò)數(shù)據(jù)審計(jì)、治理、脫敏等安全技術(shù)，有效實(shí)現(xiàn)數(shù)據(jù)安全風(fēng)險(xiǎn)態(tài)勢(shì)的把控。在為企業(yè)提供全面的應(yīng)用安全保障的同時(shí)，ADR 通過(guò)虛擬補(bǔ)丁、漏洞威脅情報(bào)、訪問(wèn)控制等運(yùn)營(yíng)處置手段，有效提高安全運(yùn)營(yíng)的事件處置效率。這順應(yīng)了時(shí)下流行的安全技術(shù)趨勢(shì)，也滿足了廣大政企客戶的現(xiàn)實(shí)安全需求。
邊界無(wú)限靖云甲 ADR 擁有精準(zhǔn)細(xì)化的資產(chǎn)清點(diǎn)、緊跟形式的安全研究、海量可靠的漏洞運(yùn)營(yíng)、輕量無(wú)感的性能損耗等優(yōu)點(diǎn)，尤其是在應(yīng)用資產(chǎn)管理、供應(yīng)鏈安全、API 資產(chǎn)學(xué)習(xí)層面，表現(xiàn)優(yōu)異。靖云甲 ADR 跨 IT 架構(gòu)統(tǒng)計(jì)應(yīng)用資產(chǎn)，實(shí)現(xiàn)安全能力同步管控，為應(yīng)用提供安全風(fēng)險(xiǎn)評(píng)估；動(dòng)態(tài)采集應(yīng)用運(yùn)行過(guò)程中的組件加載情況，快速感知資產(chǎn)動(dòng)態(tài)，全面有效獲知供應(yīng)鏈資產(chǎn)信息；自主學(xué)習(xí)流量 + 應(yīng)用框架，具體來(lái)說(shuō)，靖云甲 ADR 會(huì)通過(guò)插樁對(duì)應(yīng)用內(nèi)部框架定義的 API 方法以及應(yīng)用流量進(jìn)行 API 全量采集，同時(shí)利用 AI 檢測(cè)引擎請(qǐng)求流量進(jìn)行持續(xù)分析，自動(dòng)分析暴露陳舊、敏感數(shù)據(jù)等關(guān)鍵問(wèn)題。
此外，邊界無(wú)限靖云甲 ADR 采用 " 主被動(dòng)結(jié)合 " 雙重防御機(jī)制，對(duì)外基于 RASP 能力對(duì)內(nèi)存馬的注入行為進(jìn)行有效防御，對(duì)內(nèi)通過(guò)建立內(nèi)存馬檢測(cè)模型，通過(guò)持續(xù)分析內(nèi)存中存在的惡意代碼，幫助用戶解決掉埋藏內(nèi)存中的 " 定時(shí)炸彈 "。針對(duì)內(nèi)存中潛藏的內(nèi)存馬，靖云甲 ADR 提供了一鍵清除功能，可以直接將內(nèi)存馬清除，實(shí)現(xiàn)對(duì)內(nèi)存馬威脅的快速處理。靖云甲 ADR 還可以通過(guò)主動(dòng)攔截 + 被動(dòng)掃描，有效阻斷內(nèi)存馬的注入；對(duì)已經(jīng)被注入的內(nèi)存馬提供源碼和特征檢測(cè)信息，無(wú)需重啟應(yīng)用即可一鍵清除。另外，靖云甲 ADR 采用 "attach" 等方式注入 agent，無(wú)需重啟直接更新，以減少對(duì)業(yè)務(wù)運(yùn)行的干擾。
截至目前，邊界無(wú)限已與關(guān)鍵基礎(chǔ)設(shè)施重要行業(yè)和領(lǐng)域的數(shù)十家客戶達(dá)成業(yè)務(wù)合作，相信隨著 RASP 以及 ADR 技術(shù)的進(jìn)一步成熟，邊界無(wú)限將幫助各運(yùn)營(yíng)單位構(gòu)建關(guān)鍵信息基礎(chǔ)設(shè)施整體應(yīng)用防控體系，不斷提升關(guān)鍵信息基礎(chǔ)設(shè)施安全應(yīng)用防護(hù)能力。
