旋即，Interpres便被CSO Online列為2023值得關(guān)注的網(wǎng)絡(luò)安全初創(chuàng)公司之一。Interpres提供了一個(gè)讓客戶能夠更好地管理其「防御面Defense Surface」的平臺(tái)，通過(guò)持續(xù)的威脅分析識(shí)別網(wǎng)絡(luò)防御中的漏洞和低效之處，展示客戶當(dāng)前安全工具的能力，使安全團(tuán)隊(duì)能夠通過(guò)數(shù)據(jù)驅(qū)動(dòng)來(lái)改善安全態(tài)勢(shì)，企業(yè)的安全性能變得可理解和可證明。

隨著企業(yè)安全建設(shè)的發(fā)展，企業(yè)部署了繁多復(fù)雜的安全產(chǎn)品、平臺(tái)、規(guī)則策略。但與此同時(shí)，在各類攻防對(duì)抗、紅藍(lán)演練中依然會(huì)暴露出各種問(wèn)題，導(dǎo)致邊界被突破、權(quán)限被獲取，數(shù)據(jù)被泄露，靶標(biāo)被拿下甚至真實(shí)的發(fā)生信息安全事件，嚴(yán)重影響生產(chǎn)業(yè)務(wù)安全。根據(jù)Gartner的調(diào)查，97％的入侵行為發(fā)生在已經(jīng)部署適當(dāng)網(wǎng)絡(luò)安全防護(hù)系統(tǒng)的公司，99%的攻擊行為是使用已知并存在多年的攻擊方式或者漏洞，95%的繞過(guò)安全防護(hù)設(shè)備的入侵攻擊行為是因?yàn)殄e(cuò)誤的配置造成的。為此，面對(duì)當(dāng)前已部署的各類安全防護(hù)措施，我們需要回答：

通過(guò)與近百家金融、央企、制造業(yè)等機(jī)構(gòu)的溝通和實(shí)踐，我們認(rèn)為安全運(yùn)營(yíng)中最大的困擾是安全防護(hù)必然存在失效情況，已部署的安全措施可能無(wú)法按照預(yù)期起到應(yīng)有的防護(hù)效力。如何解決安全設(shè)備有效性的問(wèn)題？在應(yīng)對(duì)安全設(shè)備數(shù)量和安全日志告警急劇增多的同時(shí)，如何確保安全人員工作質(zhì)量的穩(wěn)定輸出？需要引入一套新的機(jī)制，實(shí)現(xiàn)對(duì)已部署的各類安全防護(hù)措施，全面的驗(yàn)證和持續(xù)監(jiān)測(cè)評(píng)估。做到：

如何評(píng)估當(dāng)前安全體系建設(shè)的成熟度和有效性，是近年來(lái)國(guó)內(nèi)成熟企業(yè)中CSO們開(kāi)始關(guān)注的一個(gè)話題?！缸詣?dòng)化安全風(fēng)險(xiǎn)評(píng)估ASRA」和「自動(dòng)化攻擊模擬BAS」作為國(guó)內(nèi)新興的賽道，其中的許多明星初創(chuàng)廠商也開(kāi)始積極響應(yīng)CSO的這一意識(shí)轉(zhuǎn)變，為當(dāng)前甲方安全體系的建設(shè)有效性和未來(lái)能力提升，提供輔助評(píng)估的自動(dòng)化平臺(tái)和配套的知識(shí)與工具。

目前，經(jīng)過(guò)幾年的發(fā)展，國(guó)外BAS技術(shù)已經(jīng)相對(duì)成熟，在2021年Gartner發(fā)布的安全運(yùn)營(yíng)技術(shù)成熟度曲線中，BAS仍處于高市場(chǎng)預(yù)期的熱門賽道。近兩年，國(guó)內(nèi)BAS廠商也不斷涌現(xiàn)，隨著技術(shù)的不斷成熟，BAS未來(lái)或?qū)⒊蔀橹髁鞯陌踩L(fēng)險(xiǎn)檢測(cè)技術(shù)。

簡(jiǎn)單來(lái)說(shuō)，BAS技術(shù)主要是為企業(yè)和機(jī)構(gòu)提供持續(xù)的安全防御體系評(píng)估能力。BAS整個(gè)體系分為管理中心和模擬器兩部分。

例如：可以針對(duì)互聯(lián)網(wǎng)邊界上的WAF進(jìn)行針對(duì)性的攻擊測(cè)試，也可以對(duì)從辦公終端到業(yè)務(wù)服務(wù)區(qū)、內(nèi)網(wǎng)數(shù)據(jù)核心區(qū)這樣完整的APT攻擊鏈進(jìn)行模擬測(cè)試。

1、紅隊(duì)安全的預(yù)模擬階段通常是最漫長(zhǎng)和最重要的部分。首先需要考慮多久執(zhí)行一次紅藍(lán)對(duì)抗它們可以每年、每六個(gè)月、每季度、每月或其他頻率舉行一次，而且這種紅藍(lán)隊(duì)測(cè)試需要安排大量人員，那么時(shí)間、人員、金錢上會(huì)消耗大量成本。如果通過(guò)BAS進(jìn)行ATT&CK模擬入侵，這樣在人員、時(shí)間、金錢上可以節(jié)省很多成本。

2、在紅藍(lán)對(duì)抗中是有規(guī)定靶標(biāo)資產(chǎn)，實(shí)際的對(duì)抗攻擊需要不斷的去探索下一個(gè)突破口，這難免會(huì)探測(cè)到我們靶標(biāo)以外的資產(chǎn)，BAS可以通過(guò)下定點(diǎn)的方法，P2P進(jìn)行攻擊。

3、隨著數(shù)據(jù)安全法的發(fā)布，數(shù)據(jù)安全也成為重點(diǎn)關(guān)注問(wèn)題，在ATT&CK攻擊時(shí)可能會(huì)導(dǎo)致我們的憑據(jù)和數(shù)據(jù)的泄漏，BAS可以在內(nèi)網(wǎng)中部署運(yùn)行，這樣可以避免數(shù)據(jù)泄漏的情況。

4、公司部署大量安全設(shè)備，進(jìn)行模擬攻擊可以來(lái)檢驗(yàn)安全運(yùn)營(yíng)的有效。因?yàn)榘踩到y(tǒng)需要不斷升級(jí)以應(yīng)對(duì)新的和高級(jí)的安全威脅，并且必須定期對(duì)這些升級(jí)后的系統(tǒng)進(jìn)行測(cè)試，來(lái)檢驗(yàn)它們是否甚至可以對(duì)抗?jié)撛诘木W(wǎng)絡(luò)安全威脅。

5、隨著組織遷移到云或考慮替代本地基礎(chǔ)架構(gòu)，作為一項(xiàng)新技術(shù)，bas可以部署到大多數(shù)基礎(chǔ)設(shè)施或網(wǎng)絡(luò)段。

基于對(duì)眾多企業(yè)用戶的研究和調(diào)研，我們認(rèn)為BAS在安全運(yùn)營(yíng)中的應(yīng)該具備和做到“四化三可”從而實(shí)現(xiàn)最佳落地實(shí)踐。

BAS作為一種不會(huì)對(duì)企業(yè)真實(shí)業(yè)務(wù)環(huán)境造成影響的無(wú)損檢測(cè)評(píng)估技術(shù)，在以下場(chǎng)景中被廣泛應(yīng)用：

安全建設(shè)的初衷，就是希望能夠防護(hù)資產(chǎn)、數(shù)據(jù)，對(duì)各類真實(shí)存在的威脅進(jìn)行對(duì)抗和防護(hù)。但精細(xì)化運(yùn)營(yíng)后，我們往往困惑，已經(jīng)建設(shè)的各類安全防護(hù)措施所產(chǎn)生的實(shí)際效果是否真的符合我們的預(yù)期？已部署的安全防護(hù)措施、策略可能無(wú)法按照預(yù)期起到應(yīng)有的防護(hù)效力，例如安全設(shè)備升級(jí)后異常、日志丟失、設(shè)備性能不足、覆蓋度不全、策略優(yōu)化不足、告警延遲、封禁延遲等問(wèn)題。這就需要引入一套類似BAS的技術(shù)體系，實(shí)現(xiàn)對(duì)已建設(shè)的各類安全防護(hù)措施和策略，自動(dòng)化、全面化、持續(xù)化的進(jìn)行效力的驗(yàn)證和確認(rèn)，以縮短防護(hù)失效的時(shí)間窗口，降低威脅對(duì)抗的風(fēng)險(xiǎn)，幫助企業(yè)建立精細(xì)化安全運(yùn)營(yíng)能力。