自动化安全验证屡受追捧
从Fireeyey分拆出来，专注于SaaS安全服务且享有盛誉的公司Mandiant，于2022年3月8日被谷歌收购（估值高达54亿美金），其首席财务官Ruth Porat表示收购能帮助Alphabet满足不同行业客户的个性化需求，其看中的一点就是Mandiant安全验证产品的持续服务能力。
另一家主攻自动化安全验证 (ASV）的公司是总部位于以色列特拉维夫的新创企业Pentera，在2022年一季度获得1.5亿美元融资（融后估值接近10 亿美金）。
位于同一ASV领域的企业还有AttackIQ，一家总部位于美国加州的持续性自动化安全合规验证公司，在2021年三季度引入了4400万美金的C轮融资。
对自动化安全验证（ASV）领域的追逐和持续性投资热潮足以显示出资本市场对于将网络安全领域的自动化验证发展趋势的认可，且对其在信息安全领域所能引起的持续性变革颇具信心。
仅以安全运维中的漏洞管理为例，漏洞管理到目前为止始终是一个令业界和客户头疼的顽疾，除却时间、资源等成本投入外，技术上的可行性和可持续性始终是行业首要解决的问题。也即，有限时间和资源下，期望堵上所有漏洞是一个几乎不可能的任务，因此，基于威胁优先级对漏洞进行修复和持续性跟踪成为共识。
然而，仅仅依靠产品工具集和人工结合的方式（例如渗透测试），效率依然偏低，更无法满足未来数字化扩容带来的需求，自动化验证的方式已然蕴含在未来需求之中，也自然会成为安全创新发展的必然趋势。还是以渗透测试为例，拥有以色列网军背景的Pentera，从创立之初便聚焦上述安全实践痛点，开启漏洞自动化挖掘、评估、修复、周期评价等一系列安全自动化验证理念和实践的创新研究，目前所取得的成果得到了客户的认可，同时为业界和投资机构所高度关注。
火爆的市场因素
“自动化安全验证”这一概念渐受追捧，主要得益于以下几点因素：
主流安全验证主要依赖第三方（如渗透测试、攻防演练等）以辅助评估其环境，相关服务主要依赖实施进攻的安全专家，通常渗透测试不会按照业务基础设施的变化或蓝队的要求得到及时和客观地调整。此时，引入自动化安全验证系统将展现出更高的真实性、灵活性、即时性和可预见性。
其次，解决了通常安全防御“事后诸葛”的滞后响应模式。通常较为普遍的攻击往往来自一个入口载体，假设环境在受到广泛渗透和攻击后，组织希望快速测验其余环境，以确认是否也易遭受到同类型技术的攻击。部署了自动化安全验证设施，防御者就可实现在早晨测验风险，午时得到结果，下午调整业务和部署防御。同时向管理者通报已排除的安全风险、已采取的预防措施，提升系统的安全能力。
IDC在对于中国人工智能及自动化市场十大预测中指出，到 2025 年，超过 60% 的企业将把人类专业知识与人工智能、机器学习、NLP 和模式识别相结合，是实现智能预测与决策，推动员工工作效率和生产力提高约 25%。因此，未来基于人工智能驱动的业务系统在面对巨大市场发展潜力的同时，其安全性的动态验证也将逐步成为信息安全关注的热点领域。
自动化安全验证的本土化应用
除了自动化渗透，等级保护将是自动化安全验证推广的最佳实践领域，等级保护是网络安全本土化的一个特色领域，同时强制性的合规监管政策和体系逐步加码和细化，相较漏洞管理的不确定性，等级保护的咨询、测评、跟踪等过程，更具规范化、流程化、标准化的特性。评估企业/组织当前是否达到安全性法规（如PCI DSS）要求，核定当前的合规级别，出具基于安全管理优先级的补救方案以消除风险点，自动化的迭代评估确认补救方案有效且达标，事后进行长周期持续性跟踪，均是自动化安全验证的优势领域。
相比国际市场的知名企业Mandiant、Pantera和AttackIQ，目前涉足自动化安全验证的国内企业略少，其中位于头部的、堪称独角兽的企业是专注于合规自动化验证的一家总部位于珠海横琴的新创企业翼信捷。
翼信捷基于结合AI及知识图谱的底层技术平台，自研出一套“安全服务-内部协同-内外联通-云端一体智能化”的安全协同平台。伴随着合规监管的规范化、可视化，政企客户端的需求将被不断持续激发，这一自动化安全验证赛道的市场前景将甚为可期。
未来方向
自动化安全验证的核心在于持续性降低对人的依赖度、提升安全验证的真实性、即时性、可预见性、同时引入风险量化和动态评估，以凸显和追踪由人的疏忽所引入的“安全偏差”，最终协助组织的安全运营实现增效降本，以助推主营业务发展。
对于本土市场而言，实现网络安全的自动化验证仍存在着如安全产品开发、辅助工具使用、服务流程标准化等诸多场景下的可能性方案探索，而将自动化验证融入网络安全的全生命周期或可成为下一代安全服务和运营管理的主流理念。
免责声明：市场有风险，选择需谨慎！此文仅供参考，不作买卖依据。
标签：
