随着企业攻击面快速增长，网络攻击技术日趋复杂化，企业安全运营中心(SOC)面临巨大压力和高企的安全技术债。许多SOC人手不足，无法投入足够时间和资源有效管理不断增加的安全工具，导致安全工具能效降低，甚至成为“负资产”，企业迫切需要对安全防护的有效性进行评估以改进防护策略。

主动防御技术的一种——BAS（入侵和攻击模拟），有助于帮助企摆脱上述“防御者陷阱”。

Gartner在2017年定义了BAS这个安全技术类别。在Gartner的定义中，BAS（入侵与攻击模拟）是指通过不断模拟针对不同资产的攻击，验证安全防护的有效性。简单来说，BAS技术主要是为企业和机构提供持续的安全防御体系评估能力。

作为网络安全的新兴热门赛道，过去几年BAS技术已经不断成熟，国内BAS厂商也不断涌现，BAS已经在以下场景中被广泛应用：

  • 企业安全防御态势评估。通过自动化的攻击模拟帮助企业持续评估整体的网络安全防御态势，及时发现安全控制中存在的策略问题或者防护漏洞，提升安全可见性和能见度，帮助安全团队持续改善企业的网络安全态势。

  • 攻防演练/SOC演练。BAS可以作为红队工具包，在攻防演练场景、SOC训练中，模拟特定的攻击者，对特定或者全局网络进行模拟攻击测试，以评估企业安全团队是否能发现和响应特定的攻击行为，提高企业对入侵攻击的响应和处置能力。

  • 安全合规评估。BAS可以针对等保2.0中提及的相关网络和通信安全、设备和计算安全、应用和数据安全、集中管控能力等有效性进行评估，验证有效性、安全配置与安全策略的一致性，评估安全管理制度的执行情况。

BAS市场有几家主要厂商承诺提供持续的自动化安全控制验证，许多产品可以复制特定的攻击者行为，并与企业的遥测技术堆栈集成，以验证该行为是否被观察到、生成警报并被阻止。

随着BAS市场的不断发展，预计2023年BAS解决方案将不断改进和完善，并呈现以下四大发展趋势：

1 更简化的产品部署以降低成本

许多全自动安全控制验证解决方案包含隐性成本。首先，他们需要为现场部署进行前期配置，这可能还需要进行定制以确保与集成系统一起正常工作。此外，BAS解决方案需要主动维护，对于企业来说，这通常意味着需要增加专职人员。

新的一年，BAS厂商们的重点之一是简化产品部署，或者提供更多基于SaaS的产品服务来帮助客户降低间接成本。

2 增加定制和集成功能

许多BAS工具能够执行自动安全控制验证，其中大多数都提供一个丰富的自动化模块库，可以模拟端点、网络或云平台上的特定威胁和恶意行为。自动化模块库的质量和规模也是BAS厂商竞争的焦点之一。

然而，仍然有许多BAS厂商不提供创建或定制模块的功能。例如，有些不向用户提供将攻击程序组合在一起的功能，而这是模拟采用通用策略、技术和程序(TTP)的新兴威胁时必不可少的功能。

此外，大多数BAS工具的攻击模块都是“黑匣子”，用户无法深入了解它们正在做什么，这使得使用BAS平台的SOC分析师或红队成员更难准确了解正在运行的内容、预期的工件以及他们应该如何构建检测功能。大多数BAS平台似乎也缺少强大的模块来模拟灵活的命令和控制、电子邮件堆栈和本地云平台攻击程序。

为了支持自动安全控制验证，大多数BAS供应商都支持与第三方端点检测和响应、防病毒、网络设备、漏洞管理工具、工件系统和SIEM（安全信息和事件管理）产品的集成。

每个企业的SOC环境都是独一无二的，因此，可集成性已成为BAS软件的一个重要卖点。但是，在许多情况下，BAS产品仍然需要支持高度定制。

2023年，我们有望看到BAS产品在定制化方面的不断创新，这有助于简化流程和集成复杂性。

3 减少验证不一致，改进报告功能

验证BAS平台运行的每个攻击模块是否已交付、执行并成功完成其任务是一项挑战。但更难的是确定该操作是否被阻止（以及被什么阻止）、是否生成了警报以及验证该警报是否触发了正确响应工单的创建。在过去的一年里，很多BAS厂商在这方面做了一些渐进式改进，但有些还有很长的路要走。

市场上的许多BAS解决方案不提供有意义的数据洞察力，使公司无法随着时间的推移跟踪他们的历史检测覆盖率，或识别可能影响安全控制投资的趋势。事实上，很少有BAS解决方案支持以其他业务流程使用的JSON或XML等格式导出原始结果。目前来看，大多数BAS都与ServiceNow和Jira等工单应用程序集成，但这通常会带来额外开销和成本。这是BAS厂商需要根据客户需求改变的一个重点领域，可以帮助客户更好地降本增效。

4 提供实战型专家的指导和服务

BAS仍然是一个相对较新的市场。在部署和使用BAS解决方案时，企业更加重视与攻击性安全专家的一对一互动，尤其是对于那些第一次使用BAS的用户。目前市场上的大多数BAS解决方案都不提供此增值服务。

虽然搭配内容详实的攻击模块培训材料对企业安全团队可能很有价值，但人类专家的智慧无可替代。今天，许多客户更喜欢与实战型专家一起了解每个模块，培训人员如何使用产品，展示模块如何工作，现场回答问题并对SOC团队的环境遥测发表见解。未来会有更多的BAS厂商将专家服务与BAS产品相结合，提供增值服务。

随着企业对BAS解决方案的需求不断增长，相关厂商必须正视上述客户痛点和市场趋势，不断提高自身竞争力，在改进产品和提高服务能力之间取得最佳平衡。

声明：本文来自GoUpSec，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。