智能安全创新先锋 | 悬镜入围 2021 企业数字化治理先锋案例

7月15日，首届“2021中国互联网大会数字化治理论坛”在北京国家会议中心成功举办，中国通信研究院针对率先采用IT技术手段开展企业治理的先锋企业，颁布了入围本次“2021 企业数字化治理先锋案例”的企业，为行业客户提供参考与指导，以行业经验助力企业数字化转型，推动数字化转型可持续发展。经过数月专家量化打分和评议，最终，“悬镜DevSecOps智适应威胁管理解决方案”在智能安全与隐私合规领域凭借卓越的创新性和技术的先进性成功入围。

 DevSecOps智适应威胁管理解决方案

作为DevSecOps领域的领导者，悬镜安全结合多年的敏捷安全落地实践经验，探索出一套基于原创专利级“敏捷流程平台+关键技术工具链+组件化安全服务”的DevSecOps智适应威胁管理解决方案，帮助产业用户从软件供应链根源上实现开源风险的智能消控与积极防御，有效防止应用带病上线。

针对当前软件类型和数量成倍增长、软件种类庞杂且规模庞大的软件供应链市场现状，人工智能技术与保障软件供应链安全的需求更为贴合。该体系作为DevSecOps全流程AI安全赋能平台，从构筑之初就注重技术落地的柔和低侵入性，从驱动DevSecOps CI/CD管道持续运转的几大关键技术实践点入手，通过对威胁建模、开源治理、风险发现、威胁模拟及检测响应等关键技术创新赋能政企组织现有人员，帮助甲方组织逐步构筑一套适应自身业务弹性发展、面向敏捷业务交付并引领未来架构演进的内生安全开发运营体系。其主要优势有以下几点：

1、零门槛、透明无感知的安全测试研发人员的主业，永远是功能的实现和按期交付，若安全的建设未能满足或过于干涉其根本需求，一定会出现落地阻力。基于此，悬镜DevSecOps智适应威胁管理解决方案业内首创0门槛、无感知的安全介入方案，不更改原有工作流程，不增加相关人员工作量，不更改其工作方式，从而实现更为有效的安全落地。

2、标准化应用上线审查流程针对研发过程中的低质量代码交付问题，通过悬镜DevSecOps智适应威胁管理解决方案建设统一的交付前检测流程，设定红线级规定，要求交付项目必须通过悬镜DevSecOps智适应威胁管理解决方案统一安全测试，且无特定中高危漏洞，从而实现对企业自身的统一上线检测流程建设和漏洞控制。

3、低误报、高覆盖、高检出相比于传统黑白盒的漏报、误报问题，悬镜DevSecOps智适应威胁管理解决方案通过阶梯式检测方案，在研发不同阶段介入最为适合的检测方式和最优检测侧规则，确保在每个流程上都只检出真实漏洞，所有需要确认的漏洞，交由IAST过程使用真实漏洞攻击代码进行检测，确保更为有效的检出概率。

4、智能化逻辑类漏洞检测方案逻辑类漏洞一直是业内安全难点，传统手段均需要人工手工渗透，过于依赖相关人员能力和经验，导致存在较大遗留隐患。悬镜DevSecOps智适应威胁管理解决方案的悬镜灵脉IAST部分是国内领先的支持逻辑类漏洞自动检测的方案，能够自动化对水平越权、垂直越权、固定验证码等逻辑类漏洞进行安全检测，有效解决逻辑类漏洞检测难点。

5、内生安全开发运营体系传统上线前的安全测试，企业多为选择第三方安全公司进行渗透测试，该方法不仅成本高昂，且测试结果受测试人员能力影响，效果往往良莠不齐。同时此方法完全依赖第三方，无法对自身缺失能力进行建设和补齐，往往导致“成本陷阱”。悬镜DevSecOps智适应威胁管理解决方案旨在帮助政企提升自身安全能力，逐步构建一套适应自身业务弹性发展和面向敏捷业务交付的内生安全开发运营体系，从而减少对第三方安全服务的依赖，显著降低成本。

6、DevSecOps无缝衔接鉴于目前很多行业进行的DevOps建设，悬镜DevSecOps智适应威胁管理解决方案各阶段安全方案均可与对应DevOps环节方案进行无缝衔接，轻松将企业已有DevOps无缝升级为DevSecOps流程，在不影响原有效率、流程的同时显著提升安全能力质量，为高质量项目交付提供有力保障。

在数字经济已成为中国经济发展的新引擎的大背景下，数字化治理是企业转型的必由之路。未来，悬镜安全将不断加强新一代代码安全疫苗技术的研发和应用探索，为行业创新赋能一套框架理论完备、检测防御技术手段持续有效的软件供应链安全防护体系，帮助企业应对数字化转型的机遇与挑战，最大化实现发展与风险的平衡，为行业数字化崛起构筑坚实底座，促进企业数字化转型可持续发展。