国内首家 | 灵脉IAST获“交互式应用程序安全测试工具”能力认证

7月27日，由中国信息通信研究院（以下简称“中国信通院”）、中国通信标准化协会主办的“2021年可信云大会”在北京召开。会上宣布了2021可信云·云安全最新评估结果，悬镜安全旗下灵脉IAST灰盒安全测试平台首批获得交互式应用程序安全测试工具（IAST）能力认证，证书编号IAST00001。该项认证标志着灵脉IAST产品已符合由中国信通院牵头制定的《交互式应用程序安全测试工具能力要求》标准，在当前同类产品中处于领先地位。

图：悬镜灵脉IAST产品获得《交互式应用程序测试工具》评测证书

中国信通院于今年6月正式发布《交互式应用程序安全测试工具能力要求》行业标准，并启动可信研发运营安全能力评估工作。测试指标从用户视角出发，针对参评工具的安全能力及性能进行评估，评审范围涵盖扫描检测分析能力要求、灵活性能力要求、分析辅助能力要求、开发流程嵌入能力要求、扩展性能力要求、兼容性能力要求、部署能力要求、安全性能力要求、服务支持能力要求九大部分，具体包括支持的语言类型、框架类型、漏报率要求、误报率要求、缺陷快速定位、扫描结果分析对比、告警能力等。

图：灵脉IAST灰盒安全测试平台测试报告

IAST交互式应用程序安全测试，是由Gartner提出的新型运行时应用安全测试方案。它同时规避了SAST（静态应用程序安全测试）和DAST（动态应用程序安全测试）的主要技术缺陷，通过轻量级的微探针技术，使其捕获黑盒流量的同时，也能获得白盒的精准代码行定位。灵脉IAST是全球首个以RNN深度学习算法为核心引擎，模拟黑客入侵的交互式应用安全测试平台。作为悬镜DevSecOps智适应威胁管理体系中CI/CD管道的新型威胁发现平台，灵脉IAST能通过全场景流量分析技术，如运行时应用插桩（含主动及被动）、启发式爬虫、终端流量代理/VPN 及流量管家（主机流量嗅探、旁路流量镜像）等和原创AI渗透启发技术赋能传统IT从业人员，在政企用户的组织内部快速建立安全众测模式，使传统安全小白（研发、测试、QA等）完成应用功能测试的同时即可透明实现深度业务安全测试，有效覆盖95%以上中高危漏洞，防止应用“带病上线”。

悬镜安全有效地将IAST灰盒测试的特性应用于从开发到生产运营的全流程当中，创造性地将AI深度学习与黑客攻击技术相结合，把应用威胁发现能力前置到开发测试环节，使安全工作柔和嵌入政企组织现有的DevOps或SDL体系，从应用生命周期源头上实现对上线应用项目的透明安全测试。

关于悬镜安全

悬镜安全，DevSecOps敏捷安全领导者。由北京大学网络安全技术研究团队“XMIRROR”发起创立，致力以AI技术赋能敏捷安全，专注于DevSecOps软件供应链持续威胁一体化检测防御。核心的DevSecOps智适应威胁管理解决方案包括以深度学习技术为核心的威胁建模、开源治理、风险发现、威胁模拟、检测响应等多个维度的自主创新产品及实战攻防对抗为特色的政企安全服务，为金融、电信、政务、能源、教育等行业用户提供创新灵活的智适应安全管家解决方案。更多信息请访问悬镜安全官网：https://www.xmirror.cn/。