應用安全是網絡安全領域中的一個細分方向，這類安全產品的目的是確保Web應用程序在運行時的安全性。隨著網絡技術日趨成熟，黑客們也將注意力從以往對網絡服務器的攻擊逐步轉移到了對Web應用的攻擊上。但在早前，網絡安全的現狀卻是，絕大多數企業將大量的投資花費在網絡和服務器的安全上，并未從真正意義上保證Web應用本身的安全。不過好的一點是，這類情況在如今產生了些許改變，其中的一個現象是，當前關注應用安全的初創企業多了起來。

36氪獲悉，不久前，成立于2019年的北京邊界無限科技有限公司（BoundaryX，以下簡稱「邊界無限」）推出了應用運行時防護產品——靖云甲·RASP全棧式云安全防護系統。RASP被不少人稱作網絡安全的"免疫血清"。36氪此前介紹過，Gartner 在2014年將 RASP 定義為應用安全領域的關鍵趨勢。在具體實現上，這種技術可以和應用程序綁定在一起，像“疫苗”一樣注入到應用程序里，使應用程序在運行時實現自我安全保護，能夠幫助客戶有效防護已知和未知攻擊。

據介紹，本次邊界無限推出RASP全棧式云安全防護平臺——靖云甲，是邊界無限幫助用戶構建云原生時代安全基礎設施體系的起點和支點。它以"數據驅動、連接、全鏈路"為產品理念，希望消除根本風險，為企業主動防御賦能。并且其致力通過"應用上下文安全分析引擎、智能算法"等關鍵技術，捕捉攔截已知和未知威脅攻擊，從而為云上資產、應用、數據提供全鏈路、全生命周期的動態安全保護。

談及發布這款產品的初衷，邊界無限聯合創始人、CTO王佳寧從行業角度分析，除了人為因素及防護策略導致的信息泄露，應用安全的幾個特點值得關注：

一是安全漏洞攻擊迅猛增長。應用作為網絡入口承載著大量業務和流量，因此成為了安全的重災區，黑客大多會利用Web應用漏洞實施攻擊。由于應用保護的嚴重不足，且企業缺乏東西向的防御能力，黑客往往借助自動化的工具以及Nday漏洞，在短時間內以更高效、隱蔽的方式對Web進行漏洞掃描和探測，這將大大加劇企業應用防護的難度，使企業面臨更為嚴重的安全風險和損失。以近期出現的 log4j 和 spring 相關漏洞為例，其嚴重程度令人擔憂，企業的重視程度也相當高，但即便如此，此類漏洞還是會長期與應用共存，因此針對應用的貼身防護刻不容緩。

二是針對API的攻擊越來越普遍。隨著數字化轉型，現代企業越來越多的服務都已經 IT化，其中 API 成為了企業數字化的窗口。企業通過API來完成數據的傳遞，幫助企業完成相關業務功能，因此 API 變成攻擊的重點目標，黑客通過掃描攻擊和濫用 API 相關功能來獲取企業敏感數據。除此之外，很多企業并不清楚自己擁有多少API，也并不能保證每個API都具有良好的訪問控制，被遺忘的影子API和僵尸API會帶來重大的未知風險。據Gartner預測，到2022年API濫用將是最常見的攻擊方式，為API構建安全防護體系勢在必行。RASP憑借其身位優勢，在程序內部最直觀、最準確地獲取 API 接口等信息，從根本上守護 API 安全。

三是不安全的反序列化。反序列化過程就是應用接受序列化對象并將其還原的過程。如果反序列化過程不安全，可能會出現重大問題。即便開發人員知道不能信任用戶輸入，但序列化對象卻總是被莫名地重視，往往放松對序列化對象的安全管理。這種情況下，不安全的反序列化過程成為黑客發送攻擊的重要方式，且此種攻擊手段在黑客攻擊技術中排名前列，其不安全性極易導致Web應用暴露在遠程代碼執行威脅之下。

四是盲目依賴開源組件導致供應鏈安全危機。最近發生的很多數據泄露事件，攻擊者利用的漏洞往往嵌入軟件的開源組件里，這暴露了Web應用安全中的一個重大問題——盲目信賴開源組件。據Forrester研究表明，應用軟件80％-90％的代碼來自開源組件。全球對開源代碼的旺盛需求，將導致Web應用供應鏈攻擊在2022年進一步增長，范圍擴大，并且更加復雜，未來使用惡意軟件進行Web應用供應鏈攻擊的數量將不斷攀升。利用開源組件，實施對Web應用供應鏈的攻擊更隱蔽，危險性也更高。

王佳寧表示，這些行業痛點，也是其推進靖云甲·RASP的落地，希望與產業鏈各方共同迎接這一行業新趨勢的原因。

在另一方面，公司也更具體地闡釋了RASP和各種安全產品的關聯。具體而言，當前多數應用都依賴于像入侵防護系統（IPS）和 Web 應用防火墻（WAF）等外部防護。WAF部署在Web應用前線，通過對HTTP/HTTPS的有目的性的策略來達到對Web應用的保護，在HTTP流量到達應用服務器之前對其進行分析，但是基于流量的檢測分析手段容易被繞過。相比于傳統的邊界產品， RASP不需要依賴規則。在去年波及范圍較廣的Log4j2漏洞和最近Spring漏洞事件中，RASP展示出過人的優勢。

“2014年，Gartner就將RASP列為應用安全領域的關鍵趨勢。相比于RASP，WAF等傳統安全防護產品部署在邊界，更像讓人多穿衣服、多喝熱水。RASP是基于新一代防護理念的應用程序自我防護技術，兩者并不會相互取代，而是能相互配合、相得益彰?！边吔鐭o限產品負責人沈思源表示，“然而，很多人會把RASP比如成應用‘疫苗’，簡單說，‘疫苗’更多地是針對特定病癥的專項應對。從目前的網絡安全趨勢上來看，未知漏洞攻擊越來越普遍，我們要做的就是幫助客戶加強自身網絡的安全防護能力，從這個意義上來說，RASP更像是在實際網絡攻防中提取的‘免疫血清’，幫助客戶加強自身肌體的免疫力，讓客戶網絡擁有內生安全能力。”

沈思源介紹說，邊界無限靖云甲·RASP應用程序自我防護體系主要由微探針(Agent)、數據調度器、AI攻擊檢測引擎、管理平臺四部分構成，來提供靈活的、穩定的、精準的核心能力支持。在實現上，靖云甲通過將Agent注入到應用中間件中，對被保護應用程序的訪問請求進行持續監控和分析，使得應用程序在遭受攻擊時，能夠實現自我防御。靖云甲產品體系采用模塊化的組織形式，實現了各核心功能的智能集成和協同聯動。

在落地端，據介紹其方案能力和安全理念已經受到一些用戶的認可。截至目前，邊界無限已與政府、金融、能源、云服務廠商、電商、互聯網等領域數十家客戶達成業務合作，致力為其構建穩定、高效的安全防護。