RSA创新沙盒盘点｜Neosec——面向API安全的SaaS化防护拟议

也是商品的主要亮点之一。

下面我们将针对Neosec商品的机能来进行的测试概述。

API断定

相对全盘且持久的断定

可见才可防，API断定是第一步也是尤为重要的一步，API受益的一般来说、生产量和充沛性凸显了数家跨国企业在API断定上的系统新设计投入，通过官网资讯我们可以看见Neosec可断定浏览器横的所有API，以外东西向/干道API,、犹如API、王为/私有API、系统API、合共享维修服务API等。如左图3标明。

左图3 Neosec API断定区域内

同时，API过后断定战斗能力也很重要，Neosec断言区域内离线不停歇，可不断断定一新API和对除此以外API的愈发改，可见Neosec对自身的API断定系统新设计非常自信。

标记敏感的API并确定当前

由于API生产量巨大，有效标记哪些API无需必需检视视作首要解决问题，Neosec可标记并标记装载敏感统计数据的API, 并可以告知安全和和开发医护人员哪些无需必需检视。

API全盘Swagger转化成

左图4 Neosec的Swagger转化成API经营管理

当API断定完成后，让API来进行多种形式转化成显示并不一定可以通过Swagger的模式分解API离线文档，使浏览器更易来进行安全和审核和时间延迟检验等操控，Neosec考虑到了国有资产清单来进行计算机放来的竞争者，于是也提供者了针对每个API自动分解Swagger文件的机能，如左图4标明, 通过来进行控制系统Swagger上传作为CI/CD流程的一其余部分来进行安全和审核，当审核过程中断定错误配有和该软件时，可立即通报安全和、开发医护人员和API的团队来进行并能修复检视。同时也支持者开发医护人员对Swagger来进行下载并基于Swagger规范来进行时间延迟检验。

基于AI的蓄意和正则表达式的测试

基于AI的蓄意和正则表达式的测试已不是一新系统新设计，2019年科技沙盒十强中的API安全和创业者王为司Salt Security就援引自己用的是基于AI和大统计数据的测试系统新设计对API来进行的测试，距离现在从未能过去三年，浏览器只不过已不必好奇系统新设计的具体构建，转而愈发加负责任商品如何解决误报率的问题，也就是说得来API变量作为所有统计数据集似乎并不够，混合经营范围自身统计数据来进行的测试才根本似乎增高误报率，那么Neosec又是如何将API统计数据与经营范围关连性？是否有对历史统计数据来进行蓄意画像？我们经过实地调查的测试断定，Neosec只不过是将API变量、浏览器、单一及它们彼此间的正则表达式父子关系来进行了为根基，通过与经营范围相对于融合的模式来增高误报率，此前提供者的截左图检验了我们的这一观点。

左图5 API统计数据与经营范围统计数据融合的的测试

Neosec也一直突显充沛的统计数据集是它们的强项之一，如官网所说“Neosec提供者所有API娱乐活动统计数据和历史统计数据，这些统计数据集可以协助安全和的团队理解每个API彼此间的正则表达式父子关系和故事情节，每个API为数不多可以运用于定制分类来进行命名和标记，巨大的统计数据集为严重威胁学术研究医护人员提供者了愈发好的输入，从而可以改善机器学习检验静态和搜索算法，为时间延迟蓄意的测试提供者了令人吃惊支持者”，但根据除此以外涂层，我们暂未能找到具体的系统新设计构建。

Neosec突显统计数据读取在其SaaS该平台上，但这种模式最大的后果就是如何保证统计数据的合规性，通过读者此前公报，我们理解到这些统计数据读取在Neosec寒（SaaS该平台）上，针对统计数据的防火墙受保护问题，Neosec在统计数据传输至寒上以后运用于标记（Tokenization）来进行电子邮件转化成检视，以此来避开统计数据防火墙告密问题。

此外，Neosec还提供者了针对政治事件的特定通讯系统机能，其类别以外账户接管、GMP准许、统计数据告密、犹如API、RCE、注入等。如左图6标明。

左图6 Neosec的政治事件通讯系统截左图

API严重威胁野猪

严重威胁核对

严重威胁野猪既无需运营者兼具“结论液压”的充沛安全和经验，也无需能支撑紧凑核对的野猪该平台。Neosec该平台自身也提供者严重威胁核对机能，其竞争者在于背后巨大的API统计数据集，安全和的团队并不无需为了让API统计数据集更进一步理解一组通讯系统的正则表达式资讯以断定愈发多严重威胁，如左图7标明，Neosec提供者基于短时间区域内、单一一般来说、API端点的通讯系统核对机能。

左图7 Neosec的严重威胁核对机能截左图

严重威胁野猪往往无需较高的安全和总体，而大多数跨国企业的安全和的团队医护人员和系统新设计总体不足，很少有短时间或战斗能力去来进行严重威胁野猪，Neosec还提供者可经营管理的严重威胁野猪机能，这也是为数不多可提供者严重威胁野猪支持者的始创跨国企业。

控制系统号召重新整理

虽然有严重威胁野猪在正前方提供者情报，输送到安全和政治事件，但是如何要用好政治事件号召仍然是一个总括的问题。安全和重新整理与控制系统号召（Security Orchestration Automation Response SOAR）近年非常火热，已有大部份安全和跨国企业在生产生态系统中落地。SOAR的核心在于针对不同政治事件的剧本重新整理和制订战斗能力（Actions）, 其中虽然剧本重新整理战斗能力在于运维医护人员，但提供者根基可重新整理的流程则完全举例来说SOAR该平台，一般可以用支持者的Action生产量来衡量SOAR该平台重新整理流程的优劣。我们实地调查断定，Neosec基本提供者SOAR的战斗能力，如左图8标明。

左图8 Neosec的控制系统号召重新整理机能截左图

三、解决方案概述

Kong与Neosec组合提供者API安全和跨国软件系统解决方案

Kong是一个寒原生、并能可适配的分布式微维修服务抽象层（往往被称作APIMAC、API中间件），Kong于2015年被Mashape王为司开源，其在Github上占有31.6K的Star及4.2K的Fork生产量。Kong的核心效益主要凸显在高性能和可适配性上。

APIMAC中，安全和战略往往可抽象为两种一般来说：一种是基于催促的战略，即的测试每个催促以确保催促可以较为有效率地路由表到上游维修服务中；另一种是基于蓄意状态的战略，可通过建起催促统计数据时间延迟来进行所致蓄意的测试。迄今为止娱乐业运用于的APIMAC多能通过该软件内嵌的多种形式构建基于催促的战略，如Kong的跨国软件系统APIMAC内嵌了各种该软件，例如OpenID Connect、JWT、mTLS、开放战略代理 (OPA Open Policy Agent)等。针对第二种战略一般来说，Kong以后从未能有可内嵌的该软件支持者该战略一般来说，这也是Kong无需将Neosec战斗能力内嵌至自身的主要目的。我们实地调查断定，Kong的Neosec该软件主要提供者TCP快照传输机能，该软件负责将流经KongMAC的所有检视快照资讯发送至客户端列车运行的Neosec Collector中，再进一步由Neosec Collector转发至Neosec Cloud来进行检视。左图9大致展示了整个过程。

左图9 Neosec与Kong混合方案政治事件流检视左图

下述是整个生态系统的政治事件检视流程：

1、API输水通过KongMAC直接流入Service维修服务，同时分解催促的快照资讯；

2、KongMAC运用于标准的TCP快照该软件将快照发送至客户端列车运行的Neosec Collector；

3、Neosec Collector对得来到的快照来进行多种形式转化成检视并将终于快照资讯发送至Neosec Cloud来进行检视；

4、若Neosec Cloud检验到恶意输水，Neosec的的测试通讯系统动力系统但会触发分解一条通讯系统资讯，结论浏览器已通过Neosec配有了控制系统号召战略，那么该号召战略但会通过Neosec Responder模组制订，具体是举例来说Kong Manager Admin API将号召战略用于APIMAC配有并制订。

通过实地调查可以断定，Kong的TCP该软件配有很简单，如左图10标明。

左图10 TCP快照该软件配有截左图

可以说明了我们只无需在Kong Manager中建起一个一新TCP该软件，并输入Neosec Collector的URL和UDP即可，Neosec Collector自身可以试管或FaaS变数的多种形式来进行侦察。

我们确信，Neosec和Kong的组合为API安全和放来了一定的科技性，原因主要有下述同一天：

1、Neosec自身曲为过后性性的API断定机能，那么这种机能特点进而可以协助Kong的浏览器去断定愈发多API国有资产，从而降低了API的可见性；

2、Neosec基于AI的蓄意和正则表达式的测试可以让Kong的浏览器区隔正常人和所致蓄意，从而降低了浏览器对API输水的洞察力；

3、Neosec的控制系统号召重新整理战斗能力可让浏览器理解事前（快照的测试、战略剧本制定）、事中（通讯系统触发）、事后（号召操控）整个正向，在此期间无缝连接。

四、总结

近年，随着跨国企业愈发非议API安全和，API安全和的近期也愈发猛烈，如从举例来说原定义的战略检验转为基于人脑和蓄意的测试检验，商品侦察多种形式从跨国企业核心侦察转为为SaaS多种形式侦察，有别于的仅针对单独API调用或短生殖但会话娱乐活动的安全和破片方法正在被可的测试API娱乐活动数天甚至数周的新方法替换。再进一步看Neosec, 基本符合API安全和的未能来近期。

Neosec虽然有很多竞争者，但同时也不具一些面对和来自竞品的压力，可总结为下述几其余部分。

系统新设计竞争者

API断定系统新设计是Neosec商品的更有看点，Neosec断言其既未能运用于有别于的Agent模式，也未能运用于近年比较火的Sidecar系统新设计，例外的是，2021年入选为RSAC科技沙盒的WIZ也改用Agentless和No sidecar方案，并且今年入选为寒原生安全和同方向的SEVCO、统计数据管理（DataGovOps）同方向的Dasera也改用Agentless API模式得来大量统计PostgreSQL资讯，可以说明了近年国内外跨国企业API断定系统新设计都在走Agentless的路子。我们大胆传闻这些跨国企业似乎是运用于近年比较火热的eBPF系统新设计，原因主要有下述几点：

1、eBPF作为一种较一新系统新设计，由于对系统液压流程要求较高，还未能有很成熟的落地构建案例，因而占有愈发多似乎性；

2、eBPF流程在液压流程层面列车运行，制订效率很高；

3、eBPF既不基于Sidecar，也非有别于的Agent；

4、eBPF相较其他类似系统新设计，侦察优点。

Agentless的口号或许只是吓人，却是一比有API断定流程被侦察，如果将这种流程看作Agent，许多商品也不能根本的构建Agentless。应该是出于商业利益，仅从现网Neosec的王为开资讯我们暂未能断定具体系统新设计构建系统新设计细节。

美国市场竞争者

对始创王为司而言，即使商品要用的充分科技，系统新设计占绝对竞争者，注资充分多，忽视商业共同开发也寸步难行。我们掩蔽到，Neosec与APIMAC（apigee、Kong）、寒提供者商（AWS、Azure、Google Cloud）、试管重新整理和维修服务交叉生态系统(Kubernetes、Envoy)、反向代理（Apache、Nginx等）、CDN（Cloudflare等）、WAF（F5）、WAAPs商品为数不多有一定程度的共同开发。可以说明了，Neosec与这些商品的终于内嵌可将安全和破片区域内覆盖至科技领域，如API安全和、系统设计安全和、寒原生安全和、王为有寒安全和等，因此对于美国市场发展而言有一定竞争者。

其中，以Neosec与KongMAC的混合思路举例，举例来说Kong在APIMAC界的知名度，Neosec可以占有大量试用资源，让愈发多的浏览器体验其系统新设计上的竞争者，同时也能开拓美国市场，替换成愈发多的注资手续费期望，要用第一个吃螃蟹的人。

面对

通过前文的测试，我们知道Neosec的种种机能特点的现代如基于AI的蓄意的测试检验，主要都是举例来说读取在SaaS端的统计数据集作为根基，那么将浏览器的统计数据全部读取至SaaS该平台上一方面增大了单点故障的后果，另一方面也替换成了其他后果，如浏览器的统计数据防火墙告密、统计数据传输点对点等。虽然Neosec援引可通过标记电子邮件转化成检视的模式规避防火墙告密后果，但攻击手段的多元推移总是让人防不胜防，我们确信Neosec的下一步非议点应该聚焦在统计数据安全和同方向。

竞品对照

例外的是，2019年RSAC科技沙盒十强，同要用API安全和的Salt Security王为司经过了三年的发展，从最初的小型创业者王为司到迄今为止从未能进占了一定的API安全和美国市场，且被各个国内外跨国企业当成竞争对手忽视，Salt Security的成总长值得我们去非议。我们断定Salt Security商品主要囊括的机能以外下述几其余部分：

1、API断定/纳管

2、来进行归属于专利AI系统新设计(patented API Context Engine (ACE) architecture)阻止API攻击并且可以实时标记操作者

3、提供者API该软件经营管理机能

4、提供者API后果评估研究报告

可以说明了，与Neosec相比较，Salt Security的竞争者除了美国市场磨练短时间久之外，还额外提供者了API该软件经营管理及API后果研究报告的机能，另外同是基于AI的时间延迟的测试，两者究竟有何不同？尽管从现网资讯无法受益系统新设计构建系统新设计细节，但我们确信Neosec在解决误报率问题上，相比较于去年的Salt Security尤其愈发多及愈发深的思考（从将API统计数据和经营范围统计数据深融合就可以说明了来），也许是因为刚出道们踩过的坑，Neosec很着重于统计数据集的充沛性和深，这些也确实视作了其商品的主要看点。

引文

[1]

[2]

[3]

[4]

[5]

[6]

[7]%20Sheets/Neosec%20%7C%20Oveview%20Data%20Sheet.pdf

[8]_Ar4pQiJtZ-K-ucA#at

[9]

[10]%20Sheets/Neosec%20%7C%20Oveview%20Data%20Sheet.pdf

[11]

[12]

[13]

[14]

[15]

[16]

[17]

。

新乡比较好的白癜风医院
石家庄男科病治疗费用
北京看妇科专业医院
北京哪个妇科医院好
广州肿瘤医院排名
型体塑造
老人抽搐
妇科整形
精神科
咳嗽有痰黄痰怎么回事啊