共建网络安全｜《上线即安全与免疫防御解决方案》首次亮相世界互联网大会！

11月8日，由世界互联网大会、浙江省人民政府共同主办，国家互联网信息办公室、科学技术部、工业和信息化部支持的2022年世界互联网大会“互联网之光”博览会正式启幕。

安全玻璃盒受邀参会，由技术副总丁纯携《上线即安全与免疫防御解决方案》亮相“互联网之光”博览会。

网络空间治理-特色发布

“互联网之光”博览会“网络空间治理”新产品新技术发布会于8日下午正式召开。发布会由浙江省委网信办网络安全与技术处副处长顾小卫致辞，随后浙江省网络空间安全协会常务副理事长宋皆荣在会上发布《2021年浙江省网络安全产业统计报告》。

安全玻璃盒技术副总丁纯在会上正式发布《上线即安全与免疫防御解决方案》，为在场安全同仁介绍了整体方案设计思路、落地架构以及方案价值。

方案简介

《上线即安全与免疫防御解决方案》是基于“安全即代码、治标亦治本”的安全原则，将安全思维从“有病治病”转变为“增强体质”，让安全工作前置。在上线前、运行过程中进行持续测试并且及时修复安全问题，确保应用上线及投产后的持续安全性。

方案架构

方案目标-1

打造数字应用“上线即安全”内生性安全和开源软件供应链检测能力。

此前使用的WEB应用安全检测产品主要为Web漏洞扫描器、静态代码审计工具等。这些安全工具在面对一些快速迭代敏捷开发环境、复杂的业务架构、数据加密传输的系统时，存在较大的局限。

其次，许多外包单位由于安全意识的滞后，在业务软件开发过程中都只注重功能实现而忽视软件安全需求。并且通常缺失软件开发阶段的安全控制、应用软件上线前的安全检测等安全活动。另外，很多漏洞和威胁往往发生于其引用的第三方或开源组件。这些因素都将导致业务软件“带病”上线。

方案通过打造数字应用“上线即安全”内生性安全和开源软件供应链检测平台从根本上解决数字应用代码层的漏洞、应用漏洞和开源软件漏洞与许可风险，从源头解决数字应用内生安全能力不足的问题。

方案目标-2

传统安全防御体系往往建立在“防得住”的前提下，大量的检测与防御设备，如防火墙、IPS等都部署在网络边界，同时多采用基于特征规则的检测方法。但近年来爆发的大量安全事件表明，仅有这种基于经验的“栅栏式”安全防护远不足以应对安全风险。

通过上线即安全与免疫防御方案，对上线运行的应用进行实时检测，包括代码漏洞、应用漏洞和开源软件漏洞与许可风险。同时通过程序插桩将“安全探针”插入到应用程序中，使应用在运行时能够精确定位已知和未知威胁，包括开源组件漏洞等。

方案价值

·直面无开发环节的应用场景，过滤未知漏洞威胁，确保应用以及组件满足安全合规要求。

·在业务应用上线前发现安全威胁，处理缺陷、漏洞，防止应用“带病”上线，从源头提升数字应用的内生性安全。

·通过对开源组件进行梳理和分析，建立开源指纹数据档案，为事件响应提供准确的开源软件供应链信息，提升针对开源供应链攻击事件的响应能力。同时也为应对软件供应链尤其是开源技术“卡脖子、断供、脱钩、资源遏制”等的风险。