2022年12月13日，中国信息通信研究院在3SCON软件供应链安全大会上隆重公布了评估结果，悬镜安全顺利通过首批“运行时应用程序自我保护（RASP）工具能力评估”。
本次我们采访了悬镜安全CTO-宁戈，分享悬镜安全的安全工具及参与评估的收获。
Q：宁总您好，请介绍一下您的企业。
悬镜安全，DevSecOps敏捷安全领导者。起源于北京大学网络安全技术研究团队“XMIRROR”，创始人子芽。悬镜专注于以代码疫苗技术为内核，通过原创专利级"全流程软件供应链安全赋能平台+敏捷安全工具链”的第三代DevSecOps智适应威胁管理体系，持续帮助金融、车联网、泛互联网、能源等行业用户构筑起适应自身业务弹性发展、面向敏捷业务交付并引领未来架构演进的内生积极防御体系。
Q：请介绍一下您企业的RASP安全工具。
悬镜云鲨RASP自适应威胁免疫平台作为悬镜第三代DevSecOps智适应威胁管理体系中运营环节的持续检测响应平台，通过专利级AI检测引擎、应用漏洞攻击免疫算法、运行时安全切面调度算法及纵深流量学习算法等关键技术，将主动防御能力“注入”到业务应用中，借助强大的应用上下文情景分析能力，可捕捉并防御各种绕过流量检测的攻击方式，提供兼具业务透视和功能解耦的内生主动安全免疫能力，为业务应用出厂默认安全免疫迎来革新发展。
Q：请介绍一下您企业RASP安全工具的应用场景及功能特点。
当应用程序开始运行时，云鲨RASP可以通过分析与了解数据流及事件流，检测和防护无法预见的安全威胁与攻击事件，尤其在0Day等未知漏洞防御、东西向流量防护、软件供应链投毒免疫等方面，拥有绝对的核心优势。应用场景主要包括以下几个方面：
云鲨RASP与AST&SCA结合
云鲨RASP采用与灵脉IAST同源的“代码疫苗”技术，从研发、测试再到生产使用同一个探针的不同模式即可实现不同的功能。涵盖IAST (交互式应用安全测试)、Runtime-SCA (运行时软件组成成分分析)以及RASP (运行时应用自我保护)技术，协助内部IT团队构建安全的软件生命周期。
云鲨RASP与WAF结合
WAF适合计算量大、高频率、流量特征明显的南北向流量的防御。RASP 适合处理基于业务场景上下文的、有敏感行为特征的南北和东西向攻击防御。二者结合可以从边界到内网、从流量到运行时上下文全方位保护您的应用程序安全。
云鲨RASP与SIEM结合
云鲨RASP 基于真实的攻击事件进行日志记录，日志中包含攻击来源、攻击目标、攻击原始请求详情、危险行为特征、代码调用堆栈、涉及代码文件及行号。结合SIEM强大的分析与处理能力，将多款安全工具的输出整合，辅助安全运营团队对风险定级，提高应急响应效率。
Q：请问通过本次标准评估对您的企业带来了什么帮助？
悬镜安全旗下云鲨RASP自适应威胁免疫平台是首批获得运行时应用程序自我保护工具（RASP）能力认证的产品之一，该项认证标志着悬镜云鲨RASP产品已符合由中国信通院牵头制定的《运行时应用程序自我保护工具能力要求》标准，在当前同类产品中处于领先地位。
产品评估的过程，对照标准7大部分，75项必选能力指标+4项可选能力指标+3项参考能力指标进行测试，一方面通过第三方的评估，清楚的发现产品目前所处于的位置，另一方面在测试过程中进行查漏补缺，不断优化产品，提升产品的能力。同时被第三方权威机构认证为安全，可信的产品， 增加了产品的附加值，提高了产品市场竞争力，增强用户方对该产品的信心，提升企业形象，有助于云鲨RASP产品的销售，从而为企业带来更大的经济效益。
运行时应用程序自我保护（RASP）工具能力评估（以下简称“评估”）简介
评估基于《运行时应用程序自我保护工具能力要求》标准，对于工具的检验分析能力要求、工具灵活性能力要求、分析辅助能力要求、工具扩展性能力要求、部署能力要求、安全性能力要求、服务支持能力要求7大部分进行评估，评估共包括31项一级指标项，可细分为：75项必选能力指标+4项可选能力指标+3项参考能力指标。
企业参评价值
获得第三方资质证书，提升市场竞争力
通过中国信通院组织的工具能力测试评估，获得第三方资质证书，证明企业自身工具已满足标准要求。企业可向客户呈现评估结果，证明工具功能完备、产品自身安全、性能满足基本业务要求，助力企业进一步提升工具的市场竞争力。
工具能力对标行业标准，助力用户进行选型参考
标准制定过程中广泛邀请大量业界优秀安全工具厂商专家参与，抽取包括功能项、性能项及安全关键要素，建立工具评价模型。企业可通过评估测试，验证自身工具安全可信，覆盖标准通用能力要求，为用户选择合适的安全工具提供选型指导。
评估报名机制
报名机制：滚动报名机制
评估周期：1-3月
专家评审&结果发布：每三个月组织一次专家评审会，为通过企业颁发证书
报名方式：
请发送报名邮件至wujiangwei@caict.ac.cn，邮件主题为相关评估报名，正文应至少包括企业名称、联系人、联系方式等内容。
联系方式：
吴江伟 18810541612
wujiangwei@caict.ac.cn
王媛媛 18652930342
wangyuanyuan@caict.ac.cn
关于云鲨RASP
云鲨RASP SaaS是悬镜安全基于专利级代码疫苗技术推出的中国领先的自适应威胁免疫平台。凭借专利级 AI 检测引擎、应用漏洞免疫算法、运行时安全切面调度算法及纵深流量学习算法等关键技术，将主动防御能力“注入”到业务应用中，为业务应用出厂默认安全免疫迎来革新发展，是您应用安全的最后一道防线。点击官网网址 rasp.xmirror.cn ，了解更多
