以下部分内容来源于数说安全

近日，数说安全发布《2022年中国网络安全十大创新方向》报告，针对每个创新方向进行技术解读、核心能力、关键挑战、应用场景和典型厂商的分析，旨在推动行业技术创新、产品创新与应用创新。永利皇宫入选API安全防护和攻击面管理两大创新领域典型厂商。

RayAPI ，保护API安全无虞

基于自身在网络资产治理与应用安全领域的技术积累，永利皇宫推出了集API资产梳理与加固保护于一体的安全防护型产品——API安全防护系统（RayAPI），在API学习画像的基础上，对其进行权限加固、攻击防护、数据保护和综合审计，提供全面的管控手段。

RayAPI的五个核心技术能力：

主被动结合的API学习引擎：采用主动学习与被动流量分析相结合的API学习引擎，可以全面梳理用户业务中存在的API资产，并结合流量特征进行语义提取，识别API状态、用途等属性，从而实现标签化的画像管理，自动梳理出正常API、影子API与问题API等内容；

启发式攻击检测与防护引擎：采用特征检测、语义分析与AI学习三合一的启发式检测引擎，通过对已知的攻击规则与行为特征简化判断逻辑，并对引擎持续训练，提升针对未知风险的发现能力，从而对API相关的注入攻击、命令攻击、异常访问和非法内容进行防护处置；

基于人机识别的API访问控制：产品基于流量变化和行为特点等角度进行建模分析，梳理API访问的基线并进行动态跟踪，对未授权访问、未知请求、非法调用和异常高频请求等行为进行识别判断，并利用反向校验、访问限制和白名单等方式进行访问控制；

面向业务的API数据调用管控：产品采用全面的检查点和丰富的数据处理模型，能够结合业务特点来对组织敏感数据、个人隐私信息、业务关键信息和系统账户口令等数据进行精准识别、统计和分类梳理，并结合擦除、替换和访问限制等手段来达到脱敏保护等目的；

面向API生命周期的态势监控：基于时间、空间、业务属性和数据类型等多种维度对API资产进行监控，对API上线状态、运行状况、调用可靠性、数据合法性以及威胁态势进行综合研判，实现API资产的细粒度审计和可视化分析。

基于创新的API 防护技术与丰富的行业实践，永利皇宫将持续优化RayAPI，帮助用户更好地对抗API攻击，保护API安全无虞。

基于组织架构的攻击面管理方案防守之所以困难，主要原因在于攻防双方的不对等。对于攻击者来说，可以采取漏洞利用、口令爆破、后门等各种攻击手段，只要找到一个突破口就可以达到目的；而对于防守方来说却要做到面面俱到，但往往因为暴露面不清、风险不明、人员不足等问题疲于应对。因此，在无法做到不计成本的投入的情况下，做好攻击面管理、找到防守的关键点不失为一种更为明智的做法。

资产暴露面类别复杂、体量剧增？

随着云计算、物联网等技术的广泛应用和远程办公的常态化，各种应用程序激增，企业资产也变得更加复杂而分散，越来越多的影子资产和不受监控的IT资产成为安全防守的盲区。

主被动结合的暴露面探测来支招

我们需要以攻击者视角监测网络空间资产的脆弱性，分析可能被攻击者利用的风险点，并制订对应的防守策略，从业务属性、社会属性等维度维护资产的安全性和有效性。

攻击行为向综合型、立体式发展？

当下，攻击行为朝着基于资产暴露面的通用漏洞、事件型0day、移动端应用/APK攻击、API攻击、文档和文件泄露、企业敏感信息泄露、勒索软件攻击、电子凭证攻击、供应链攻击、社工库攻击等为一体的综合型、立体式攻击模式发展。

以自动化攻击模拟技术检验防御的有效性

在实战攻防场景下，我们需要以自动化技术和攻击模拟技术，从攻击者视角持续不断地检验现有安全机制的有效性，从而应对愈演愈烈的综合型、立体式网络攻击。

被动安全防御越来越无力？

传统的被动式网络安全防御方式是在攻击者已开始尝试攻击的“事中”或者已攻击成功的“事后”而进行的防御行为，平均检测和响应时间等关键指标通常较差且补救成本很高。

变被动为主动，多种安全能力协同发力

从攻击者的角度，在“事前”采取主动防御的手段，针对自身薄弱点进行攻击预判和提前处置，协同联动各种安全能力，提高安全事件响应速度，将隐患消灭于萌芽之中。

基于组织架构的攻击面管理方案要点

◆ 基于企业属性梳理包括组织的IT资产、服务、应用、业务系统的整个暴露面；

◆ 分析组织整个IT资产信息系统暴露面，并将其与组织架构进行关联；

◆ 将所有信息资产与组织的漏洞情报进行关联；

◆ 发现企业内部网络资产、业务数据、产品代码、敏感信息及隐私泄露的具体情况；

◆ 基于资产治理“五步法”对攻击面进行收敛，如资产风险评估、漏洞整改、违规外联整治等。

不久前，永利皇宫入选了《IDC TechScape：中国数据安全发展路线图，2022》报告并被评为“API安全”技术领域推荐厂商。此次入选数说安全《2022中国网络安全十大创新方向》报告，是对永利皇宫在API安全和攻击面管理技术领域持续创新的再次认可。未来，永利皇宫将继续发挥自身技术优势，为广大用户提供更多满足攻防实战场景下的安全防护需求的产品、解决方案和服务。