安恒信息：以人为中心的新一代安全运营体系（17页）.pdf

1、安恒信息 高级副总裁袁明坤碎片化物理设备管理软件与硬件割裂以“设备”为中心统一云原生基础设施软件云原生架构以“应用”为中心统一云化资源池软件迁移上云以“资源”为中心阶段一：服务器阶段二：云化阶段三：云原生化企业IT数字化转型的“三阶段两转变”数据源自-赛迪顾问-2022年中国云安全市场年度研究报告数据源自-安恒云-历年云安全产品和服务销售业绩2022年国内云计算市场规模达到2983.4亿元。受十四五规划、新基建等政策的影响，以及国内数字化转型的需求增加，对云计算的服务需求持续增长，将加速中国云计算市场的发展。云计算市场呈爆发式增长2024 年，中国云安全市场规模将突破 300 亿元，云安全作为

2、云计算发展的必要保障，政府、金融、电信运营商等重点行业在云安全产品与服务上的投入将持续增加，云安全市场依旧保持较高发展势头。云安全迎来黄金发展阶段安恒云安全近年来积极创新、探索，保持30%以上的高速增值，在2022年市场销量近2亿，国内云安全市场的第一梯队。云 安 全 仍 保 持 高 速 增 长云原生环境下大量的挖矿容器将借此疯狂消耗资源，形成DDoS攻击，给组织的业务和成本带来双重打挖矿等事件层出不绝在Docker Hub中超过30%的官方镜像包含高危漏洞，近70%的镜像有着高危或中危漏洞，漏洞主要集中在应用程序的容器镜像当中镜像漏洞被利用运行时、宿主机、编排工具配置都会影响业务安全计算环境

3、配置不当安恒信息以云安全、大数据安全、物联网安全、智慧城市安全、工业控制系统安全及工业互联网安全五大方向为市场战略。缺少安全运营整合风险安全运营漏洞与配置运行保障安全开发响应与赋能以人为中心的新一代安全运营体系安全合规安全攻防安全架构安全投入安全战略安全管理安全效果安全响应主动响应能力培养科学演进降本增效赋能业务有效落实客观衡量协同高效准备阶段需求分析与设计开发/编码持续集成和集成测试验收测试持续交付安全知识培训建立安全共识威胁建模子平台（天璇）安全需求基线安全需求开发文档业务功能分析安全需求测试文档威胁清单安全编码培训安恒IDE安全检测插件三方组件库安全扫描安全开发SDK代码规范检测Buil

4、dTestMerge安全检测任务模块WebApi请求渗透测试安全风险报告归档项目复盘安全复盘安全情报收集应急响应、安恒信息打造一站式管理研发安全质量的安全开发一体化平台（Secure Development ALL-in-one Platform，SDAP，北斗），以及专业安全开发服务，产品和服务覆盖软件应用全生命周期。SDAP是业界内实践DevSecOps等理论的唯一综合性平台。它通过威胁建模分析、组合分析检测、安全即代码等方式优化研发团队和安全团队在源代码、开源组件、应用软件、API、主机、容器镜像等方面的安全工作，解决应用内生安全问题。安恒威胁建模平台，根据实际项目背景、业务场景，输出威

5、胁清单、安全需求清单、安全需求测试用例，解决威胁建模过程复杂、缺少安全专家、缺少安全测试人员和安全测试用例等问题。项目问卷调查威胁建模批量功能建模核心功能建模输出安全基线开发部门测试部门 基于业务场景的轻量级的威胁建模工具进行威胁建模，下沉到具体业务功能或者接口，提供与安全需求对应的安全开发SDK，输出准确的安全基线；10+项业界领先的合规标准、可扩展的安全需求知识库 支持对接Gitlab、Zentao、Jira等工单系统，灵活调整基础模版，规范的安全需求变更和评审流程、权限管理 多维度导出安全需求研发文档和测试文档 联动安全检测工具，实现DevSecOps自动闭环威胁建模知识库具有最佳实践，

6、等同于大量的威胁建模专家知识，根据建模历史不断丰富和沉淀，积累专家经验，复用正确的思路。研发体系内的安全视角安全能力与业务枢纽安全能力中心 可视化展示每一层镜像的构建信息 精确定位每一层上的漏洞、敏感配置、恶意文件、webshell等风险 漏洞信息自动关联软件包，包括类型、版本等信息开源许可检查：深度检视镜像软件开源许可敏感信息检查：包括私钥、安装sshd、源代码等WEB应用安全配置：覆盖nginx/apache/tomcat等典型WEB应用的安全配置CIS 检查：基于CIS Benchmark安全基线及最佳实践，