RSA Conference 2025总体洞察
2025年RSA大会(RSAC)于4月28日至5月1日在旧金山召开,汇聚了全球网络安全界人士,大会主题为“群策群力,共筑安全”(Many Voices. One Community)。
本次大会凸显了行业在应对变革力量,尤其是人工智能(AI)时的努力,同时再次强调了身份安全的中心地位以及向主动、弹性安全态势的转变。
- 主导议题:
- 人工智能,特别是“代理式人工智能”(Agentic AI),贯穿了会议讨论和厂商发布,其关注点从最初的概念炒作转向实际(尽管充满挑战)的应用部署。
- 身份安全成为大会最核心的主题之一,这源于凭证滥用统计数据的严峻性以及混合/云环境带来的复杂性。
- 平台整合与“同类最佳”单点解决方案的争论仍在继续,首席信息安全官(CISO)对集成解决方案的明显偏好正在驱动供应商的战略。
- 弹性(Resilience)和主动威胁暴露管理(Threat Exposure Management)的重要性日益凸显,超越了纯粹的预防性方法。
- 创新沙盒(Innovation Sandbox):
- 为庆祝其20周年,RSAC创新沙盒竞赛引入了一项重大变革,即为10家入围决赛的初创公司各提供500万美元的SAFE(未来股权简单协议)投资,显著提升了竞赛的份量。
- 最终,利用开源工具(Nuclei)实现自动化攻击面监控和漏洞管理的ProjectDiscovery摘得桂冠。
- 入围决赛的公司代表了关键的创新领域:人工智能安全/治理(Aurascape、CalypsoAI、EQTY Lab、Knostic、Twine Security)、数据安全/内部风险管理(MIND)、固件安全(Metalware)、设备身份(Smallstep)以及攻击面管理/漏洞管理(ProjectDiscovery、Command Zero)。
- 核心观点:
- RSAC 2025标志着一个转折点,人工智能的整合已成为默认前提,迫使行业就治理、AI自身安全及其对身份和运营的影响展开更深入的对话。面对复杂性,业界正通过平台化和自动化寻求解决方案,而创新则高度集中于保护人工智能和数据安全,以及在新范式下管理身份。
RSA Conference 2025:大会主题与氛围
- 主题:“群策群力,共筑安全”(Many Voices. One Community.) 灵感来源于13世纪诗人鲁米的名言“灯虽不同,光却无二”(Lamps are different, but light is the same.)。该主题强调了协作、多元视角(联合IT、安全团队、边缘群体)以及共同应对威胁的统一使命的必要性。大会旨在成为“世界讨论安全”的论坛。
暂时无法在飞书文档外展示此内容
- 氛围: 现场气氛热烈,人工智能(生成式AI、代理式AI)和身份安全成为讨论的绝对焦点。供应商整合和平台战略引发了广泛关注。会议也弥漫着一种应对不确定性(技术/监管/地缘政治)的明显氛围。大会吸引了超过41,000至45,000名参会者和600至700多家参展商,设置了29个分论坛,举办了435至700多场会议。
- 深层含义: “群策群力,共筑安全”的主题虽然充满理想色彩,但也反映了行业的实际需求。面对日益复杂、由人工智能加速的威胁以及资源限制(人才缺口、预算压力 ),行业认识到孤立的方法已不足以应对挑战。协作(公私合作、供应商间合作、内部团队合作)正成为战略必需,而不仅仅是一句口号。例如,FBI、微软、Palo Alto Networks等机构和公司在会议期间共同讨论了公私合作应对网络威胁的议题,而网络威胁联盟(Cyber Threat Alliance)等组织也体现了供应商之间的协作。这些都表明,大会主题直接回应了行业面临的巨大复杂性和资源限制,强调了共享情报和统一行动的必要性。
趋势洞察:
- 大会的讨论焦点从对未来技术(如AI和零信任)的理论探索,转向了如何在当前复杂环境中实际部署这些先进解决方案并有效管理其固有风险。网络风险管理从关注“网络安全指标”转向了“实质性风险决策” 。表明行业已超越了对许多先进概念的“认知阶段”,进入了“如何有效且安全地实施”的阶段。
- 网络安全行业正从“单一、孤立的解决方案”走向“复杂、协同的生态系统”,由技术迭代和资源瓶颈双重驱动。传统方法论在面对AI加速的威胁时已力不从心,行业需重塑协作模式和应对范式。
平台整合与“同类最佳”单点解决方案的争论
CrowdStrike 的 George Kurtz“今天的威胁环境已经复杂到单点工具无法应对的地步!碎片化的安全栈不仅效率低下,更是巨大的安全风险!你们需要的是一个统一的、由 AI 驱动的平台,能够无缝地共享威胁情报,自动化响应,并且从根本上简化你们的安全运营。我们 Falcon 平台的目标,就是成为你们安全运营的单一玻璃窗格,将 EDR、XDR、云安全、身份保护等一切尽在掌握!这就是未来!”
Forcepoint 的 Sarah 正在介绍其 XDLP 的创新“我知道大家都在谈平台整合。但我们必须问自己:整合后的平台,在每一个细分领域都能做到‘最佳’吗?特别是数据安全,涉及到敏感内容的识别、用户意图的理解、复杂行为的分析,这需要极深的专业积累。我们的 XDLP 方案,不仅仅是内容识别,更是深入到用户行为分析(UEBA)的层面,去理解‘人’与‘数据’的每一次交互。”在创新沙盒(Innovation Sandbox)附近,Alex的初创公司“我们的技术能让你们在不暴露原始数据的情况下,完成跨机构的数据协作和分析,我们不是要替代你们的现有工具,我们是在创造一个全新的、解决核心隐私难题的‘能力层’。如果你们需要这种颠覆性的隐私保护,就必须拥抱我们这样专注的‘同类最佳。”CISO (来自大型制造业): "我理解平台化的需求,我们已经将 EDR 和 XDR 整合到了 CrowdStrike。这确实减轻了我们 SOC 团队的负担。但对于我们核心的 CAD 设计图纸,我们仍然在使用一家专门的DLP厂商,因为他们的文件指纹和DRM做得更专业。平台可能很广,但深度有时不够。"CISO (来自电商公司): "我们正全面转向 Zscaler 的 SSE。我需要的是简单、统一、全球化的防护。与其花时间集成无数个单点工具,我宁愿牺牲一点点‘极致’功能,换取整体的安全效率和可管理性。而且,Zscaler 也在不断增强其DLP和CASB能力,差距正在缩小。"CISO (来自金融行业): "我同意,AI 的崛起可能改变一切。如果有一个 AI 智能层,它能从我现有的所有工具中抽取数据,进行智能分析和自动化响应,那么我可能既能保留一些特别优秀的单点工具,又能获得平台化的效率。这就是我期待的‘最佳实践’。
趋势洞察,从RSAC 2025的对话中,可以得出结论:
- 平台化是提高安全运营效率、降低复杂度的“主旋律”。 对于大多数日常安全挑战(如通用的 EDR/XDR、云接入安全、身份认证),企业会优先选择平台化方案。
- “同类最佳”的生存空间在于“不可替代的极致深度”和“颠覆性创新”。 这种深度通常体现在:
- 高价值核心数据(IP、个人隐私)的超精细保护,如高级数据丢失防护(Advanced/XDLP)、数字版权管理(DRM)/信息权限管理(IRM)、数据安全态势管理(DSPM)。
- 解决平台尚无法有效解决的复杂、新兴安全问题,如高级威胁情报与溯源、AI 安全、新型身份安全与零信任深层实现。
- 应用安全的高级领域,如API 安全管理和威胁防护。
- 满足特定行业高度专业化的需求。
塑造网络安全未来的关键趋势概览
- RSAC 2025清晰地勾勒出塑造未来网络安全格局的几大关键趋势:
- AI,特别是智能体AI的广泛影响,贯穿了大会的各个层面。
- Agentic AI 安全运营平台,能够自主执行威胁检测、调查、响应(如自动隔离受感染主机、自动封锁恶意IP、自动更新防火墙规则)的 AI 平台。它不仅是告警聚合,更是行动执行者。
- AI 安全,专注于发现、评估和加固企业内部所有AI资产(模型、数据、API、平台)的安全态势。
- 高级威胁检测与防御(AI-Enhanced NDR/EDR/DLP),利用AI提升现有安全产品的检测能力,识别 AI 驱动的恶意软件变种、零日漏洞、高级逃逸技术。特别是在网络DLP中,AI 可以更精准地识别上下文、用户意图,降低误报率。
- AI 驱动的威胁情报,利用 AI 自动化从海量数据中提取、关联、分析威胁情报,预测潜在攻击,提供更具操作性的预警。
- 安全运营(SecOps)正朝着平台化和自动化方向快速演进。
- 融合型安全运营平台,不仅仅是 XDR(扩展检测与响应),更是整合 SIEM、SOAR、ASM(攻击面管理)、漏洞管理等能力的“超级平台”。
- AI驱动的自动化和编排(AI-Powered SOAR), 将AI嵌入到SOAR平台中,实现对告警的智能分类、优先级排序,并自动化执行更复杂的响应 playbook,减少人工干预。
- 身份管理,尤其是对非人类身份(Non-Human Identities, NHIs)的关注,以及零信任架构的深化,已成为新的安全边界。
- 非人类身份管理,专门管理和保护各类 NHIs 的生命周期(创建、分配、轮换、销毁)、权限和访问行为。
- 高级特权访问管理(Advanced PAM), 将 PAM 能力扩展到 NHIs,对自动化脚本、服务账号等特权身份的访问进行实时监控、隔离和审计。
- 动态零信任访问(Dynamic ZTNA), 利用 AI/ML 实时评估用户、设备、应用和数据的风险态势,动态调整访问权限,实现更细粒度的“永不信任,持续验证”。
- 网络风险管理的方法论正在经历一场变革,强调与业务目标对齐和量化决策。
- 网络风险量化(Cyber Risk Quantification - CRQ)平台, 提供基于量化框架的平台,帮助企业量化网络风险的财务影响。
- 针对云环境、电子邮件和关键基础设施的,通常由AI驱动的攻击正持续加剧,对防御方构成严峻挑战。
- 云安全平台增强(CSPM/CNAPP/DSPM),提供更高级的云安全态势管理(特别是 DSPM,聚焦数据),云原生应用保护平台(CNAPP),以及云环境下的 AI 驱动威胁检测和响应。
- 高级 Email 安全网关,利用 AI、行为分析和沙盒技术,有效识别和阻止AI驱动的钓鱼、BEC、勒索软件等邮件威胁。
机会思考:机会思考:机会思考:机会思考:机会思考:
RSAC 2025全景:主题演讲与关键启示
演讲者 | 所属机构 | 演讲主题/核心信息 | 关键启示 |
Hugh Thompson | RSAC大会项目委员会主席 (RSAC Conference Program Committee Chair) | 开幕主题演讲:“网络安全,众志成城。 1+1=3” (Cybersecurity Together. 1+1=3) | 强调社区和协作的增效力量,预示着行业将 更加依赖集体智慧应对挑战。 |
Jeetu Patel | 思科执行副总裁兼首席产品官 (EVP & Chief Product Officer, Cisco) | “保护AI基础设施:构建安全、可扩展和 有韧性的系统” (Protecting AI Infrastructure: Building Secure, Scalable & Resilient Systems) | AI在提升生产力的同时,引入了传统方案 难以应对的复杂安全挑战和“全新类型的 风险” ,需要重新审视AI赋能型员工队伍 的管理。 |
John Fokker | Trellix威胁情报主管 (Head of Threat Intelligence, Trellix) | “情报之战:战胜民族国家” (The Intelligence War: Winning Against Nation-States) | 民族国家背景的网络攻击者在生成式AI的 加持下日益猖獗,需要战略性、操作性和 协作性的情报来对抗。 |
Vasu Jakkal | 微软安全企业副总裁 (Corporate Vice President, Microsoft Security) | “智能体AI时代的安全” (Security in the Age of Agentic AI) | 智能体AI将通过更复杂的问题解决、智能 体协作和迭代学习,赋能一种曾被认为是 科幻小说的安全新范式。微软的Security Copilot智能体是例证 。 |
AI安全小组 (AI Safety Panel) | 谷歌、微软、英伟达、英国AI安全研究 所代表 (Google, Microsoft, NVIDIA, UK AI Safety Institute) | “AI安全:我们何去何从?” (AI Safety: Where Do We Go From Here?) | 探讨AI安全格局的演变,AI安全与现有安 全计划的交叉点,以及将AI安全理念付诸 实践的成熟方法。 |
密码学家小组 (The Cryptographers' Panel) | 多位知名密码学专家 (Renowned cryptography leaders) | 探讨AI对安全的影响、量子计算的准备、加 密货币的新发展等紧迫问题 | 密码学前沿的思考对理解AI时代的安全、后 量子密码迁移和数字货币安全至关重要。 |
Sandra Joyce | 谷歌云/Mandiant (Google Cloud/Mandiant) | AI对攻击和防御策略的影响,基于 Mandiant一线经验和对攻击者使用 Gemini的分析 | 强调从实战经验中提炼AI在网络攻防中的 真实影响,为防御策略提供依据。 |
Bruce Schneier | 哈佛大学肯尼迪学院讲师,知名安全专 家 (Lecturer, Harvard Kennedy School; Security Technologist) | “AI、安全与信任” (AI, Security, and Trust) | 强调信任AI系统的双重挑战:技术完整性 和社会信任,并呼吁通过强有力的政府监 管来建立对AI技术的信心。 |
关键启示:
- 从这些主题演讲中可以明显看出,AI的双重性——即其巨大的潜力和与之伴随的重大新型风险——是贯穿始终的核心叙事。
- 主题演讲中关于人工智能,特别是代理式人工智能和人工智能安全/治理的大量讨论表明,行业正在超越基本的生成式AI应用,开始深入理解更自主的AI在安全领域带来的运营和战略影响。
AI在网络安全领域的崛起与重塑
Agentic AI自主安全决策的新范式
- 与GenAI不同,智能体AI被设计为能够在最少人工干预的情况下,自主做出决策并执行任务。多家供应商展示了智能体AI如何自动检测威胁、自主响应事件并适应不断变化的攻击技术 。演示表明,智能体AI能够将事件响应时间和威胁驻留时间缩短40%以上。
- 智能体AI的出现不仅仅是工具层面的革新,它预示着安全运营模式的根本性重塑。未来可能出现“自主SOC”的景象,其中AI智能体处理绝大多数日常任务,而人类分析师的角色则转变为战略监督、复杂事件管理和AI系统治理。谷歌提出的“智能体SOC”愿景也描绘了类似的未来:AI智能体处理常规任务,人类分析师则专注于需要高级专业知识的调查工作。这要求网络安全专业人员进行大规模的技能重塑和提升,从执行者转变为AI智能体的管理者、治理者和协作者。
生成式AI攻防两端的革命性力量
- 生成式AI(GenAI)在RSAC 2025上依然是热门话题。它通过快速辅助SOC分析师入职、提高工作准确性,为防御方带来了革命性的变化。然而,攻击者也同样因GenAI而变得更加“大胆” 。他们利用GenAI进行更复杂的社会工程、自动化恶意软件开发、制造深度伪造内容、发起自动化网络钓鱼攻击,甚至通过对窃取数据进行情感分析来进行勒索。
- GenAI的普及实际上是“高级网络能力”的民主化。它显著降低了技术门槛,使得一些原本技术实力较弱的攻击者也能发动更复杂、更具欺骗性的攻击。与此同时,防御方也获得了强大的分析和响应工具。
- AI驱动的攻防“军备竞赛”由此形成。其后果是各类攻击的数量和复杂性可能会全面上升,迫使防御方更加依赖自身的AI工具。这也意味着传统的安全意识培训内容需要更新以应对如AI生成的深度伪造内容等新型威胁。
专家观点:
- 尽管智能体AI带来了显著的效率提升,但正如思科的Jeetu Patel所警告的,它也引入了“一整套我们从未见过的新型风险”。因此,“人在回路”(human-in-the-loop)的控制机制和人类监督被认为是确保其安全、负责任部署的关键。这意味着,在智能体AI广泛应用的初期,“人在回路”可能成为许多系统的强制性要求,以确保其行为的可控性和可靠性。
“人在回路”是指在自动化系统(特别是基于人工智能和机器学习的系统)中,将人类的判断、干预和监督整合到决策和执行流程中。 它不是让系统完全自主运行,而是确保在关键节点或特定情况下,人类能够介入、审查、纠正或批准系统的行为。”
AI驱动的产品创新浪潮
RSAC 2025 AI驱动的关键产品/服务发布
厂商 | 产品/服务名称 | 核心AI能力 | 解决的关键问题 |
谷歌云 (Google Cloud) | Google Unified Security | 由Gemini AI提供支持,整合威胁可见性、检测、虚拟红 队演练等 | 提供统一的安全视图,加速威胁检测和响应 ,应对规模化安全挑战 |
谷歌云 (Google Cloud) | M-Trends 2025 报告 | 基于事件响应调查的AI辅助分析 | 揭示新兴威胁趋势,如信息窃取恶意软件 和云环境威胁 |
Splunk (思科旗下) | Splunk Enterprise Security 8 | 增强的AI功能,用于威胁检测和SecOps现代化 | 提升威胁检测效率,简化安全运营,应对 日益复杂的攻击 |
Palo Alto Networks | Cortex XSIAM 3.0 | AI驱动的SIEM替代方案,整合扩展智能、自动化、 邮件钓鱼检测 | 替换传统SIEM,通过AI优化告警优先级, 大幅减少噪音,加速响应 |
Palo Alto Networks | 收购Protect AI | AI安全态势管理 (AI-SPM) | 保护AI模型和应用程序本身免受攻击和滥用 |
SentinelOne | Purple AI Athena | 下一代AI驱动的SOC解决方案 | 提供媲美高级人类分析师的推理能力,实 现从检测到解决的完整威胁修复工作流 |
Cyera | Omni DLP | AI驱动的数据丢失防护 | 将传统DLP与AI驱动的实时安全治理相结 合,减少误报,保护敏感数据 |
思科 (Cisco) | Cisco AI Defense | AI驱动的防御能力,可与ServiceNow SecOps等集成 | 提升跨厂商协作的事件响应效率,提供更全 面的威胁防护 |
IBM | 智能体AI威胁检测与响应服务 (Agentic AI Threat Detection and Response services) | 智能体AI驱动 | 赋能安全团队,通过自主AI智能体处理威 胁检测与响应任务 |
专家观点:
- 众多的AI驱动产品发布表明,AI已不再是网络安全产品中的一个利基特性,而是正在被整合到整个产品谱系的底层技术。
- 这为提升安全防护能力创造了机遇,但也给用户在辨别真正创新与市场上的“AI漂绿”(AI-washing)行为带来了挑战。尽管AI带来了实实在在的好处,但市场宣传的过度渲染可能会掩盖产品的真实能力。
“AI漂绿”指的是公司或组织通过夸大、误导或虚假宣传其产品或服务中人工智能(AI)的应用程度或能力,以使其看起来更先进、更智能、更具创新性,从而吸引客户、投资者或媒体关注的行为。”
安全运营(SecOps)的演进与现代化
下一代安全运营中心(SOC):智能化、自动化与平台化
- SOC现代化已成为业界的普遍追求。谷歌云推出的“SOC现代化与Mandiant服务” 和Splunk强调的构建“未来SOC”的愿景,都指向了利用AI和自动化来应对挑战。
- 未来SOC的核心特征是去中心化、敏捷和集成化的方法,依赖数据驱动的安全决策,并统一威胁检测、调查和响应(TDIR)流程。智能体AI被视为实现这一目标的关键,能够自动化从分类到响应的SOC工作流,例如谷歌提出的“智能体SOC”概念。SentinelOne的Purple AI Athena等解决方案甚至致力于提供与人类高级分析师相当的AI SOC推理能力。
- 推动SOC现代化的根本动力在于,通过智能自动化和AI来增强稀缺的人类专业知识,并克服“告警疲劳”,而非简单地取代人类分析师。未来的SOC将是一个人机协作的伙伴关系。
- “SOC现代化”正日益成为采用AI原生平台的同义词。这些平台旨在提供端到端的可见性和自动化响应能力,因为传统的SIEM和孤立的工具已越来越难以应对现代威胁的速度和规模。
- Splunk的愿景包括“统一的威胁检测和响应工作流(TDIR)”和“跨去中心化数据源的可见性” 。
- Palo Alto Networks的Cortex XSIAM 3.0被定位为SIEM的替代品,整合了扩展智能和自动化能力。对“统一平台” 和“谷歌统一安全”的强调,也反映了从整合多个单点解决方案向综合平台迁移的趋势。
安全平台的整合与“平台化”趋势
- “平台化”是RSAC 2025上反复出现的讨论焦点。思科和Splunk讨论了支持超分布式安全架构的“安全蓝图” ,而Blackpoint Cyber也推出了其统一安全平台CompassOne。然而,尽管整合是趋势,“真正的集成仍然滞后” 。
- 尽管供应商大力推广“平台化”,用户也期望通过平台化实现简化,但行业在实现真正的、开放的集成(而非形成更大、更复杂的专有“超级孤岛”)方面仍面临重大挑战。而且没有任何CISO会允许完全依赖单一供应商。这表明,在统一平台的愿景与供应商生态系统和客户对某些领域最佳单点解决方案的偏好之间存在一种张力。因此,成功的平台需要在提供全面的原生能力与支持强大的、开放的API及第三方集成之间取得平衡。客户需要警惕那些限制灵活性和选择的“封闭”平台,并将重点放在“集成方法”上,而非追求单一供应商的主导地位。
扩展检测与响应(XDR)及统一安全解决方案
- XDR解决方案是平台化趋势的重要组成部分,旨在提供跨多个安全层次(如端点、网络、云、电子邮件)的整体可见性和统一的威胁检测、调查与响应(TDIR)能力。谷歌统一安全(Google Unified Security)便是一个融合型解决方案的例子。
- XDR统一安全解决方案的演进核心驱动力在于打破不同环境(端点、网络、云、邮件)之间的数据孤岛并提供富含上下文、高度关联的威胁情报,以实现更快、更准确的响应。Splunk强调“跨去中心化数据源的可见性” 。
什么是超分布式安全架构的“安全蓝图” ?
核心理念是:
- 分布式数据存储(Distributed Data Storage): 改变传统安全中心化数据湖的模式,将数据存储分散到数据产生和使用的边缘。数据不必全部汇聚到一个中心位置,而是保留在分布式的数据源头。
- 原因:随着数据量爆炸式增长,尤其是在AI时代,将所有数据集中存储变得成本高昂且效率低下。此外,AI 模型学习到的数据“永不忘记”,也提出了数据存储和遗忘的新挑战。
- 分布式数据分析(Distributed Data Analytics): 既然数据是分布式的,那么分析能力也必须分布到数据所在的位置。分析和数据需要“生活在一起”,才能实现更快的洞察和决策。
- 原因:避免数据传输的延迟和带宽消耗,同时能更实时地对本地数据进行分析,提高检测效率。
- 分布式策略执行(Distributed Policy Enforcement): 安全策略的执行点也需要尽可能地靠近被保护的资产和数据。
- 原因: 能够在数据产生或被访问的当下就进行安全控制和响应,而非依赖于中心化网关的滞后性,从而实现更强大的零信任和更快的威胁响应。
这个蓝图旨在解决的核心问题:
- 应对AI时代的复杂威胁: 攻击面因AI变得更加复杂,攻击者也利用 AI 自动化攻击。
- 超分布式生态系统的挑战: 随着云、边缘、远程办公的普及,数据和工作负载高度分散。
- 传统中心化架构的局限性: 集中式数据湖和安全设备难以应对现代威胁的速度和规模。
- 提高可见性和响应速度: 通过分布式能力实现对超分布式环境的无与伦比可见性和快速有效的响应。
新的产品机会:
- AI原生分布式安全处理单元,蓝图强调“分布式数据分析”和“分布式策略执行”,将安全控制嵌入到服务器、网络结构、虚拟机和容器中。这意味着安全能力不再是集中在少数几个大型盒子(如防火墙)里,而是散布在整个 IT 基础设施的每个角落。
- 思科也有其自身的考量, Hypershield 是一种分布式、AI 原生(AI-Native)的安全架构,它将安全控制点深入嵌入到企业 IT 环境的各个层面,
创新聚焦:20周年的RSAC创新沙盒
- RSAC创新沙盒(ISB)竞赛被公认为网络安全初创公司的领先平台,2025年是其20周年庆典。它聚焦于具有颠覆行业潜力、可能改变游戏规则的突破性技术。
- ISB被广泛认为是成功的跳板。过去的10强决赛入围者总共经历了90多次收购,并获得了超过164亿美元的投资。知名的毕业生包括Wiz、Imperva、SentinelOne、Phantom Cyber、Axonius、BigID、Talon Cyber Security、HiddenLayer以及2024年的获胜者Reality Defender。
- 获胜者简介:ProjectDiscovery
- 获胜原因:被评为“2025年最具创新力初创公司”。利用开源工具帮助安全团队快速发现和修复漏获选。
- 核心场景与客户痛点:
- 盲区与滞后性: 企业的攻击面(包括新上线的应用、API、云资源、外联网络等)持续扩大且动态变化,传统扫描工具难以实时、全面地发现所有暴露面,导致存在大量安全盲区,无法及时发现新增资产和漏洞。
- 效率低下与告警疲劳: 漏洞扫描和管理流程往往复杂且耗时,手动配置、执行和分析结果效率低下。大量的误报和低质量告警导致安全团队(SOC)不堪重负,产生“告警疲劳”,容易错过真正的威胁。
- 专业人才稀缺: 专业的漏洞分析师和安全工程师资源紧缺,难以支撑大规模、持续性的漏洞管理工作。
- 成本高昂: 传统的专有漏洞扫描和 ASM 解决方案往往价格不菲。
ProjectDiscovery 主要聚焦于攻击面监控(ASM)和漏洞管理(VM)这两个关键安全场景。客户在这个场景中遇到的主要痛点是: - 他们的创新解法:
- 开源核心:Nuclei 驱动的自动化扫描
- 核心技术: ProjectDiscovery 的平台由其旗舰级开源漏洞扫描器Nuclei驱动。Nuclei 使用 YAML DSL(特定领域语言),允许安全专家和社区成员以简单的模板形式定义漏洞检测规则。
- 社区力量: Nuclei拥有一个由全球社区支持的庞大模板库,包含9000多个模板。这意味着它能够快速迭代,不断发现和检测各种类型的漏洞,包括应用程序、API、网络、DNS 和云配置中的漏洞。社区的贡献使其能迅速覆盖最新威胁,远超单一厂商的研发速度。
- 自动化ASM和VM: 平台自动化了整个攻击面监控和漏洞管理流程,从资产发现到漏洞扫描再到结果报告。
- AI 驱动的辅助能力(测试版):
- AI 模板生成:利用AI辅助生成新的漏洞检测模板。这能够加速新漏洞的覆盖速度,降低手动编写模板的门槛。
- 资产标记:AI辅助对发现的资产进行智能标记和分类,进一步简化攻击面管理。
在于其 “开源核心 + 社区驱动 + 自动化 + AI 辅助” 的独特组合: - 他们构建的核心控制点:
- 快速、全面的攻击面发现: 通过自动化扫描和社区力量,确保能迅速识别企业不断变化的攻击面,包括那些可能被遗漏的资产。
- 持续、自动化的漏洞检测: 基于庞大的模板库和自动化流程,实现对已知和新兴漏洞的持续、高效扫描,减少人工干预。
- 提高检测精准度与降低误报: 社区驱动的模板质量和 AI 辅助的模板生成,有助于提升检测的准确性。用户可以审查和贡献模板,确保其与实际场景的匹配度。
洞察观点:ProjectDiscovery 的成功,不仅仅是一个初创公司的胜利,更是对整个网络安全行业未来发展模式的深刻验证:开源安全模式的崛起,挑战了传统专有软件的主导地位,表明市场对社区驱动、可定制、透明的安全工具的接受度和需求正在增长。这为更多开源安全项目的商业化提供了范本。 - 其他决赛入围者深度分析
| 公司名称 | 核心关注点 | 技术/方法 | 目标解决的问题 | 其他备注 |
| Aurascape | AI原生安全平台。赋能企业安全地拥抱AI(生成式AI、嵌入式AI、代理式AI)。 | 专为AI交互设计的AI原生引擎。为数千种AI应用提供无与伦比的可见性和控制深度与广度(“长尾AI覆盖”)。对交互进行可观察性分析、风险分析、提示+响应解码。监控交互行为,阻止不安全的数据共享,引导用户行为。内置多模态数据识别(文本、语音、图像、视频、代码)。通过数据指纹识别标记敏感内容。 | 未经检查/影子AI使用的风险(数据泄露、合规性),保护AI驱动工具和代理的安全。 | 已获5000万美元种子轮融资。成立于2023年。 |
| CalypsoAI | AI推理平台安全(在运行时保护AI应用和代理)。 | 全生命周期AI安全架构,在推理阶段(决策制定、风险显现处)保护AI系统和代理。特色功能:Agentic Warfare™(自主代理红队演练)、Resistance Scoring、CASI Score(专有安全度量)、AI安全网关(实时阻止提示注入、数据泄露、对抗性滥用)、自主暴露管理。运行超过50,000种不断演变的签名攻击。 | 为动态AI系统/代理提供实时、自适应的安全防护,抵御运行时的对抗性攻击和滥用。 | 获得亚军。投资者包括Paladin Capital Group、Lockheed Martin Ventures、Hakluyt Capital。 |
| Command Zero | 自主和AI辅助的网络调查平台。变革安全运营,针对二级以上分析瓶颈。 | 结合编码的专家知识、先进的LLM和直观的用户界面。赋能二级/三级分析师和事件响应者进行复杂调查和威胁狩猎。旨在缩短MTTR/MTTU,确保一致/可审计的调查,沉淀组织知识。 | 需要人工分析的复杂安全调查成为瓶颈;专业知识差距;提高高级分析师的效率。 | |
| EQTY Lab AG | 通过密码学实现AI完整性和治理。加速对AI的信任。 | AI Integrity Suite,包含Verifiable Compute和AI Guardian。利用密码学(基于芯片的信任层,与Intel/NVIDIA合作开发)确保AI代理的治理在运行时是可问责、可验证、可解释的。创建绑定规则,生成不可篡改的合规记录。SLSA 3级完整性架构。 | AI模型和代理缺乏信任、可验证性和实时治理,尤其是在受监管行业。保护AI供应链安全。 | 已在公共部门、生命科学和金融领域部署。 |
| Knostic | 基于“需要知道”(Need-to-Know)原则的LLM访问控制。保护企业级生成式AI工具(如Copilot)。 | 以知识为中心的能力、策略引擎、自适应学习。实时监控LLM的查询/响应,根据用户的“需要知道”边界应用上下文感知的重写/阻止策略。轻量级API集成。提供Copilot就绪评估。 | LLM/生成式AI工具因缺乏精细访问控制而过度共享敏感数据;防止通过AI交互导致数据泄露。 | 由Gadi Evron和Sounil Yu创立。已获1100万美元种子轮融资。 |
| Metalware | 关键基础设施的固件安全。 | 自动化、智能化的二进制模糊测试平台。对嵌入式固件(裸机、RTOS如FreeRTOS、VxWorks、QNX)进行分解、模拟(支持ARM Cortex-M、实现MMIO)和模糊测试,在部署前发现0day漏洞。旨在显著减少手动测试工作量。 | 大规模发现嵌入式系统固件漏洞的复杂性和难度,特别是针对关键基础设施(航空航天、医疗、汽车、工控、物联网)。 | 成立于2023年。 |
| MIND | 自动化数据丢失防护(DLP)和内部风险管理(IRM)。数据安全态势+预防。 | 云原生平台,利用AI自动化DLP/IRM。全面的数据发现/分类(多层AI引擎理解上下文/语义),数据检测与响应(DDR),在端点(Windows、Mac、Linux,通过代理/浏览器扩展)实时拦截/阻止风险用户活动。上下文感知、基于风险的评估,渐进式修复选项(阻止、指导/减速带、监控、允许)。 | 传统DLP的无效性(误报、阻碍正常业务),IRM的复杂性,需要自动化、上下文感知的数据保护。 | |
| Smallstep | 设备身份平台。解决零信任的“另一半”。 | 使用ACME设备证明标准(与谷歌/苹果共同开发),实现跨操作系统、高保证度的设备身份。将访问权限绑定到硬件,通过密码学验证设备授权。保护Wi-Fi、VPN、ZTNA、SaaS、云API。与现有MDM/态势解决方案集成。 | 零信任中被忽视的设备身份验证问题;减少密码带来的攻击面;消除网络钓鱼/MFA疲劳。 | 过去一年收入/客户群增长近三倍。 |
| Twine Security | 面向网络安全任务的AI数字员工(从IAM开始)。解决网络安全人才缺口。 | 构建AI数字员工以执行端到端的安全任务。首个员工“Alex”专注于身份和访问管理(IAM)任务(IGA优化、权限管理、审计、MFA、访问配置、PoLP执行等)。使用AWS Bedrock生成式AI。能够学习、理解并主动完成目标。 | 网络安全人才短缺;安全团队工作负担过重;需要超越简单脚本的自动化来处理IAM等复杂流程。 | 由Claroty资深人士于2024年创立。已获1200万美元种子轮融资。 |
从沙盒看创新趋势
- AI安全主导: 2025年ISB决赛入围者明显偏向于AI安全(保护AI系统/数据/交互)以及利用AI进行安全运营,这反映了大会的主导议题。10家公司中有5家(Aurascape、CalypsoAI、EQTY Lab、Knostic、Twine)直接关注AI安全或以AI代理为核心技术 。对决赛入围者关注领域的直接分析显示,50%的公司主要集中在AI治理、AI运行时安全、LLM访问控制或使用AI代理执行SecOps任务。明确指出了这种在保护AI和利用AI进行安全防护上的双重焦点。这种集中度证实了AI是竞赛所认可的网络安全创新的前沿领域。
- 数据安全持续关键: 数据安全,特别是在AI(Knostic、Aurascape)和内部风险(MIND)背景下,仍然是创新的关键领域,其重要性已超越传统的边界或网络控制。Knostic专注于防止通过LLM泄露数据。Aurascape监控AI提示/响应中的数据共享。MIND 自动化DLP/IRM。这种对数据本身、其使用方式以及访问者的关注,尤其是在新的AI工作流中,凸显了数据安全作为一个持续演变的挑战,正在驱动初创公司的活动。
- 基础安全领域仍需创新: 漏洞管理(ProjectDiscovery)、固件安全(Metalware)和设备身份(Smallstep)等基础安全领域仍在持续创新,表明现有解决方案在解决这些核心问题方面仍存在差距或效率低下。决赛入围者中涉及VM/ASM(ProjectDiscovery )、固件(Metalware )和设备身份(Smallstep )的公司表明,即使是成熟的安全领域也需要新的方法,无论是通过开源模型、专门的测试技术(模糊测试)还是新标准(ACME证明)。这显示创新不仅集中在AI等全新领域,也致力于改进基础的安全实践。
主要厂商战略发布与技术突破
众多主流网络安全厂商在RSAC 2025上发布了重要产品和战略更新,其中AI的深度融合和平台的整合化趋势尤为突出。
- 主流供应商正大力投资于AI原生平台,并整合各种能力(例如将SIEM、SOAR、威胁情报整合到类似XSIAM的产品中,或推出统一安全套件),以满足客户对简化管理、提升自动化水平以及在AI加速攻击面前更有效管理威胁的需求。
- 谷歌的“统一安全” 、Palo Alto Networks的XSIAM 3.0、Splunk的现代化SecOps解决方案都指向了集成的、AI驱动的平台。
- 像Palo Alto Networks收购Protect AI这样的举动,也显示了厂商构建全面AI安全能力的战略意图。这是对“平台化”趋势和应对日益复杂、通常由AI驱动的威胁的直接回应。这意味着大型平台供应商之间的竞争将加剧。客户将从更集成的解决方案中受益,但也必须仔细评估这些平台的开放性和互操作性,以避免供应商锁定,并确保在需要时能够集成专业的、同类最佳的工具。
RSAC 2025 主要厂商关键产品/战略发布
厂商 | 产品/服务/战略 | 核心特性/目标 | 解决的关键行业痛点 |
谷歌云 (Google Cloud) | Google Unified Security | 由Gemini AI驱动,整合威胁可见性、检测、持续虚拟 红队演练、Mandiant专业知识 | 提供统一的安全运营视图,加速威胁检测与响应 ,应对规模化安全挑战,提升整体安全效能 |
谷歌云 (Google Cloud) | SOC Modernization with Mandiant | Mandiant服务产品,专注于安全运营中心现代化, 包括流程、技术和人员优化 | 帮助客户优化SOC投资,提升检测和响应迁移计划、 安全态势验证、SOAR工程和人员技能 |
谷歌云 (Google Cloud) | M-Trends 2025 Report | 基于一线事件响应调查的深度分析报告 | 揭示新兴威胁趋势,如信息窃取恶意软件、云环境威 胁、事件响应指标等 |
Palo Alto Networks | Cortex XSIAM 3.0 | 下一代SIEM替代方案,集成扩展智能、自动化、邮 件钓鱼检测 | 替换传统SIEM,通过AI优化告警,减少高达99%的 噪音,实现主动防御和快速响应 |
Palo Alto Networks | 收购Protect AI | AI安全态势管理 (AI-SPM) | 保护企业部署的AI模型和应用程序本身免受攻击、 数据泄露和滥用 |
Palo Alto Networks | Prisma SASE 更新 | SASE平台功能增强 | 提升分布式环境下的网络安全和访问控制能力 |
Splunk (思科旗下) | Splunk Enterprise Security 8 | 新一代企业安全解决方案,增强AI能力 | 提升威胁检测、调查和响应(TDIR)的效率和准确 性,赋能现代化SecOps |
思科 (Cisco) & Splunk | 安全蓝图 (Security Blueprint) | 应对“顶级团队”级别攻击的超分布式安全方法 | 帮助合作伙伴和企业应对高度复杂和协同的攻击,特 别是在AI日益普及的背景下 |
微软 (Microsoft) | Security Copilot 智能体 | AI驱动的安全助手和自主智能体 | 赋能安全分析师,自动化安全任务,提升威胁检测和 响应速度 |
SentinelOne | Purple AI Athena | 下一代AI驱动的SOC解决方案 | 提供媲美高级人类分析师的推理能力,实现从检测到 解决的完整威胁修复工作流,提升SOC效率 |
CrowdStrike | 新安全工具发布 | 具体细节未详述,但强调AI相关讨论 | 应对不断演变的威胁,利用AI提升防御能力 |
Netskope | 新安全工具发布 | 具体细节未详述 | 增强网络、云和数据安全防护 |
HPE | GreenLake Cloud “应急开关” (Emergency Switch) | 云平台安全增强功能 | 提供在紧急情况下快速隔离和保护云资源的能力 |
HPE | Aruba Networking Central “下一代NAC 注入” (Next-Gen NAC Infusion) | 集成虚拟私有云和ClearPass的网络访问控制增强 | 提升网络接入安全性和管理灵活性 |
Blackpoint Cyber | CompassOne 统一平台 | 全方位托管式安全态势管理与MDR服务 | 为企业提供集成的安全态势管理和托管式检测与响 应服务 |
Cyera | Omni DLP | AI驱动的数据丢失防护(DLP)解决方案 | 将传统DLP方法与AI驱动的实时安全治理相结合, 减少误报,保护云端和本地的敏感数据 |
ColorTokens | Xshield 微分段平台 | 实时防御,阻止横向攻击,保护OT环境 | 通过微分段技术实现零信任,保护数据中心、云工作 负载和OT网络 |
Oasis Security | NHI Provisioning | 非人类身份(NHI)配置和安全管理 | 自动化NHI的创建、治理和安全,消除因NHI管理不 当导致的安全风险 |
战略启示
- AI正从辅助工具向核心引擎转变,尤其代理式AI(Agentic AI)潜力巨大。AI治理和AI自身安全成为新焦点。网络安全产品需要思考如何安全地集成AI,并帮助客户防御针对AI基础设施的网络威胁。
- 大型厂商平台化竞争加剧,客户倾向于集成解决方案以降低复杂性,孤立的安全产品可能面临被边缘化或难以进入大型企业采购清单的风险,将安全能力内嵌到范围更大的网络产品组合中构建网络即安全平台可以实现自身优势的最大化。
- 主动安全走向成熟,威胁暴露管理(TEM)和持续威胁暴露管理(CTEM)等概念将更加主流,客户需要更主动的风险评估和优先级排序能力。强化方案的主动暴露管理与网络韧性,从被动防御转向主动塑造安全,可以在打开更大的安全空间、牵引客户的需求发展。
RSAC2025创新公司洞察:前沿解法与启示
五大创新方向和创新类型
- 作为全球网络安全行业风向标,每年RSAC都汇集了最新的技术突破和市场趋势。CRN评选出的“RSAC 2025最酷的20款网络安全新产品”榜单,提供了一个观察行业创新热点和厂商发力方向的绝佳视角。
“新闻链接:https://www.crn.com/news/security/2025/20-coolest-new-cybersecurity-products-at-rsac-2025?page=1”
- 通过对CRN评选出的20款“最酷”新产品的深入分析,可以清晰地看到几个核心创新主题:
- 人工智能的深度融合与广泛应用。
- 安全平台的整合趋势。
- 对身份与数据安全的持续聚焦。
- 向主动防御策略的明显转变。
- 这些产品主要分布在以下几个关键创新领域:
- AI 驱动的安全运营(SecOps)。
- 数据安全与AI治理。
- 身份结构安全。
- 现代化安全运营中心(SOC)平台。
- 应用安全(AppSec)与云原生安全。
主要创新类别 | 产品名称 | 厂商 | 创新类型 |
数据安全与AI治理 (Data Security & AI Governance) | Cyera Omni DLP | Cyera | 初创公司市场切入 |
Netskope DSPM Expansion | Netskope | 老牌厂商平台功能增强 | |
身份结构安全 (Identity Fabric Security) | Huntress ITDR Enhancements | Huntress | 初创公司产品功能增强 |
Silverfort Non-Human Identity Expansion | Silverfort | 初创公司平台扩展 (含收购) | |
1Password Extended Access Management Expansion | 1Password | 初创公司平台化转型 (含收购) | |
Rubrik Identity Resilience | Rubrik | 老牌厂商新产品领域 | |
现代化SOC平台 (Modern SOC Platforms) | Palo Alto Networks Cortex XSIAM 3.0 | Palo Alto Networks | 老牌厂商平台版本更新 |
Blackpoint Cyber CompassOne | Blackpoint Cyber | 初创公司平台化转型 | |
Rapid7 MDR for Enterprise | Rapid7 | 老牌厂商新服务层级 | |
Axonius Exposures | Axonius | 初创公司新产品模块 | |
Semperis Ready1 | Semperis | 初创公司新产品平台 | |
应用安全与云原生安全 (AppSec & Cloud Native Security) | Orca Security Reachability Analysis | Orca Security | 初创公司产品功能增强 |
Apiiro Software Graph Visualization | Apiiro | 初创公司平台功能增强 | |
Snyk API & Web | Snyk | 初创公司新产品 (含收购) | |
Illumio Insights | Illumio | 初创公司新产品模块 | |
AI驱动的安全运营 (AI-Driven SecOps) | SentinelOne Purple AI Athena | SentinelOne | 老牌厂商平台扩展 |
Akamai Firewall for AI | Akamai Technologies | 老牌厂商新产品线 | |
Proofpoint Prime Threat Protection | Proofpoint | 老牌厂商平台整合 | |
CrowdStrike Agentic AI Tools | CrowdStrike | 老牌厂商平台功能增强 | |
Endor Labs: Agentic AI for AppSec | Endor Labs | 初创公司平台重大扩展 |
数据安全与AI治理 (Data Security & AI Governance)
Cyera Omni DLP(初创公司市场切入)
- DSPM领域的顶级参与者Cyera在RSAC2025之前启动了其迄今为止最大的扩展,提供数据丢失防护。推出了其Omni DLP产品,该产品可在所有环境和工具中提供统一的自适应数据安全性。
- 该平台通过去年收购Trail Security将Cyera的DSPM技术与实时DLP分析相结合。主要功能包括显著减少误报警报、自动检测组织数据、防止泄露和“深度”AI 治理。至关重要的是该产品通过将“所有端点、网络、电子邮件、消息传递和云DLP风险、警报和策略集中在一个视图中”来提供全面的视图。
- Cyera是什么样的公司?
- 公司简介:以色列网络安全公司,成立于2021年,专注于为现代云环境提供AI驱动的数据安全和治理解决方案。增长迅速(两年内收入增长26倍,客户增长21倍),估值高达30亿美元,显示出强大的市场吸引力。
- 价值主张:Cyer快速利用其DSPM核心能力并通过收购rail Security进入DLP市场,用现代AI和上下文驱动的方法解决一个众所周知的痛点市场,旨在通过解决噪音和复杂性问题来取代传统供应商。
- 产品定位:提供自适应的实时保护,实现AI治理,并整合来自端点、网络、邮件、云等DLP工具的风险、警报和策略,提供360度统一视图。其定位是“DLP 缺失的大脑” 。
- GTM策略: 目标市场对传统DLP效果不满的企业,销售渠道重点发展渠道合作,聘请了曾在 Palo Alto Networks 和Netskope任职的Dave Rogers担任全球渠道主管,旨在加速与合作伙伴的合作,将合作伙伴定位为推动客户采用AI的战略顾问。
- 什么是实时DLP、和传统的DLP有什么区别?
| 特征 | 传统 DLP | 实时 DLP |
| 数据监控时间 | 主要在数据存储和数据传输结束时进行策略评估和执行。 | 在数据创建、编辑、访问、使用和传输的整个过程中,实时进行策略评估和执行。 |
| 策略执行时机 | 策略执行通常在用户尝试保存、发送或访问数据时发生。 | 策略执行是即时的,可以在用户操作的每一步进行干预。 |
| 用户体验影响 | 可能会在用户完成操作后才被阻止,导致用户体验中断。 | 可以在用户操作过程中提供即时反馈和指导,例如警告、阻止、加密或修改数据,从而更平滑地引导用户合规操作。 |
| 风险缓解及时性 | 发现和阻止数据泄露的时间可能较长,尤其是在数据已经部分泄露后才触发策略。 | 能够在数据泄露发生的第一时间进行阻止,大大降低数据泄露的风险和影响。 |
| 适用场景 | 适用于需要定期审计数据存储、监控出口流量等场景。 | 适用于需要主动预防数据泄露、控制数据使用行为、满足严格合规要求的场景,例如金融交易、医疗数据处理等。 |
| 部署位置 | 可以部署在端点、网络出口、数据中心等多个位置。 | 同样可以部署在多个位置,但更强调靠近数据和用户进行实时监控和干预。 |
| 技术要求 | 对实时处理能力的要求相对较低。 | 对高性能、低延迟的数据分析和策略执行能力要求更高。 |
| 复杂操作处理 | 处理复杂的用户交互和连续操作可能存在延迟或盲点。 | 能够更精细地控制复杂的用户操作,例如在编辑文档时实时检查敏感内容。 |
| 上下文感知 | 对操作的上下文感知可能不如实时 DLP 强。 | 能够更全面地考虑操作的上下文,例如用户角色、操作的应用、时间等,进行更智能的决策。 |
- 传统DLP更像是在数据流动的关键节点设置“检查站”,在数据“通过”时进行检查和控制。
- 实时DLP则像是在数据的整个生命周期中都部署了“安全卫士”,对用户的每一步操作都进行实时的监控和干预,能够更主动地预防数据泄露的发生,并提供更好的用户体验。
- Cyera (Omni DLP) 解决了什么问题?
Omni DLP统一了警报和策略,增强了上下文,并将误报率降低了95%
Cyera推出的Omni DLP产品是针对DLP长期以来存在的突出问题而进行的一项重要创新
误报率极高
传统DLP主要依赖于静态规则、正则表达式、关键词匹配等方式来识别敏感数据。这导致大量的误报,安全团队不得不花费大量时间去调查这些误报,造成“告警疲劳”和资源浪费。
缺乏数据上下文
传统DLP往往孤立地看待数据,不知道数据的敏感程度、重要性、所属者、以及当前被访问或使用的场景。这种缺乏上下文的判断,进一步加剧了误报和漏报。
无法有效处理现代数据形态和流向
传统DLP主要为本地网络和结构化数据设计,面对云端、SaaS 应用、非结构化数据、AI流量以及数据在不同环境间复杂流动的场景,传统DLP的可见性和控制能力大打折扣。
部署和运维复杂
传统DLP通常需要部署多个分散的策略执行点(网络 DLP、终端 DLP、邮件 DLP 等),策略配置复杂且容易冲突,不同工具之间缺乏联动,管理负担沉重。
对静态数据和动态数据缺乏统一视图
很多DLP工具擅长扫描静态存储的数据,但在数据正在被使用或传输过程中的防护能力不足。
- 看案例、识创新---Cyera Omni DLP基于AI感知邮件上下文语境、大大降低DLP误报率
暂时无法在飞书文档外展示此内容
- Cyera Omni DLP的核心创新点是什么?
- Omni DLP的创新点在于它通过整合AI能力和DSPM的数据上下文,从根本上重塑DLP的运作方式。
- 构建于Cyera的DSPM平台之上,并整合了收购Trail Security获得的实时DLP分析引擎。利用AI/ML进行数据分类、上下文理解和策略推荐。
暂时无法在飞书文档外展示此内容
- Cyera Omni DLP有构建哪些竞争壁垒?
暂时无法在飞书文档外展示此内容
Netskope DSPM Expansion(老牌厂商平台功能增强)
- Netskope通过几项新功能增强了其数据安全态势管理 (DSPM) 产品,包括可以实现LLM安全培训的功能。新的Support Safe Training功能可防止敏感或受监管的数据无意中被输入到LLM中,而其他更新包括改进对与AI相关的各种活动相关风险的评估。该公司表示,Netskope One平台上的其他DSP增强功能包括通过自动化策略检测和执行来改进AI治理,重点是根据来源、分类或使用环境确定哪些数据有资格被AI利用。
- Netskope 是什么样的公司?
- 核心市场和渠道: Netskope主要面向中大型企业客户,涵盖各种行业,尤其关注那些采用云应用和混合工作模式的企业。其销售渠道包括直销团队和全球合作伙伴网络。
- 核心服务模式: SASE平台,集成了CASB、SWG、ZTNA、FWaaS和SD-WAN等功能,提供全面的云安全和网络安全能力。
Netskope是一家成立于2012年的美国网络安全公司。它提供了一个安全访问服务边缘 (SASE) 平台,旨在保护企业用户、数据和应用程序,无论其位于何处。
Netskope DSPM Expansion解决了什么问题?
Netskope DSPM Expansion是Netskope对其数据安全能力的扩展,旨在解决企业在快速增长和日益复杂的云数据环境中面临的数据安全态势管理挑战:
- 数据可见性不足和碎片化: 在多云、SaaS、PaaS、IaaS 并存的环境中,数据存储位置多样且动态变化,传统工具(如依赖 Agent 或只扫描特定存储类型)难以全面发现所有数据存储(包括“影子数据”),形成“数据孤岛”。早期的 DSPM 可能仅限于特定云平台或存储类型。
- 敏感数据分类不准确或依赖人工: 传统方法依赖规则或人工标记,面对海量和多样化的数据(结构化、非结构化)时,分类效率低下且误报、漏报率高。
- 风险识别维度有限,缺乏上下文: 传统工具可能只关注数据的静态状态(如是否加密),或基础设施的配置错误,但难以关联数据的内容、访问者身份、访问行为、以及更广阔的安全态势来评估数据的真实风险。
- 与安全策略和控制脱节: 数据风险识别结果往往与实际的安全策略执行和控制(如DLP策略、访问控制)是分离的,未能形成有效的闭环防护。发现风险后,需要手动到其他安全工具中进行配置和补救。
- AI 时代的新挑战: 缺乏对用于AI模型训练、推理等数据流的可见性和控制能力,无法评估AI使用带来的数据安全风险。
- 看案例、识创新---Netskope DSPM Expansion SASE&DSPM深度集成
暂时无法在飞书文档外展示此内容
- Netskope DSPM Expansion的核心创新点是什么?
- 简单说,它不是一个独立的数据安全工具,而是将“知道谁在什么时间、用什么设备、通过哪个应用访问什么数据”的 SASE 能力,与“知道数据在哪里、有多敏感、配置是否安全”的 DSPM 能力融合在一起。
暂时无法在飞书文档外展示此内容
Netskope DSPM Expansion有构建哪些竞争壁垒?
暂时无法在飞书文档外展示此内容
数据安全创新公司的对比总结洞察
| 公司 | Cyera Omni DLP | Netskope DSPM Expansion |
| 核心技术 | 1)独立的AI原生DSPM引擎,专注于深度数据分类和态势感知; 2)通过收购整合实时DLP分析引擎,直接在数据移动、使用和存储时进行防护;核心在于对数据内容、属性和流向的深入理解。 | 1)SASE平台的扩展,DSPM深度集成CASB、SWG、ZTNA等组件;利用SASE平台已有的用户、设备、应用和网络上下文信息进行数据安全态势管理; 2)结合AI和机器学习技术进行数据发现、分类和风险评估。 |
| 主要解决问题 | 1)解决传统DLP长期存在的误报问题; 2)利用DSPM提供的丰富上下文(数据敏感性、位置、访问权限等)来显著降低DLP的误报率;更专注于数据本身的安全属性和使用上下文。 | 1)在企业已经部署或考虑部署 SASE 平台的前提下,提供集成的云数据安全态势管理能力;解决跨多云环境的数据可见性不足、策略分散、风险评估缺乏上下文等问题;将数据安全视为整体 SASE 安全战略的一部分。 |
| 主要解法 | 1)核心依赖其AI原生DSPM引擎对数据内容、元数据、访问权限、用户行为等进行深度分析和理解,构建丰富的数据上下文;强调数据的敏感性、位置、所有权、访问控制和使用模式。 | 1)主要依赖 Netskope SASE 平台提供的用户身份、设备信息、应用访问行为和网络流量数据;结合 AI 和机器学习对数据内容进行分析和分类,补充数据敏感度信息。 |
| 核心价值主张 | 通过其精确的数据上下文理解能力,实现低误报、高精度的实时 DLP;提供自适应的数据安全策略管理;帮助安全团队专注于真正的威胁,减少因误报造成的运营负担。 | 通过集成在全面的 SASE 平台中,提供统一的云安全和数据安全能力;利用 SASE 的用户和设备上下文增强数据安全策略的有效性;简化数据安全管理,降低多工具复杂性。 |
洞察启示:
- 云数据安全成为核心战场: 随着企业拥抱云计算,数据安全不再仅仅是传统的数据中心安全,云端数据的可见性、保护和合规性成为安全厂商竞争的关键领域。
- AI和机器学习是驱动数据安全创新的关键引擎: 两家公司都高度依赖AI和ML来实现更智能的数据发现、分类、风险评估和策略执行,表明AI正在成为下一代数据安全解决方案的核心技术,缺乏AI和DSPM集成的传统独立DLP解决方案将面临被淘汰或必须进行重大升级的压力。
- “上下文”是提升数据安全有效性的关键: 无论是Cyera将DLP与提供数据上下文信息的DSPM相结合强调的数据属性和使用上下文,还是 Netskope利用的SASE用户和行为上下文,都指向一个共同的趋势:孤立的数据安全策略已经不足以应对复杂威胁,必须结合更丰富的上下文信息才能实现精准防护和降低误报。
- 统一平台和集成是趋势: Netskope将DSPM集成到其SASE平台,Cyera也强调与现有安全工具的集成,这表明用户倾向于选择能够提供统一视图和简化管理的解决方案,避免工具碎片化。
- 主动防御和预防的重要性日益凸显: 两家公司都强调主动识别风险、自动化修复和预防数据泄露,这超越了传统的被动响应模式,预示着未来数据安全将更加注重事前防御。
身份结构安全(Identity Fabric Security)
Huntress ITDR Enhancements(初创公司产品功能增强)
- Huntress推出了其托管身份威胁检测和响应 (ITDR) 产品的增强版本,该产品具有更新功能,例如其新的“流氓应用程序”功能。该公司表示,该功能提供主动保护,防止对安装在Microsoft 365环境中的OAuth应用程序的威胁。
- Huntress的Managed ITDR中的其他新功能包括检测并关闭受损身份的“不需要的访问”,以及监控收件箱和电子邮件转发规则以检测恶意规则的“影子工作流”。
- Huntress是什么样的公司?
- 公司简介: 美国网络安全公司,成立于2015年,专注于为MSP及其所服务的SMB客户提供易于使用且高性价比的网络安全解决方案。
- 价值主张: Huntress通过其托管身份威胁检测和响应 (ITDR) 产品的增强版本,特别是其新的“流氓应用程序”功能,主动识别并防御针对Microsoft 365 环境中OAuth应用程序的威胁,解决了SMB客户在云身份安全方面日益增长的痛点,旨在填补传统安全工具在OAuth应用滥用检测和防护方面的空白。
- GTM策略: 目标市场主要为通过MSP服务SMB客户的企业,销售渠道重点发展MSP合作伙伴,通过MSP将其增强版ITDR产品推向市场,帮助MSP为其SMB客户提供更全面的云身份安全防护。
- 什么是OAuth、工作过程是怎么样的?
OAuth(全称Open Authorization)并不是一个具体的应用程序,而是一个开放标准的授权协议或框架。简单说OAuth是一种允许用户授权一个第三方应用程序访问他们在另一个服务上的数据或功能,而无需将自己的用户名和密码直接提供给这个第三方应用程序的方式。
- OAuth的工作流程场景举例:
- 你有资源 (你的数据/功能): 你的照片存储在 Google 相册,你的文档存储在 OneDrive,你的社交关系在微信或 Facebook 上。这些是受保护的资源,访问它们需要你的用户名和密码。
- 你想要用第三方应用来处理/利用这些资源: 比如你想用一个照片编辑软件来编辑 Google 相册里的照片,你想用一个网站通过微信账号登录,而不用重新注册。
- 传统方法 (不好): 如果没有 OAuth,第三方应用就需要你直接输入你在 Google、OneDrive、微信等服务上的用户名和密码。这样做非常不安全,因为第三方应用可能会存储或滥用你的敏感凭据。
- OAuth 方法 (更好): 使用OAuth时,流程是这样的:
- 你告诉第三方应用你想使用 Google 相册里的照片。
- 第三方应用把你重定向到 Google 的授权页面。
- Google 问你:“这个应用程序想要访问你的 Google 相册,允许吗?” 同时会明确列出第三方应用请求的权限范围(例如只读权限、写入权限、访问特定文件夹的权限等)。
- 你在 Google 的页面上登录(如果你还没登录),然后同意授权给这个第三方应用特定的权限。
- Google 返回给第三方应用一个访问令牌 (Access Token)。
- 第三方应用使用这个访问令牌去访问你的 Google 相册在授权范围内的资源,而它永远不会知道你的 Google 账号密码。
- Huntress ITDR Enhancements解决了什么问题?
- Huntress的核心产品是其托管安全平台,而增强版托管身份威胁检测和响应(ITDR)是该平台下的一个重要模块。这个平台旨在为MSP及其服务的SMB提供易于使用的身份威胁检测和响应能力,特别是针对云身份(如、Microsoft 365账户)相关的威胁。
他们解决的的主要问题,传统的身份安全和早期的ITDR方案在应对以下问题时存在不足
暂时无法在飞书文档外展示此内容
- 看案例、识创新---Huntress ITDR Enhancements自动化发现、风险评估和可视化管理可疑OAuth应用
暂时无法在飞书文档外展示此内容
- Huntress ITDR Enhancements的核心创新点是什么?
- 创新的“流氓应用程序”(Rogue Apps)功能:这项功能是Huntress增强其ITDR产品的一项关键创新。
暂时无法在飞书文档外展示此内容
- Huntress ITDR Enhancements有构建哪些竞争壁垒?
暂时无法在飞书文档外展示此内容
身份安全创业公司的对比总结和洞察
- 身份安全公司Silverfort在会上宣布,它已经扩展了其非人类身份(NHI)安全产品的功能,纳入了基于云的身份。这包括云身份提供商、云基础设施和SaaS中的NHI,并利用Silverfort在11月收购的Rezonate技术。该扩展提供"人类身份和NHI的统一覆盖"以及"完整"发现和分类NHI的功能。
- 1Password推出了其扩展访问管理功能的扩展,包括推出1Password Access Governance,以获得"对SaaS应用的完全可见性和控制"。其他新功能包括扩展设备合规性、对业务应用程序的"一键访问"——包括托管和非托管应用——以及新的统一管理中心。
- Rubrik在大会前夕推出了其最新产品Identity Resilience,希望进军身份安全领域,以补充其核心数据安全产品。该公司表示,Identity Resilience提供针对人类和非人类身份(NHI)攻击的防御。关键功能包括对Microsoft的Active Directory和Entra ID系统的混合保护,以及对人类身份和NHI的"全面"风险分析,以及跨身份和数据的全面上下文。
| 维度 | Silverfort Non-Human Identity Expansion (初创公司平台扩展 (含收购)) | 1Password Extended Access Management Expansion (老牌厂商平台化转型 (含收购)) | Rubrik Identity Resilience (老牌厂商新产品领域) |
| 解决的问题 | 1.非人类身份(NHI)的盲区和安全漏洞: 传统身份安全解决方案难以有效发现、管理和保护日益增长的非人类身份(如服务账号、API密钥、自动化脚本等)。 2. 混合云和多云环境中身份的割裂: 跨本地和云环境的非人类身份缺乏统一的可见性和管理。 3. 横向移动和特权滥用: 攻击者利用受损的非人类身份进行横向移动和特权升级,难以被及时发现和阻止。 | 1.密码风险和凭证管理复杂性: 密码仍是企业安全的薄弱环节,存在弱密码、重复使用、明文存储等风险。 2. AI Agent 的身份安全和治理: 随着AI代理的兴起,如何以与人类身份相同的严谨性来管理和保护AI代理的凭证和访问成为新挑战。 3. 影子IT和未管理应用的风险: 企业内部存在大量未被安全团队发现和管理的应用程序和设备,形成安全漏洞。 | 1.身份(包括人类和非人类)作为主要攻击入口: 攻击者经常通过攻陷身份来进入企业网络。 2. 身份基础设施的脆弱性: 认证基础设施(如Active Directory)是许多企业的关键组成部分,但容易受到攻击。 3. 缺乏对身份变化的持续可见性: 难以及时发现和响应身份权限、配置的异常变化。 4. 身份与数据安全割裂: 缺乏统一的视角来理解身份对敏感数据的访问权限和风险。 |
| 主要解法 | 1.统一的非人类身份发现与分类: 全面发现并分类本地和云环境中的非人类身份(包括AD服务账号、云身份提供商、云基础设施和SaaS应用中的NHI)。 2. 特权映射与风险评估: 映射NHI的有效特权,识别冗余或过高的权限,并评估风险。 3. 行为分析与策略执行: 利用行为洞察自动生成策略,一旦NHI偏离正常活动,即阻止未经授权的访问。 4. 运行时访问保护(RAP): 通过专利技术与现有IAM基础设施原生集成,为以前无法保护的资源(如NHI、遗留系统)提供主动保护和实时强制执行。 | 1.强化凭证管理和无密码化过渡: 发现组织内使用的所有登录凭证,识别高风险凭证,并引导用户替换为更强的凭证(如MFA、Passkey),加速向无密码验证的转变。 2. Agentic AI 安全: 提供专门的SDK和管理服务账号,使AI代理能够安全地读写、共享和轮换秘密,同时确保其身份被信任、跟踪和治理。 3. 扩展设备信任与应用治理: 确保只有受信任和合规的设备才能访问企业资源;发现并管理影子IT和所有SaaS应用,确保合规性并自动化访问审查。 | 1.身份和数据统一保护: 提供一个统一平台来保护整个身份和数据安全。 2. 时间序列数据分析: 利用时间序列数据对身份变化进行持续可见性,实现早期可疑活动检测。 3. 混合环境身份全面覆盖: 支持本地Active Directory和Azure AD等混合环境的身份保护。 4. 全面的风险分析与修复: 对人类和非人类身份进行统一风险分析,识别休眠/孤立账户、特权升级风险和问题组合,并能有针对性地撤销身份或数据访问权限。 |
| 主要创新 | 1.运行时访问保护 (RAP) 专利技术: 无需代理或修改应用程序,即可在运行时提供对所有身份(包括NHI)和资源的端到端保护。 2. 云端NHI覆盖扩展: 将对NHI的保护从本地扩展到云身份提供商、云基础设施和SaaS应用,实现混合环境下的统一安全。 3. 基于行为的自动化策略生成和执行: 通过AI/ML分析NHI行为模式,自动生成并强制执行策略以阻止异常活动和横向移动。 4. 对服务账户的“虚拟围栏”: 实时限制Active Directory服务账户的用途,使其无法用于预期目的之外的横向移动。 | 1.Agentic AI 安全能力的引入: 业界领先地将AI代理的身份管理和访问控制纳入XAM平台,提供SDK和Service Accounts进行编程管理。 2. Extended Access Management (XAM) 新安全范畴: 将密码管理器、设备信任和SaaS应用治理整合到一个平台,解决跨身份、设备和应用的安全缺口。 3. 统一管理控制台 (XAM Console): 提供单一管理枢纽,整合用户生命周期管理、洞察分析、策略强制执行等功能。 | 1.身份与数据安全的融合: 将传统的“数据保护”与新兴的“身份安全”相结合,提供更全面的网络弹性。 2. 基于时间序列数据的身份可见性: 区别于传统快照,提供身份变化历史视图,帮助早期发现威胁。 3. 自动化和编排的混合身份环境恢复: 针对Active Directory和Entra ID提供自动化恢复工作流,大幅减少恢复时间和复杂性。 4. 攻击面收缩和零特权强制: 通过识别和纠正高风险身份访问权限,主动缩小攻击面。 |
| 核心价值 | 1.消除非人类身份安全盲区: 提供对所有NHI的全面可见性和控制,显著降低身份相关的攻击面。 2. 防止横向移动和凭证滥用: 实时检测和阻止利用NHI进行的恶意活动。 3. 简化身份安全管理: 将本地和云环境的身份安全统一管理,减少操作复杂性。 4. 提高合规性: 更好地发现、管理和保护NHI,满足日益严格的合规要求。 | 1.降低凭证泄露风险: 消除密码风险,加速无密码化进程,提高整体身份验证的安全性。 2. 安全赋能AI代理: 确保AI代理能够安全地访问所需资源,同时保持透明和可控,促进AI技术在企业中的安全应用。 3. 管理影子IT并提升SaaS应用治理: 发现并控制未经授权的应用程序,减少安全漏洞和成本浪费。 4. 提升用户体验和IT效率: 通过统一平台简化登录和管理,减轻IT和安全团队的负担。 | 1.增强网络弹性: 通过保护最常被攻击的身份入口,帮助组织更快地从网络攻击中恢复,最大限度地减少停机时间。 2. 主动降低身份风险: 识别并纠正高风险身份配置和访问权限,缩小攻击面。 3. 统一安全视图: 提供对人类和非人类身份及其数据访问权限的统一视图,消除安全盲区。 4. 简化复杂恢复流程: 针对关键身份基础设施(如AD)提供自动化恢复,提高恢复效率和成功率。 |
| 技术壁垒 | 1.跨异构环境的深度集成: 与各种本地和云身份提供商、应用程序、基础设施的无代理深度集成,需要强大的兼容性和扩展性。 2. 大规模行为分析的准确性: 准确识别非人类身份的“正常”行为模式并区分异常活动,避免误报和漏报。 3. 对运行时流量的透明拦截和策略执行: 在不影响业务运行的情况下,实时拦截和执行访问策略,对性能和稳定性有极高要求。 4. 非人类身份的复杂性和多样性: NHI种类繁多,缺乏标准化,管理和保护难度大。 | 1.与各种企业应用和服务的广泛集成: 确保能够发现、管理和保护跨不同应用和服务的凭证和访问。 2. AI代理身份管理的复杂性: AI代理的自主性和动态性给身份生命周期管理、权限控制和审计带来了新的挑战。 3. 影子IT发现的全面性: 准确识别和分类所有企业内部使用的应用程序(包括未管理的SaaS应用)需要持续的技术投入。 4. 无密码技术在企业环境中的推广和兼容性: 推动企业采用Passkey等无密码技术,需要解决兼容性、用户接受度和现有基础设施的改造问题。 | 1.身份和数据关联的复杂性: 构建一个能够将身份与其访问的敏感数据关联起来的统一视图,需要深度的数据分析和集成能力。 2. 时间序列数据处理和存储: 对大规模、高频率的身份变化数据进行捕获、存储和分析,对数据处理能力和存储效率要求高。 3. 复杂混合环境的恢复协调: 在受到攻击后,安全、快速地恢复复杂的混合身份环境(如跨域AD林和Entra ID租户)需要高度自动化的编排能力。 4. 与现有安全工具生态系统的集成: 与SIEM、SOAR、IAM等现有安全工具的无缝集成,以提供全面的安全解决方案。 |
洞察启示:
- 身份成为新的安全边界,传统网络边界日益模糊,攻击者越来越多地通过窃取和滥用身份(无论是人类还是非人类)来突破防线,实现横向移动和数据窃取。身份安全已不再是独立环节,而是整个安全防御体系的核心。“身份安全”正从一个单一的安全功能跃升为与网络安全、云安全并列的战略高地。
- 非人类身份 (NHI) 成为攻击新热点与安全盲区,随着云原生、自动化、API 经济的兴起,Serverless 函数、容器、服务账号、API密钥等非人类身份数量呈爆炸式增长。这些NHI往往可见性极差、权限过度且缺乏有效管理,成为攻击者绕过MFA、实现隐蔽持久化的绝佳跳板。 对NHI的发现、管理、风险评估和威胁检测响应将成为未来身份安全的关键战场。
- 身份威胁检测与响应 (ITDR) 走向全面化、情境化,传统的身份和访问管理 (IAM) 关注身份的生命周期和访问控制,但缺乏对身份滥用和攻击行为的实时检测和响应能力。无论是Huntress解决OAuth应用滥用,还是Silverfort覆盖本地/云端NHI,都表明ITDR正在从关注异常登录向覆盖更广阔的身份攻击面(如凭据滥用、会话劫持、非人类身份滥用、横向移动)演进。
现代化SOC平台 (Modern SOC Platforms)
Axonius Exposures(初创公司新产品模块)
- 网络资产管理供应商Axonius宣布首次推出其新的Exposures产品,旨在将安全检测结果与资产智能以及业务环境统一起来。
- Exposures的主要功能包括风险分析和自动化以及补救。这种结合的最终结果使Exposures能够“消除风险孤岛,使团队能够精确和自动化地确定漏洞的优先级、修复和跟踪漏洞”。
- Axonius是什么样的公司?
- 公司简介:美国网络安全公司,成立于2017年,专注于网络安全资产管理 (Cybersecurity Asset Management) 和网络资产攻击面管理 (CAASM),旨在帮助企业全面、准确了解其所有的IT和安全资产。
- 价值主张:Axonius首次推出的Exposures产品,通过统一安全检测结果、资产智能和业务环境,打破了传统漏洞管理中信息孤岛的局面,旨在实现漏洞风险的精确识别、自动化优先级排序和补救,使安全团队能够更有效地管理和降低其攻击面。其核心价值在于帮助企业全面、准确地了解其所有的 IT 和安全资产。
- 产品定位:提供统一的暴露面管理平台,核心在整合来自各种安全和IT工具的数据,结合资产上下文和业务环境进行智能风险分析和自动化补救,定位是帮助企业“消除风险孤岛”并实现精确化、自动化的漏洞管理。
- GTM策略:目标市场为面临海量漏洞信息和难以有效确定优先级的企业,销售渠道可能包括直销和合作伙伴,强调 Exposures 产品能够帮助安全团队更高效地管理风险,提升整体安全态势。
- Axonius Exposures解决了什么问题?
- Axonius推出 Exposures,是基于对当前企业在漏洞管理和攻击面管理方面面临的突出挑战和未被满足需求的深刻洞察:
- 现代企业的 IT 环境极其复杂且动态变化,资产分散在本地、各种云环境、SaaS 应用、容器、移动设备、IoT 设备等。
- 各种安全工具(如 EDR、防火墙、漏洞扫描器、IAM 系统)和 IT 管理工具(如 CMDB、MDM)各自维护一部分资产信息,但这些信息往往不完整、不一致且相互割裂,形成资产可见性盲点和“数据孤岛”。
- 安全团队因此难以知道到底有多少资产、它们在哪里、由谁负责、安装了哪些软件、存在什么漏洞、是否受到安全工具的保护,这极大地增加了安全风险和管理难度。
- 看案例、识创新---Axonius Exposures持续更新的资产清单、情景化分析漏洞并智能排序
暂时无法在飞书文档外展示此内容
- Axonius Exposures的核心创新点是什么?
- Exposures的创新点在于其将安全检测结果、资产智能和业务上下文进行了深度统一和关联。
| 特征 | Axonius Exposures | 传统漏洞管理方法 |
| 数据整合 | 统一安全发现与资产关联: 自动从各种安全和 IT 工具拉取漏洞、错误配置、安全告警等,并与全面、准确的资产清单自动关联,打破安全工具和资产管理之间的信息孤岛。 | 主要关注单一漏洞扫描器的输出结果,难以整合来自其他安全工具的发现,且依赖可能不准确或不完整的资产信息。 |
| 风险分析 | 融入业务上下文: 在评估漏洞风险时,不仅考虑技术严重性,还会自动拉入资产的业务重要性、暴露程度(互联网暴露、高权限访问、横向移动路径)等上下文信息,从“漏洞清单”转向“风险画像”。 | 主要基于漏洞的技术严重性评分 (如 CVSS) 进行优先级排序,缺乏对资产的业务价值和实际暴露风险的深入理解,可能导致优先级判断失真。 |
| 补救流程 | 自动化补救与跟踪: 与企业现有 IT 和安全工具双向集成,基于识别出的高风险暴露,自动化地触发补救流程(创建工单、通知负责人、启动补丁管理等),并跟踪补救进展。 | 发现漏洞后,补救流程通常脱节且依赖大量手动操作,例如手动创建工单、人工通知相关团队,缺乏自动化和集中的跟踪机制。 |
| 核心理念 | 暴露管理与风险驱动: 从传统的“漏洞管理”转向更全面的“暴露管理”,关注任何可能被攻击者利用的弱点,并基于实际业务风险进行优先级排序和响应。 | 主要聚焦于技术漏洞本身的管理,强调对漏洞的发现和修复,缺乏对更广泛的“暴露”和业务风险的整体考量。 |
| 信息孤岛 | 消除风险孤岛: 通过统一的安全发现与资产关联,打破了安全工具之间的信息壁垒,为安全团队提供更全面的风险视图。 | 信息孤岛普遍存在: 漏洞信息、资产信息、威胁情报等数据分散在不同的工具和平台中,缺乏有效的整合和关联,导致安全团队难以获取全局性的风险洞察。 |
| 噪音降低 | 通过融入业务上下文进行更精确的风险分析,能够更准确地识别出对业务真正重要的、最可能被攻击者利用的高风险暴露,从而大幅减少低价值告警噪音。 | 产生大量的、未经优先级排序的漏洞告警,安全团队难以区分轻重缓急,容易被大量低价值告警淹没,导致真正重要的风险被忽略。 |
- Axonius Exposures有构建哪些竞争壁垒?
暂时无法在飞书文档外展示此内容
其他现代化SOC平台创新产品的对比总结和洞察
| 产品名称 | 解决的问题 | 主要解法 | 主要创新 | 核心价值 | 技术壁垒 |
| Palo Alto Networks Cortex XSIAM 3.0 | SOC运营效率低下、告警疲劳、传统SIEM局限性、事件响应速度慢、安全运营中缺乏主动性以应对由GenAI驱动的快速攻击和日益增长的攻击面。 | AI驱动的统一SecOps平台,通过原生集成和超过1000个第三方连接器整合全企业数据; 利用超过2400个机器学习模型和LLM进行高级威胁检测、告警智能关联和自动化事件响应(内置1000+剧本); 统一主动暴露面管理和被动事件响应,提供单一的云与SOC指挥中心界面。 | 统一主动与被动安全: 首次在单一平台整合主动暴露面管理与被动事件响应。 Cortex Exposure Management: AI驱动的漏洞优先级排序,减少高达99%的漏洞噪音。 Advanced Email Security: LLM驱动的分析,对抗GenAI驱动的高级钓鱼攻击。 Cloud & SOC Command Center: 统一企业和云环境的可见性与操作。 极高的自动化水平: 平均威胁停留时间(MTTR)缩减98%。 | 大幅提升SOC效率和响应速度(MTTR缩减98%,手动工作减少75%),显著降低告警噪音(高达99%),统一并简化安全运营,通过整合主动防御(如漏洞管理和攻击面管理)与快速响应能力,实现主动防御并降低整体风险。 | 先进且大规模的AI/ML模型(包括LLM)及海量安全数据训练; 高度集成和自动化的平台架构,融合XDR、SOAR、ASM、UEBA、TI等多种能力; 广泛的数据摄取能力、开箱即用的连接器及playbook; 领先的统一主动+被动安全运营理念及实现。 |
| Blackpoint Cyber CompassOne | 安全工具碎片化、仪表盘分散导致管理复杂; 安全成熟度难以衡量和提升; MSP及其客户面临的复杂安全运营挑战; 响应速度慢,缺乏统一的攻击面可见性和上下文关联。 | 统一的安全态势与响应平台,在一个界面中整合主动安全加固(如资产清单、漏洞管理、应用控制、云安全态势管理 Microsoft 365、LogIC日志与合规性)与实时检测响应(24/7 MDR服务)。专为MSP设计,也适用于内部IT团队。 | 高度统一平台: 将多种核心安全功能整合到单一平台,显著减少工具蔓延。 Security Posture Rating: 提供可量化的安全态势评级,帮助MSP及其客户衡量和证明安全价值与改进。 Cloud Posture Management: 专注于Microsoft 365等云环境的安全配置持续监控与修复。 MSP中心化管理: 为MSP提供统一的客户管理和攻击面可见性。 | 为MSP及其客户简化网络安全管理,降低运营成本和复杂性; 通过统一视图和自动化能力,提高安全成熟度和响应效率; 提供完整的攻击面可见性和上下文关联,实现从预防、检测、响应到恢复的安全闭环。 | 深度整合的统一平台架构,特别针对MSP的需求和工作流进行了优化; 紧密结合自研安全技术和经验丰富的24/7 MDR服务运营能力; 独特的安全态势评级系统和强大的上下文感知分析能力。 |
| Rapid7 MDR for Enterprise | 大型企业环境的复杂性(如混合云、遗留系统、大量自研应用和非标准系统)导致的可见性不足; 标准MDR服务无法满足的深度定制化需求; 企业内部安全团队资源有限,难以应对高级威胁的快速检测与响应。 | 高度定制化的全面管理检测与响应(MDR)服务,扩展监控至非标准系统和自定义日志源; 与客户安全团队深度协作,共同制定事件响应协议并进行持续的检测规则调优; 提供量身定制的检测工程和威胁监控。 | 深度定制化能力: 允许客户引入自定义日志源,为非标准系统和自研应用构建专门的集成方案和检测逻辑。 真正的运营伙伴关系:不仅仅是告警转发,而是作为客户团队的战略延伸,进行流程紧密集成、协同调查和共同响应。 Tailored Detection Engineering:由检测工程师根据客户的实际环境和风险画像,而非通用模型,来设计和优化检测规则。 | 为具有复杂IT环境的大型企业提供深度定制的、覆盖广泛的威胁检测与响应能力,有效弥补标准MDR服务在可见性和灵活性上的不足; 作为客户安全团队的战略性延伸,确保安全运营与客户业务优先级高度一致,显著提升整体安全韧性和响应效率。 | 强大的数据摄取和集成能力,能够灵活支持各类非标准系统和自定义数据源; 拥有经验丰富的检测工程师和SOC分析师团队,能够进行深度定制化服务和高效的协同作战; 成熟的全球MDR服务运营体系和领先的威胁情报网络。 |
| Semperis Ready1 | 网络危机事件中普遍存在的协调混乱、沟通不畅、响应工具碎片化(企业平均使用20+不同工具); 应急预案过时或难以有效执行; 缺乏统一的指挥、控制和实时态势感知,尤其在核心IT基础设施可能已受损或不可用的极端情况下。 | 企业级网络韧性与危机管理平台,专为网络危机事件的结构化、快速、协同响应而设计。 提供统一的安全指挥中心,整合危机准备、团队协作、多渠道通信、文档化流程、任务跟踪和自动化剧本功能,确保在危机中(即使其他系统故障时)也能保持高效指挥和响应能力。 | 首创的危机管理专用平台: 首次将结构、速度和协调性系统地引入网络危机管理全过程。 危机场景下的独立运作: 整合危机管理、事件响应、停机计划和通信工具于一身,可在主IT系统瘫痪时独立运作。 全面的准备与响应能力: 提供实时仪表盘、自动化剧本、基于角色的团队构建、桌面推演和事后审查功能,支持持续的危机准备度测试与提升。 流程化与合规性: 专注于协调和记录事件响应全过程,并与NIST等行业框架对齐。 | 在网络危机中建立秩序,显著提升事件响应的协调性、速度和效率;通过结构化管理和自动化能力,减少业务停机时间、数据泄露风险、潜在财务损失和监管罚款;增强企业整体的网络韧性和应对极端网络事件的能力。 | 独特的、专为网络危机响应设计的统一平台架构,特别强调在恶劣条件下的高可用性和独立运作能力; 深度融合了Semperis在身份安全(尤其是Active Directory)和复杂事件响应方面的丰富经验与专业知识; 提供全面的危机管理生命周期支持,从常态化的准备、演练到危机中的响应指挥,再到事后的复盘分析。 |
洞察启示:
- 从“被动响应”到“主动防御与持续暴露面管理”的战略转移日益明确,网络安全策略正在从事件发生后的被动响应,转向在攻击发生前主动识别、评估和修复潜在风险点。对于安全厂商而言,这意味着需要提供或集成强大的暴露面管理能力。
- AI与自动化的深度融合成为提升安全运营效率和效果的核心引擎,面对日益复杂和快速的攻击手段以及海量的安全数据,人工分析已不堪重负。
- 平台化整合与生态系统构建是应对工具碎片化和数据孤岛的必然趋势,能够整合不同安全能力、打通数据孤岛、提供统一管理界面的平台型解决方案将更受青睐。
- “资产上下文”成为精准安全决策与风险量化的基石,脱离资产及其业务重要性的安全告警和漏洞信息往往价值有限。理解“什么资产受到了影响”、“这个资产的重要性如何”、“它存在哪些安全配置或控制缺陷”等问题,是进行有效风险评估、优先级排序和精准响应的前提。
- 网络韧性与业务连续性成为超越传统安全防护的新焦点 ,安全的目标不再仅仅是防止入侵,更重要的是确保业务在遭受攻击时能够快速恢复,将损失降到最低。这种向“网络韧性”的转变,要求安全解决方案不仅具备防御和检测能力,还需要具备强大的响应、恢复和危机管理能力。
应用安全与云原生安全 (AppSec & Cloud Native Security)
应用安全与云原生安全创新产品对比总结和洞察
| 产品名称 | 解决的问题 | 主要解法 | 主要创新 | 核心价值 | 技术壁垒 |
| Orca Security Reachability Analysis | 云环境中的漏洞数量庞大,安全团队难以确定哪些漏洞真正构成可被利用的风险,导致告警疲劳和修复优先级混乱; 缺乏对攻击者如何实际访问和利用生产环境中易受攻击组件的清晰洞察。 | 通过其专利的SideScanning™技术,无代理地分析云工作负载的快照; 结合控制流图分析,判断已安装软件包是否在运行时被引用或可执行; 并结合网络可达性,确定潜在的攻击路径。 提供静态和动态(通过可选的eBPF传感器)可达性分析。 | 无代理可达性分析:专利的SideScanning™技术无需在工作负载上安装代理即可分析其内部状态和潜在可执行路径。 动态可达性验证: 可选的轻量级eBPF传感器可以验证运行时实际执行的包,进一步提高准确性。 攻击路径可视化: 展示攻击者可能利用的路径和证据。 大幅减少需处理的漏洞数量: 通过关注实际可达风险,号称可减少高达90%的需修复漏洞。 | 精准的风险优先级排序,使安全团队能专注于真正关键、可被利用的漏洞,显著减少告警疲劳和无效工作; 提高修复效率,降低实际安全风险; 无需代理,对生产环境性能影响降至最低。 | 专利的SideScanning™技术,能够深度分析云工作负载的内部结构而无需部署代理; 先进的控制流图分析和可达性算法; 整合静态与动态分析能力以提供更全面的风险视图。 |
| Apiiro Software Graph Visualization | 缺乏对复杂软件架构、组件间依赖关系、API交互以及风险如何在代码到运行时环境中传播的实时可见性; 难以理解代码层面的安全漏洞或配置错误对业务的实际影响; 安全审查和威胁建模耗时且依赖人工。 | 通过深度代码分析(DCA)和运行时上下文,自动生成一个实时的、交互式的软件图谱(Software Graph)。 该图谱可视化所有软件组件、API、依赖项、数据流、漏洞、错误配置、敏感数据暴露和代码变更,帮助理解其相互关系和风险传播路径。 | 软件图谱可视化: 将复杂的软件生态系统(从代码到运行时)以交互式图形方式呈现。 上下文风险分析: 将安全发现(如漏洞、Secrets)与业务上下文、数据敏感性和可利用性关联,实现风险的智能排序。 动态与持续更新: 随着代码和架构的变更,图谱自动实时更新。 问题驱动的洞察: 图谱设计旨在回答具体的安全架构和风险问题,而非简单的数据罗列。 | 大幅提升对软件架构和潜在风险点的理解速度和深度; 帮助安全团队和开发团队更有效地沟通和协作; 加速安全审查、威胁建模和渗透测试范围的确定; 通过关联业务影响来精准定位和修复高优先级风险,减少安全债务。 | 专有的深度代码分析(DCA)技术,能够理解代码逻辑和依赖关系; 构建和维护大规模、动态软件图谱的能力; 基于AI的风险关联和优先级排序算法; 将安全洞察无缝集成到SDLC各阶段的工作流。 |
| Snyk API & Web | API和Web应用中存在的各类安全漏洞(如OWASP Top 10)对业务构成威胁; 传统DAST工具对现代应用(尤其是大量使用API和AI驱动的应用)的支持不足,且难以融入快速的DevOps流程; 开发人员缺乏易用且能提供清晰修复建议的安全工具。 | 提供一个开发者优先的动态应用安全测试(DAST)解决方案,用于发现、盘点和测试Web应用及API的安全性。 能够自动扫描并发现漏洞,提供可操作的修复建议,并与CI/CD管道和开发工具(IDE、代码仓库)集成,将安全左移。 特别关注AI驱动应用中API的安全性。 | 新一代DAST引擎: 专为现代Web应用和API设计,特别是AI驱动的应用场景。 开发者友好: 强调易用性,提供清晰的漏洞信息和修复指导,旨在不拖慢开发速度。 全面的API安全覆盖: 包括API发现、清单管理和针对性的安全测试。 统一平台集成: 作为Snyk开发者安全平台的一部分,可与SAST、SCA等能力结合,提供统一的风险视图。 | 赋能开发团队在开发早期主动发现并修复API和Web应用中的漏洞,减少安全问题进入生产环境的风险; 通过自动化和集成提升DevSecOps效率; 帮助保护关键的API接口,特别是那些暴露AI模型或敏感数据的接口,降低软件供应链风险。 | 强大的DAST扫描引擎,能够适应现代复杂应用架构; 行业领先的漏洞数据库和安全情报; 深度集成到开发者工具链和CI/CD流程的能力; 以开发者为中心的设计理念和用户体验。 |
| Illumio Insights | 在复杂的多云和混合云环境中,难以清晰了解工作负载之间的实际通信模式(尤其是东西向流量); 传统网络分段工具难以适应动态的应用环境,导致安全策略配置复杂且易出错; 发生安全事件时,难以快速定位横向移动路径和控制威胁扩散。 | 作为Illumio Zero Trust Segmentation平台的一部分,Illumio Insights是一个基于AI安全图谱的云检测与响应(CDR)解决方案。 它提供对工作负载、设备和应用程序之间通信行为的深度可见性和可观察性,可视化潜在的攻击路径和横向移动风险。 它能检测活动攻击并允许一键隔离受感染的工作负载。 | AI驱动的安全图谱: 利用AI分析构建交互式的可视化图谱,展示工作负载间的依赖关系和通信行为。 超越传统可见性: 从“发生了什么”(可见性)到“为什么发生”(可观察性),理解行为、发现异常并评估风险。 实时风险识别与响应: 实时识别危险流量、异常行为和潜在攻击路径,并能快速执行遏制措施(如隔离工作负载)。 支持零信任架构: 为构建和验证零信任安全策略提供基础。 | 帮助企业清晰理解其复杂环境中的应用依赖和通信模式,从而能够更有效地规划和实施微隔离/零信任策略; 实时检测并可视化高风险连接和潜在的横向移动路径,增强对内部威胁的防御能力; 在发生安全事件时,能够快速定位并遏制威胁,减少攻击影响范围,提升网络韧性。 | 先进的AI和图数据库技术,用于实时分析和可视化大规模网络流量数据; 深度理解应用行为和依赖关系的能力; 与Illumio强大的微分段策略执行引擎紧密集成; 能够跨混合云和多云环境提供统一的可观察性和控制力。 |
洞察启示:
- 安全左移(在软件开发生命周期中,尽可能早地(即向“左”移动)集成安全考虑和安全实践)深化,从代码到云的全链路风险可视与管控成为焦点。Apiiro通过软件图谱,Snyk强调“开发者优先”,现代应用安全不再局限于生产环境的防护,而是强调将安全能力和风险意识“左移”到软件开发生命周期(SDLC)的早期阶段。厂商需要提供能够覆盖此全链路,并为不同阶段(尤其是开发阶段)提供上下文感知和可操作洞察的解决方案。
- 云原生环境下的“实际可利用性”成为风险评估与优先级排序的核心标准。Orca Security的核心创新在于其“可达性分析”,Illumio Insights通过可视化应用间的实际通信路径和依赖关系,在复杂且动态的云环境中,单纯的漏洞扫描和配置检查会产生大量告警,导致“告警疲劳”。安全团队更需要知道哪些漏洞或配置问题在当前的部署环境和网络拓扑下是真正“可被利用”的。
- API安全成为独立且快速增长的关键防护领域。Snyk 将API安全作为其Web应用安全解决方案的重要组成部分,Apiiro 在其软件图谱中也强调对API的识别、依赖关系分析。 随着API成为现代应用架构的核心以及数据交换的主要方式,API本身也成为了一个主要的攻击向量。
- 以可视化和图技术赋能复杂关系洞察与安全决策。Apiiro 的核心是其“软件图谱”,Illumio Insights 利用“AI安全图谱”可视化工作负载间通信,Orca Security也能以路径图的方式展示可利用漏洞的攻击链现代IT环境的复杂性远超人力直接理解的范畴,利用图技术和可视化手段,将抽象的安全数据、资产关系、攻击路径、风险依赖等转化为直观易懂的图形,能够极大地帮助安全分析师和开发人员快速理解问题、定位风险、做出更明智的决策。
- 无代理和开发者友好的集成方式是提升安全工具采纳率和有效性的关键,Orca Security SideScanning™技术对云工作负载的无代理深度扫描,在追求敏捷和效率的云原生和DevOps时代,提供无代理、API优先、易于集成、对开发者友好的解决方案,是安全产品能否成功落地并发挥实际效能的重要因素。
AI驱动的安全运营 (AI-Driven SecOps)
AI驱动的安全运营创新产品的对比总结和洞察
| 创新厂家产品 | 解决的问题 | 主要解法 | 主要创新 | 核心价值 | 技术壁垒 |
| SentinelOne Purple AI Athena | 安全运营效率低下、威胁检测和响应速度慢、安全分析师技能短缺 | 利用生成式AI和大语言模型 (LLM) 赋能安全分析师,自动化威胁搜寻、调查和响应流程。 | 将AI深度集成到安全运营工作流中,提供自然语言查询、自动生成报告和建议、简化复杂告警分析。 | 提高安全运营效率,加速威胁响应时间,降低对高级安全分析师的依赖,提升整体安全态势。 | 专有的AI模型训练数据和算法,深度集成的安全平台,以及持续学习和进化的AI能力。 |
| Akamai Firewall for AI | 保护AI模型和应用免受针对性攻击,确保AI系统的安全性和可靠性。 | 针对AI流量的深度包检测、异常行为分析、模型输入输出验证、API安全防护。 | 理解AI特有的攻击向量(如模型窃取、数据投毒、对抗性攻击),并为此定制防火墙规则和防护策略。 | 保障AI应用和数据的机密性、完整性和可用性,防止AI系统被滥用或破坏。 | 对AI攻击模式的深入理解和快速响应能力,大规模流量处理和分析能力,以及与AI开发和部署流程的集成。 |
| Proofpoint Prime Threat Protection | 日益复杂和有针对性的邮件威胁(如BEC、钓鱼邮件、勒索软件)对企业造成严重损失。 | 集成AI/ML的多层检测技术,包括静态和动态分析、行为分析、威胁情报,并结合人工专家分析。 | 在邮件传递前、中、后各个阶段进行威胁检测和阻断;持续学习和适应新型威胁;提供细粒度的威胁可视化和溯源。 | 有效拦截已知和未知邮件威胁,保护企业免受经济损失和声誉损害,提升员工安全意识。 | 庞大的全球威胁情报网络,持续更新和优化的AI/ML检测模型,以及在邮件安全领域多年的技术积累和经验。 |
| CrowdStrike Agentic AI Tools (概念性) | 安全团队在海量数据和复杂攻击面前不堪重负,需要更智能、自主的威胁应对能力。 | 赋予AI代理自主进行威胁搜寻、调查、研判和执行响应动作的能力,辅助或替代部分人工操作。 | AI代理具备学习、推理和决策能力,可以根据预设策略和实时情报自主行动,并与安全分析师协作。 | 极大提升安全运营的自动化水平和响应速度,释放人力专注于更高级别的威胁分析和策略制定。 | 强大且经过验证的端点检测与响应 (EDR) 数据基础,先进的AI算法和模型,以及构建可信和可控AI代理的能力。 |
| Endor Labs: Agentic AI for AppSec | 在软件开发生命周期 (SDLC) 中,依赖项管理和开源软件漏洞带来的安全风险难以有效控制,开发和安全团队之间存在协作鸿沟。 | 利用AI代理自动发现、分析和修复应用程序中的依赖项漏洞和安全问题,将安全左移并融入DevOps流程。 | AI代理能够理解代码上下文,识别传递性依赖风险,提供精准的修复建议,并与开发工具链集成。 | 提高应用程序安全性,加速漏洞修复,降低开源软件风险,促进DevSecOps实践。 | 对软件成分和依赖关系的深度理解,AI在代码分析和漏洞修复方面的应用能力,以及与主流开发工具和平台的无缝集成。 |
洞察启示:
- 这些Agentic AI平台的出现,标志着SecOps领域从被动式AI辅助向主动式、具备一定自主能力的AI系统转变。
- SentinelOne和CrowdStrike的产品描述都强调了其AI能够模拟人类分析师的推理过程,并执行自主调查与响应,这与遵循静态规则的传统自动化或仅限于内容生成/总结的简单生成式AI形成了鲜明对比。
- 这一转变的根本原因在于应对SOC面临的严峻挑战,如警报疲劳、技能差距和响应速度要求,通过让AI承担以往需要人类判断的复杂任务来实现。
- 代表了AI在安全领域更高层次的应用,朝着能够处理未知情况和编排复杂工作流的系统迈进。尽管Agentic AI有望带来巨大的效率提升,但也引发了关于AI可解释性、信任机制、监督模式以及AI以机器速度犯错的潜在风险等关键问题。同时这也重新定义了人类分析师的角色,使其更侧重于监督和战略指导。
海外其他在DLP领域创新的公司
近期海外DLP创新公司
| 公司名称 | 成立时间 | 覆盖场景 | 解决的客户问题 | 解决方案 | 关键价值主张 |
| Cyera | 2021 | 混合云环境、SaaS应用、AI/ML数据、数据湖、数据库、API数据 | 1. 传统DLP误报高,运营负担重。 2. 敏感数据识别和分类复杂且不准确。 3. AI应用带来的数据泄露风险(如LLM泄露)。 4. 缺乏数据实时治理能力。 | Cyera Omni DLP & DSPM Platform: 1. AI驱动的数据发现与分类: 自动识别和分类各种敏感数据(结构化、非结构化、半结构化)。 2. 上下文感知的数据保护: 基于数据内容、用户行为、环境上下文进行精确DLP。 3. 实时监控与响应: 实时检测数据流动,自动执行策略或告警。 4. DSPM(Data Security Posture Management): 提供数据风险可视化、治理和合规性管理。 | 1.AI驱动的精确性: 显著降低误报,提升DLP效率。 2. 全生命周期保护: 无论数据在何处(在传输、使用、静止),都能提供保护。 3. 适应AI时代挑战: 专门应对AI应用中的数据泄露风险。 4. 统一简化管理: 降低复杂环境下的数据治理难度。 |
| Forcepoint | 1994 (DLP业务线历史悠久) | 远程/混合办公、云服务(IaaS/PaaS/SaaS)、Web/Email/Endpoint数据、供应链数据共享、内部网络 | 1. 远程办公数据泄露难控。 2. 云端数据安全盲区。 3. 高级威胁窃取数据。 4. 供应链数据共享合规性。 5. 内部威胁。 | Forcepoint ONE Platform (统一平台,包含Endpoint DLP, Network DLP, Cloud DLP): 1. 统一云原生平台: 将DLP与CASB、SWG、ZTNA等集成。 2. 实时内容与上下文检查: 对Web、Email、文件传输、端点操作等进行深度检查。 3. 用户行为分析 (UBA): 识别异常数据传输和使用模式。 4. 加密流量检查: 对SSL/TLS流量进行解密检查。 5. SASE框架下的数据保护: 提供从端点到云的全面DLP。 | 1.全面覆盖与适应性: 提供从网络到云端、端点的全面数据流动保护。 2. 简化运营与集成: 统一平台降低管理复杂性。 3. 有效对抗高级威胁: 通过多维度分析提升威胁检测能力。4. 强大合规性保障: 帮助满足全球数据隐私法规。 |
| Netskope | 2012 | 云原生环境(SaaS/IaaS/PaaS)、Web流量、Email、Endpoint、私有应用、数据在用 | 1. 传统DLP不适用于云原生和SaaS环境。2. 数据在云端的可见性和控制不足。 3. 影子IT和未授权应用带来的数据风险。4. 用户在云端的行为难以监控。 | Netskope Intelligent Security Service Edge (SSE) Platform (包含Netskope DLP): 1. 云原生DLP: 直接在云端对数据进行发现、分类和保护。 2.CASB DLP: 监控和控制云应用中的数据活动。 3. SWG DLP: 保护Web流量中的敏感数据。 4. ZTNA DLP: 确保对私有应用的访问符合DLP策略。 5. Endpoint DLP: 扩展到端点层面的数据保护。 6. AI/ML增强: 用于高级数据分类、异常行为检测和策略优化。 | 1.云优先策略: 专为云环境设计,提供无缝的云端数据保护。 2. 统一SSE平台: 整合多项安全功能,简化云安全部署和管理. 3. 实时智能防护: 基于上下文和行为,提供实时、自适应的DLP。 4. 阻止影子IT泄露: 有效控制未授权云应用的数据使用。 |
| Proofpoint | 2002 | Email、云应用、端点、Web、内部威胁、SaaS | 1. 邮件是数据泄露的主要渠道。 2. 内部人员的恶意或无意泄露。 3. 缺乏对用户行为和风险的可见性。 4. 合规性要求复杂。 | Proofpoint Enterprise DLP (统一平台): 1. 人中心DLP: 聚焦于识别和保护高风险用户。 2. 邮件DLP: 深度集成邮件网关,精确识别邮件中的敏感数据泄露。 3. 云DLP: 保护云应用和存储中的数据。 4. 端点DLP: 监控和控制端点上的数据操作。 5. 内部威胁管理: 结合UEBA,检测和响应内部威胁。 6. AI/ML驱动: 用于行为分析和风险评分。 | 1.业界领先的邮件DLP: 在邮件安全领域具有核心优势。 2. 人中心方法: 关注高风险用户行为,更有效发现内部威胁。 3. 集成化平台: 提供跨渠道的统一DLP管理。 4. 减轻合规负担: 自动化报告和审计能力。 |
| Varonis | 2005 | 非结构化数据、数据湖、文件服务器、NAS、SharePoint、Microsoft 365、Google Drive、Box、Salesforce等 | 1. 大量非结构化数据的“暗数据”风险。 2. 数据权限配置混乱,过度授权。 3. 难以监控数据访问和使用行为。 4. 数据泄露事件溯源困难。 | Varonis Data Security Platform: 1. 数据发现与分类: 自动识别、分类和标记敏感的非结构化数据。 2. 权限管理: 审计和管理数据访问权限,发现并修复过度授权。 3. 行为分析 (UEBA): 监控用户对数据的访问模式,检测异常行为(如未经授权的访问、批量下载)。 4. 自动化响应: 自动锁定或隔离高风险数据。 5. 威胁检测和响应: 检测勒索软件、内部威胁、数据外渗尝试。 | 1.专注于非结构化数据安全: 解决企业核心数据资产的盲点。 2. 自动化权限治理: 解决数据过度授权的根本问题。 3. 精准行为分析: 通过异常检测发现隐蔽的内部威胁和外部攻击。 4. 简化合规性审计: 提供详细的数据访问日志和审计报告。 |
| Trellix (原 McAfee Enterprise + FireEye) | 2021 (整合) | 端点、网络、云、Email、数据在用、内部威胁 | 1. 安全产品碎片化,DLP能力分散。 2. 缺乏跨域的DLP统一视图。 3. 需要XDR驱动的DLP能力。 4. 内部威胁检测和响应能力不足。 | Trellix XDR Platform (包含DLP): 1. XDR驱动的DLP: 将DLP与端点、网络、云、邮件等遥测数据融合。 2. 统一DLP引擎: 跨不同控制点(端点、网络、存储)应用一致的DLP策略。 3. 威胁情报共享: 利用Trellix的全球威胁情报增强DLP检测。 4. 行为分析: 识别异常用户和数据行为。 5. 自动化响应: 基于风险评估自动化执行DLP响应措施。 | 1.一体化安全平台: 通过XDR提供全面的DLP视图和管理。2. 增强的检测能力: 结合多源数据和威胁情报,提升DLP的准确性。 3. 简化运营: 降低管理复杂性,提高安全团队效率。 4. 更强内部威胁防护: 结合行为分析和跨域遥测发现内部风险。 |
| Zscaler | 2007 | 云原生环境、SASE、ZTNA、Web、Email、云应用、远程办公 | 1. 传统DLP不适用于无边界网络。 2. 云访问安全和DLP的协同性差。 3. 远程用户访问敏感数据的风险。 4. SaaS应用中的数据泄露。 | Zscaler Zero Trust Exchange (包含Cloud DLP): 1. 云原生DLP引擎: 作为SSE平台的一部分,在云端执行DLP策略。 2. Inline DLP: 实时检查所有入站和出站流量(包括加密流量),阻止敏感数据泄露。 3. 与ZTNA/CASB/SWG集成: 确保零信任访问和云访问安全框架下的DLP合规性。 4. 统一策略管理: 跨所有用户和位置应用一致的DLP策略。5. AI/ML辅助: 用于高级内容匹配和异常检测。 | 1.构建于零信任原则: 提供“永不信任,始终验证”的数据保护。 2. 简化云转型: 无缝保护云端和混合环境中的数据。 3. 卓越用户体验: 不影响远程用户访问速度和体验。 4. 降低运营成本: 无需部署硬件,降低DCO(部署、管理、运营)成本。 |
值得我们关注的机会方向
| 序号 | 客户面临的问题 | 对应机会/创新方向(解决方案) | 备注 |
| 1 | 传统的DLP误报率高、缺乏上下文,且难以应对AI带来的数据泄露风险。 | 机会1: 将DSPM(数据安全态势管理)与动态DLP深度融合,构建AI驱动的、基于上下文感知的数据安全平台,并提供AI数据治理功能。 | 安全单品新机会洞察:DLP需要革新,特别是在AI时代。 |
| 2 | 无法准确衡量和提升组织的安全成熟度和防御姿态。 | 机会2: 整合态势管理和检测响应的平台,提供量化的安全姿态评级,帮助组织(尤其是MSP)向客户证明价值。 | 海外的MSP(托管服务提供商)市场对此需求强烈,可将其作为向客户证明价值的工具。 |
| 3 | 漏洞和错误配置数量庞大,安全团队难以有效优先处理。 | 机会3: 利用AI和资产上下文实现暴露面管理(Attack Surface Management),基于实际风险和可达性进行优先级排序,减少漏洞噪音。 | 防勒索方案中暴露面管理的核心能力,也可借鉴。 |
| 4 | 安全事件响应过程中,团队协作和流程协调效率低下。 | 机会4: 开发专注于网络危机响应协调的平台,整合沟通、任务和剧本,提升危机处理的结构性和效率。 | 尤其适用于中小型企业(C类客户)或资源有限的组织,对协同工具有强烈需求。 |
| 5 | 缺乏对复杂软件架构和API之间关系的实时可见性。 | 机会5: 提供实时、交互式的软件图谱可视化工具,帮助安全团队理解代码到运行时的关联和风险传播路径,安全向左移动。 | 可参考Wiz等平台在云安全图谱方面的核心价值,进一步研究技术细节和应用场景。 |
| 6 | SOC(安全运营中心)面临工具碎片化、运营低效和应对速度慢的挑战。 | 机会6: 构建集成化、AI驱动的现代化SOC平台,整合多种安全能力(XDR, SIEM, SOAR, ASM等),并强调自动化和主动防御。 | 整体能力差距较大,需要长期投入和技术积累。 |