受邀演讲 | 确保数字化生态安全稳健

近日，星阑科技受邀和众多行业领袖、安全智囊、技术专家齐聚一堂，共同探讨数字化生态安全。会上，星阑科技深入解读数据安全产业发展新政策、探讨数据安全产业发展新趋势、交流数据安全产业发展新思路、分享数据安全产业发展新实践，全方位、多角度探索数据安全产业发展的创新路径和前进方向，为推动数字经济持续、健康、安全发展建言献策。

当前数字经济正快速崛起，成为重组全球要素资源，重塑全球经济结构，改变全球竞争格局的关键力量。国家正在加快推进数字经济、数字政府和数字中国建设，而企业也积极开展数字化转型，这意味着正在创建一个全新的国家数字化生态系统，旨在加速中国的现代化进程。然而，伴随着数字化建设的快速发展，企业也面临着网络攻击这一最大威胁。数字化生态系统本质上是一个高度互联和信息共享的体系，这给其带来了巨大的脆弱性和风险性，数据安全问题已经成为当务之急。

星阑科技作为网络安全行业新兴力量，自2018年成立以来始终坚持自主研发与技术创新，致力于帮助用户迅速发现并解决面临的安全风险和外部威胁，并积极探索网络安全新赛道。经过多年发展已凭借世界一流的攻防能力和成熟的云原生体系技术栈，为客户带来高质量的安全产品和服务。

会上， 星阑科技高级安全研究员刘帝位介绍了星阑科技在金融、国央企、运营商、能源及互联网领域的思考与前瞻创新实践。星阑科技长期投入打造数据基座与智能化基座，以应用层基础数据为核心帮助运维与安全团队构建多场景一体化监测方案。其中包含了先进的数据采集、大数据分析平台、AI技术，通过高度自动化的方式实现对海量数据的高效处理和智能化管理，不仅可以帮助企业构建完善的数据流程和数据资产管理体系，还能通过深度挖掘数据的潜在价值，为业务提供全新的商业洞察和决策支持。

刘帝位表示，网络攻击是数字化建设所面临的最大威胁之一。黑客、病毒、勒索软件等恶意行为频频出现，不仅给国家的政治、经济和社会稳定造成威胁，也对企业和个人的利益构成严重危害。网络攻击手段日益复杂和隐蔽，攻击者利用技术手段针对数字化生态系统中的漏洞进行入侵，窃取数据、篡改信息甚至瘫痪整个系统，给国家安全和社会秩序带来极大挑战。

作为数据传输中的重要通道，随着API的广泛应用，数据安全面临着新的变革。从攻防角度来看，攻击者的目标是企业数据。尽管网络安全日益成熟，但攻击者并不选择通过穿透多层内网来窃取数据（如数据库），而更倾向于攻破数据传输的通道（即API），因为这样更为便捷。攻击者可以直接利用API后端应用的漏洞、未经授权的访问以及越权漏洞来攻击API，从而窃取数据。然而，由于API在企业开发中的广泛应用，并且业务增长与安全保护之间的不平衡，导致近年来频繁发生因API安全问题而引发的数据泄露事件。

他指出，随着5G、人工智能和工业互联网等创新型基础设施的迅猛发展，数据已然成为推动社会经济进步的至关重要的生产要素。数据安全不仅牵涉到个人隐私的保护，更与经济安全和国家安全紧密相连。数据在市场中的自由流通促进了信息的互联互通，催生了新的数据生态系统和数据价值释放网络，激发了市场主体的创新活力。然而，这一发展也带来了一系列安全隐患。传统的Web安全与API安全亦有差异。

为解决API安全问题，星阑科技从攻防能力、大数据分析能力及云原生技术体系出发，提供全景化API识别、API高级威胁检测、复杂行为分析等能力，构建API Runtime Protection体系。该解决方案可以从资产-风险-事件-数据等多个维度实现对API使用情况的实时监控、异常访问的可视化。并基于企业级大数据分析平台以及机器学习数据实体识别算法，提供符合ISO PI PII标准以及金融、政府、通信行业细分标准的敏感数据实体识别与分类分级能力，并在此基础上针对API恶意攻击事件、数据泄露事件、撞库攻击进行实时告警，使企业能够从容应对漏洞攻击、黑客入侵、数据泄露以及账号滥用风险。

从攻击者视角，星阑科技自主研发的自动化API漏洞检测框架，通过流量中解析Web/API参数结构，对参数编码进行自动识别与解码，并基于树结构灵活控制注入位点，让漏洞Fuzz向量能够应对复杂的编码与数据结构，实现深度漏洞挖掘。这一框架解决了有效负载（payload）的有效性问题。通过对请求序列进行分析，可以获取API请求的顺序，并根据返回值确定API参数值的大致范围。这样可以生成更精确的Fuzz向量，以确保有效负载能够正常传递到API后端。在应对API参数复杂性问题时，星阑采取了树结构参数解析和递归解码等方法。通过对API的值、结构和参数进行变异和污染等手段，可以提高漏洞发现的效率和准确性。

这种自动化API漏洞检测广泛适用于各类企业和组织。尤其是具有大规模API接口的互联网企业、金融机构、电子商务平台等，在保护用户数据安全和防范黑客攻击方面，具有重要的应用需求。此外，各类软件开发团队也可以通过自动化API漏洞检测，及时发现和修复潜在的安全问题，提高软件产品的质量和可靠性。

未来，通过协调落实重要制度、构建数据安全综合防御体系以及提升能力和落实重要举措，星阑科技携手广大友商，将有效保护数字化生态的安全，为中国式现代化网络安全提供有力的支撑，推动数字经济、数字政府和数字中国建设取得更加快速和可持续的发展。