BAS：一种正在崛起的网络安全技术

2017年入侵和攻击模拟(Breach and Attack Simulation)首次出现于Gartner Hyper Cycle中，被定位为一种正在崛起的技术。2022年Gartner最新发布的八大安全和风险管理趋势中，入侵和攻击模拟（BAS）再次被提及。

2021安全运营技术成熟度曲线

入侵和攻击模拟（BAS）技术通过持续模拟针对企业资产进行攻击的剧本及payload，侧方位验证企业安全防御的有效性，正如 Gartner 描述的，此类技术工具 “可供安全团队以一致的方式持续测试安全控制措施，贯穿从预防到检测乃至响应的整个过程”。

BAS，一种进阶的检测技术

现有安全市场中用于校验企业网络安全的工具及解决方案不计其数，典型的有基线审查、漏扫、态势感知、漏洞管理、应用安全测试、渗透测试工具及人工安服等，BAS的出现不仅能更好的协助企业加固网络安全，且不同于传统型测试工具。作为一种进阶的检测工具，具体体现如下：

持续性攻防验证

传统基线审查技术及产品关注网络内一系列产品的配置是否达到企业标准并满足相关安全规范要求，标准及规范常由法规和合同强制生成。基线审查的标准及规范是否能够应对现实环境中的威胁，无从验证。

BAS技术关注效果，持续性监测与检测网络环境，可以对目标网络环境进行全面性的安全评估。

更深层次的漏洞检测

传统漏洞扫描指基于漏洞数据库，通过扫描等手段对指定的远程或者本地计算机系统的安全脆弱性进行检测，发现可利用漏洞的一种安全检测（渗透攻击）行为，扫描得出的漏洞为已发布或已知的漏洞。

BAS侧重于攻击的多个阶段。包括数据渗透、横向移动和其他与可利用漏洞无关的攻击者行动。

自动化迭代验证

传统渗透测试需要通过专业安服人员使用渗透测试工具手工进行，测试结果的验证也需要人工逐条进行，验证路径较为单一。

BAS通常以持续的方式进行自动化运行，针对验证阶段，BAS关注网络的全局验证，且不会向目标发送真实的漏洞payload。

BAS，一种降低成本和风险的技术

BAS提供量化指标

据IDC不完全统计，至2022年全球安全开支预计超过1300亿美元。各行业于安全领域的投入也呈逐年增加趋势，然而无论安全技术还是安全产品，是否真正起到安全作用，绝大多数甲方无法准确掌握。BAS能够高效一致地衡量企业现有安全检测功能及运营的有效性，依据测试结果有效帮助企业有针对性的完成安全配置及决策。

BAS辅助红蓝演习

BAS可以有效辅助红队进行渗透测试工作，通过BAS测试输出结果，准确掌握安全体系中可利用的风险进行进一步渗透，极大节省渗透测试时间及成本投入。反观蓝队也可通过BAS测试内容未雨绸缪，在危险发生前，及时发现及修复存在的安全风险，缩减系统脆弱面的暴露时间。同时BAS也可针对渗透测试结果进行深层验证。

基于传统渗透测试与BAS测试的需求，墨云科技智能自动化风险验证平台Vackbot是企业的不二之选。

北京墨云科技有限公司是国率先家利用人工智能技术模拟黑客入侵，验证用户安全控制有效性的网络安全服务提供商，资深安全技术专家团队及安全服务工程师，专注为企业级用户提供智能化、自动化网络安全攻防解决方案。

墨云Vackbot智能自动化攻击模拟平台集渗透测试与BAS测试于一体，利用AI智能引擎代替传统人工测试，自动迭代攻击发现深层次资产风险，高效可控，满足用户渗透测试与BAS测试的需求，极大提升测试效率的同时，降低用户成本的投入。

审核编辑：符乾江