2017年入侵和攻擊模擬(Breach and Attack Simulation)首次出現于Gartner Hyper Cycle中，被定位為一種正在崛起的技術。2022年Gartner最新發布的八大安全和風險管理趨勢中，入侵和攻擊模擬（BAS）再次被提及。

2021安全運營技術成熟度曲線

入侵和攻擊模擬（BAS）技術通過持續模擬針對企業資產進行攻擊的劇本及payload，側方位驗證企業安全防御的有效性，正如 Gartner 描述的，此類技術工具 “可供安全團隊以一致的方式持續測試安全控制措施，貫穿從預防到檢測乃至響應的整個過程”。

BAS，一種進階的檢測技術

現有安全市場中用于校驗企業網絡安全的工具及解決方案不計其數，典型的有基線審查、漏掃、態勢感知、漏洞管理、應用安全測試、滲透測試工具及人工安服等，BAS的出現不僅能更好的協助企業加固網絡安全，且不同于傳統型測試工具。作為一種進階的檢測工具，具體體現如下：

持續性攻防驗證

傳統基線審查技術及產品關注網絡內一系列產品的配置是否達到企業標準并滿足相關安全規范要求，標準及規范常由法規和合同強制生成。基線審查的標準及規范是否能夠應對現實環境中的威脅，無從驗證。

BAS技術關注效果，持續性監測與檢測網絡環境，可以對目標網絡環境進行全面性的安全評估。

更深層次的漏洞檢測

傳統漏洞掃描指基于漏洞數據庫，通過掃描等手段對指定的遠程或者本地計算機系統的安全脆弱性進行檢測，發現可利用漏洞的一種安全檢測（滲透攻擊）行為，掃描得出的漏洞為已發布或已知的漏洞。

BAS側重于攻擊的多個階段。包括數據滲透、橫向移動和其他與可利用漏洞無關的攻擊者行動。

自動化迭代驗證

傳統滲透測試需要通過專業安服人員使用滲透測試工具手工進行，測試結果的驗證也需要人工逐條進行，驗證路徑較為單一。

BAS通常以持續的方式進行自動化運行，針對驗證階段，BAS關注網絡的全局驗證，且不會向目標發送真實的漏洞payload。

BAS，一種降低成本和風險的技術

BAS提供量化指標

據IDC不完全統計，至2022年全球安全開支預計超過1300億美元。各行業于安全領域的投入也呈逐年增加趨勢，然而無論安全技術還是安全產品，是否真正起到安全作用，絕大多數甲方無法準確掌握。BAS能夠高效一致地衡量企業現有安全檢測功能及運營的有效性，依據測試結果有效幫助企業有針對性的完成安全配置及決策。

BAS輔助紅藍演習

BAS可以有效輔助紅隊進行滲透測試工作，通過BAS測試輸出結果，準確掌握安全體系中可利用的風險進行進一步滲透，極大節省滲透測試時間及成本投入。反觀藍隊也可通過BAS測試內容未雨綢繆，在危險發生前，及時發現及修復存在的安全風險，縮減系統脆弱面的暴露時間。同時BAS也可針對滲透測試結果進行深層驗證。

基于傳統滲透測試與BAS測試的需求，墨云科技智能自動化風險驗證平臺Vackbot是企業的不二之選。

北京墨云科技有限公司是國率先家利用人工智能技術模擬黑客入侵，驗證用戶安全控制有效性的網絡安全服務提供商，資深安全技術專家團隊及安全服務工程師，專注為企業級用戶提供智能化、自動化網絡安全攻防解決方案。

墨云Vackbot智能自動化攻擊模擬平臺集滲透測試與BAS測試于一體，利用AI智能引擎代替傳統人工測試，自動迭代攻擊發現深層次資產風險，高效可控，滿足用戶滲透測試與BAS測試的需求，極大提升測試效率的同時，降低用戶成本的投入。

審核編輯：符乾江