逐一解讀Gartner評出的11大信息安全技術

時間 2021-01-02

標籤 linux 數據庫瀏覽器安全服務器網絡架構框架運維機器學習欄目系統安全简体版

原文原文鏈接

[最後修訂@2018-10-29]linux

【序】數據庫

本文首發於Sec-UN，如今本人博客發表，並作了幾處勘誤。而在更早前，曾經寫過一篇題爲《Gartner: 2017年11大信息安全技術（解讀版）》的文章，當時對17年新入選的6個技術作了一些介紹。而本人則將11個技術逐一進行了一番解讀，並簡述了國內的對應發展示狀。對於17年新入選的6個的解讀也更加細緻。當時那個文章主要是傳播Gartner總結出來的新技術，而這個文章則是但願經過介紹Gartner提出來的最新技術讓你們一窺國際網絡安全業界的最新發展動態。瀏覽器

結合最近幾年間Gartner評選出來的新酷技術（注：本人沒有找到2015年的），我認爲如下幾點值得關注：安全

1）Gartner一直十分推崇EDR、CASB、DevSecOps、新型隔離技術（譬如遠程瀏覽器）每一年都將其歸入頂級技術之列；服務器

2）雲安全是Gartner考察的重點，也說明了雲計算做爲安全技術顛覆者的威力，不只是雲計算帶來的安全新挑戰，也包括雲計算對安全技術自己的顛覆；網絡

3）沙箱、大數據安全分析、威脅情報和UEBA技術不斷下沉，愈來愈多成爲各種安全技術的一個能力或者一種支撐。也就是說，將來咱們單純去講述這些技術，或者單純依靠這些技術的產品將不會再有大的增加。相反，更多見到的則是將這些技術與其它技術結合起來的產品和市場。很快，咱們就會發現，大談特談這些技術的人會愈來愈少，而聲稱用了這些技術的產品會十分廣泛，人們更多會談結合這些技術有什麼應用場景，達到了什麼安全效果。架構

Gartner歷年評選的頂級技術框架

	2014年運維	2016年機器學習	2017年
端點安全	端點檢測與響應EDR	端點檢測與響應EDR	端點檢測與響應EDR
端點安全		基於非簽名方法的端點防護技術
雲安全	軟件定義的安全SDS		軟件定義邊界SDP
	雲訪問安全代理CASB	雲訪問安全代理CASB	雲訪問安全代理CASB
		微隔離	微隔離
	自適應訪問控制		雲工做負載保護平臺CWPP
			容器安全
應用安全	交互式應用安全測試	DevOps的安全測試技術	面向DevSecOps的開源軟件（OSS）安全掃描與軟件成分分析
安全運營	大數據安全分析技術是下一代安全平臺的核心	情報驅動的安全運營中心及編排解決方案技術	可管理檢測與響應MDR
網絡安全	遏制與隔離將做爲基礎的安全策略	遠程瀏覽器	遠程瀏覽器
		欺騙技術	欺騙技術
			網絡流量分析NTA
	機器可識別的威脅情報（包括信譽服務）
	沙箱廣泛化
		用戶和實體行爲分析UEBA
IoT	針對物聯網的安全網關、代理和防火牆	普適信任服務

【正文】

淺析Gartner十一大信息安全技術

Benny Ye 最後修改於2018/3/5

1 概述

在2017年6月份舉辦的第23屆Gartner安全與風險管理峯會上，Gartner知名分析師Neil McDonald發佈了2017年度的11個最新最酷的信息安全技術。

Gartner選擇年度頂級技術的標準是：

1）不能僅僅是個趨勢（譬如大數據、IoT）；

2）必須是真實存在的安全技術門類，而且有實實在在的廠商提供這類技術和產品；

3）不能僅僅處於研究狀態，但也不能已經成爲主流技術；

4）符合Gartner對於客戶需求和技術發展趨勢的判斷。

按照這個標準，基本上頂級技術都會位於Gartner Hype Cycle的曲線頂峯部分或者是低谷的部分。

這11大技術分別是：

1） Cloud Workload Protection Platforms：雲工做負載保護平臺CWPP

2） Remote Browser：遠程瀏覽器

3） Deception：欺騙技術

4） Endpoint Detection and Response：端點檢測與響應EDR

5） Network Traffic Analysis：網絡流量分析NTA

6） Managed Detection and Response：可管理檢測與響應MDR

7） Microsegmentation：微隔離

8） Software-Defined Perimeters：軟件定義邊界SDP

9） Cloud Access Security Brokers：雲訪問安全代理CASB

10）OSS Security Scanning and Software Composition Analysis for DevSecOps：面向DevSecOps的開源軟件（OSS）安全掃描與軟件成分分析

11）Container Security：容器安全

Gartner將這11項技術分爲了三類：

1）對抗威脅的技術：這類技術都在Gartner的自適應安全架構的範疇以內，包括CWPP、遠程瀏覽器、欺騙技術、EDR、NTA、MDR、微隔離；

2）訪問與使能技術：包括SDP、CASB；

3）安全開發：包括OSS安全掃描與軟件成分分析、容器安全。

從另一個角度看，這11項技術有5個都直接跟雲安全掛鉤（CWPP、微隔離、SDP、CASB、容器安全），也應證了雲技術的快速普及。

須要指出的是，Gartner每一年對頂級的信息安全技術評選都是具備連續性的。針對上述11大技術，其中遠程瀏覽器、欺騙技術、EDR、微隔離、CASB共5個技術也出如今了2016年度的10大信息安全技術列表之中。

2 十一大技術淺析

如下技術分析綜合了Gartner對11大頂級技術的官方發佈新聞稿，以及各個技術相關的分析報告。文中還參雜了本人的理解。

2.1 CWPP雲工做負載保護平臺

如今數據中心的工做負載都支持運行在包括物理機、虛擬機、容器、私有云在內的多種環境下，甚至每每出現部分工做負載運行在一個或者多個公有云IaaS提供商那裏的狀況。混合CWPP爲信息安全的管理者提供了一種集成的方式，讓他們可以經過一個單一的管理控制檯和統一的安全策略機制去保護那些工做負載，而不論這些工做負載運行在何處。

事實上，CWPP這個概念就是Neil本人提出的。他在2016年3月份發表了一份題爲《CWPP市場指南》的分析報告，並第一次對CWPP進行了正式定義：CWPP市場是一個以工做負載爲中心的安全防禦解決方案，它是一種典型的基於代理（Agent）的技術方案。這類解決方案知足了當前橫跨物理和虛擬環境、私有云和多種公有云環境的混合式數據中心架構條件下服務器工做負載防禦的獨特需求。還有的甚至也同時支持基於容器的應用架構。

Neil將CWPP解決方案的能力進行了層次劃分，並歸爲基礎支撐、核心能力、擴展能力三大類。下圖是Neil發佈的2017年版《CWPP市場指南》中描繪的能力層次圖，由上至下，重要性逐漸遞增：

其實，CWPP這個提法在Gartner內部仍是存在分歧的，本人跟Gartner的分析師就此進行過討論。Gartner將CWPP市場映射爲一套對雲中負載進行安全防禦的解決方案，而非單一的CWPP產品，由於CWPP的每一個能力層都涉及不一樣的技術，整個CWPP涉及的技術面更是十分普遍。此外，每一個CWPP提供商的產品功能都不盡相同，甚至存在較大差別。而用戶要對其雲工做負載（雲主機）進行防禦的話，恐怕也不能選擇某個單一的CWPP產品，而須要統籌考慮，進行多種技術的集成。固然，不排除隨着Gartner力推CWPP概念，未來會出現更加完整的CWPP產品，即所謂的「Single pane of glass to hybrid cloud workload protection」。

在2017年的雲安全Hype Cycle中，CWPP位於低谷位置，Gartner認爲CWPP尚處於青春期，距離成熟市場還有2到5年的時間。

在本人看來，隨着雲計算的迅速普及，不少傳統的安全防禦技術的有效性降低了，部署難度增長了。同時，公有云使得用戶對雲中主機（工做負載）的安全掌控能力下降了。所以，以Agent技術流爲表明的雲主機防禦技術蓬勃興起。還須要指出的是，終端防禦系統沒法覆蓋對雲工做負載的的安全防禦需求。目前，國內已經有廠商涉足CWPP市場。但願隨着咱們對CWPP認識的清晰，不要之後國內出現一窩蜂地將傳統技術簡單包裝而成的CWPP廠商，就如EDR那樣。

2.2 遠程瀏覽器

鑑於瀏覽器每每成爲***的入口，所以有人將瀏覽器部署在遠程的一個「瀏覽器服務器池」（一般是基於linux的）中。用戶使用這些遠程的瀏覽器來進行網頁訪問。這樣一來，這些瀏覽器所在的服務器跟用戶所在環境中的終端和網絡是隔離的。從而使得客戶所在網絡的暴露面大大下降，而風險被轉移到瀏覽器服務器池那裏去了。而在瀏覽器服務器池那邊能夠實施專門的安全保護與控制。更進一步，這個瀏覽器服務器池能夠被包裝爲一種雲服務（SaaS），固然也能夠運行在隔離的客戶側。

上圖展現了遠程瀏覽器技術的兩種應用模式：部署在DMZ區，或者以SaaS模式交付。

遠程瀏覽技術的本質是一種隔離技術。其核心技術是在遠程服務器上對WEB內容進行渲染（rendering），並可以將渲染後的信息從新編碼成HTML5回傳給用戶本地瀏覽器。此外，該技術還要支持遠程瀏覽器與用戶本地瀏覽器之間的雙向通信（譬如將WEB內容、音視頻信息傳遞到本地，以及將本地的鍵盤鼠標操做傳給遠程瀏覽器）。

須要指出的是，遠程瀏覽技術跟遠程桌面技術（包括虛擬桌面）是不一樣的。相較而言，遠程瀏覽技術更加輕量級，對服務器性能要求低不少，而且還不涉及虛擬桌面許可證問題（若是用戶多的話，許可受權費用不菲）。而每一個虛擬桌面的會話都要一個完整的VM來支撐，過重，若是僅僅爲了遠程瀏覽只用，顯得浪費了。此外，還有一些終端防禦類產品可以對用戶本地瀏覽器或者相關進程進行加固和微隔離，但可能會對終端形成必定的不便，而遠程瀏覽器技術一般不須要在客戶端裝agent。綜合來看，在瀏覽隔離這塊，Gartner更看好遠程瀏覽技術。

Gartner認爲，遠程瀏覽技術的興起可能會衝擊如今的Secure Web Gateway（SWG，上網行爲管理）市場，或者說將來的SWG可能會集成遠程瀏覽的功能。

鑑於當前大部分***都是跟瀏覽器（包括瀏覽器自身及其插件）和裏面的WEB內容有關的，Gartner預測，到2021年，將會有20%的企業採用遠程瀏覽器解決方案。截至目前，本人還未看到國內有相似的產品出現。

儘管Gartner看好這項技術，但該技術自己目前還面臨諸多挑戰，還沒有成熟，很多廠商正在這個領域尋求技術和市場突破。主要的挑戰包括：必須支持PDF、Flash，甚至是JVM等等常見WEB內容的轉換呈現；對於不支持的WEB內容如何處理？如何支持用戶安全下載遠程文件？如何處理富文本的複製/粘貼？目前看到的遠程瀏覽器產品通常都帶有集中管理與分析功能、文件沙箱和惡意代碼檢測功能。

2.3 欺騙技術

欺騙技術往前能夠追溯到蜜罐技術，隨着技術的不斷進步，如今的欺騙技術能夠看做是蜜罐技術的升級版，欺騙和假裝物更加豐富，欺騙技術的保護重心也從邊界轉移到了網絡內部，尤爲是大規模複雜企業內部網絡，並出現了分佈式欺騙平臺（Distributed Deception Platform）。

2017年初，Gartner在中國作了一次Local Briefing。會上，DDP的提出者（2015年）Lawrence Pingree專門作了一個題爲《The art of Deception and its benefits for lean-forward security programs》的演講。

Gartner十分看重欺騙技術，在2018年10大戰略技術之一的CARTA（持續自適應風險與信任評估）中，欺騙技術承擔了重要的角色，做爲運行時風險與信任評估的重要手段之一。隨着人們愈來愈關注威脅檢測與響應，出現了不少新興的威脅檢測技術，包括欺騙技術，以及同在11大技術之列的NTA、EDR，還有UEBA，等等。Gartner認爲欺騙技術在各類威脅檢測技術中具備獨特的價值，具備更好的適應性和可行性，尤爲是在工控和物聯網環境中，並能與其餘技術造成良性互補。

Gartner預測到2019年10%的企業將採用這類技術，主動地進行對抗。目前，國內有很多從事欺騙技術的初創公司和產品，但要達到DDP的平臺級水平，還須要大跨越。

2.4 EDR端點檢測與響應

EDR在2014年就進入Gartner的10大技術之列了。EDR工具一般記錄大量端點級系統的行爲與相關事件，並將這些信息存儲在終端本地或者集中數據庫中。而後對這些數據進行IOC比對，行爲分析和機器學習，用以持續對這些數據進行分析，識別信息泄露（包括內部威脅），並快速對攻|擊進行響應。目前EDR的核心支撐技術包括大數據安全分析（BDSA）技術。

EDR的保護目標是端點。他的出現最初是爲了彌補傳統終端/端點管理系統（Gartner稱爲EPP）的不足。而如今，EDR正在與EPP迅速互相***融合，但Gartner預計將來三年EDR和EPP仍將並存。

EDR解決方案應具有四大基本功能：安全事件檢測、安全事件調查、在端點上遏制安全事件，以及將端點修復至感染前的狀態，正好對應Gartner自適應安全架構的檢測和響應兩個階段。這裏面涉及到了機器學習、大數據分析、威脅捕獵等等還沒有成熟的新興技術和高交互性技術。

仔細研究能夠發現，EDR的目標設定仍是比較高級的，至少跟EPP相比，對分析人員的要求高出不少。EDR的落地不只僅是一個技術問題，還涉及到人員組織和流程，以及高水平的安全分析師。所以，將EDR跟SOC結合起來，對於大型企業和組織是一個值得考慮的選項。而對於中小型客戶而言，將EDR封裝在MSS/MDR中，以服務的方式得到這個能力則能夠一試。

須要指出的是，端點在這裏一般指終端，但實際並不限於終端，還能夠包括服務器。

EDR市場發展十分迅速，在2017年末，Gartner首次發佈了EDR的市場指南，並對EDR技術的將來發展趨勢進行了詳細的分析，能夠發現EDR技術愈來愈龐雜，正在發展成爲一個平臺類產品。

Gartner預計到2021年，80%的大型企業、20%的中型企業和10%的小企業將部署EDR能力。目前，國內已經有多家廠商涉足EDR細分市場領域，但基本上處於摸索階段，不少產品其實還基本上就是對傳統終端管理產品的再包裝，面臨的挑戰頗多。

2.5 NTA網絡流量分析

做爲一種威脅檢測的新興技術，NTA是在2013年提出來的，並位列五種檢測高級威脅的手段之一。

根據Gartner的定義，NTA融合了傳統的基於規則的檢測技術，以及機器學習和其餘高級分析技術，用以檢測企業網絡中的可疑行爲，尤爲是失陷後的痕跡。NTA經過DFI和DPI技術來分析網絡流量，一般部署在關鍵的網絡區域對東西向和南北向的流量進行分析，而不會試圖對全網進行監測。Gartner建議將NTA是作一種功能和能力，而非純粹的一個產品。

在NTA入選11大技術的解說詞中，Gartner說到：NTA解決方案經過監測網絡的流量、鏈接和對象來識別惡意的行爲跡象。對於那些試圖經過基於網絡的方式去識別繞過邊界安全的高級攻|擊的企業而言，能夠考慮將NTA做爲一種備選方案。

NTA與EDR一個關注網絡，一個聚焦端點，但在技術和應用上有不少類似之處：都屬於威脅檢測類的新興技術，都用到了大數據分析技術，都是安全分析的一個具體用例，都是CARTA的重要組成部分，都推薦與SIEM/SOC集成使用，都是一類對安全分析師水平要求較高的技術，用好不易。

在Gartner的Hype Cycle中，NTA處於炒做的高峯階段，處於指望的頂點，遠未成熟。目前，國內已經有一些從事NTA的公司和產品，本人就是其中之一。

2.6 MDR威脅檢測與響應服務

MDR是一類服務，而且一般不在傳統的MSS/SaaS提供商的服務目錄中。做爲一種新型的服務項目，MDR爲那些想提高自身威脅檢測、事件響應和持續監測能力，卻又無力依靠自身的能力和資源去達成的企業提供了一個不錯的選擇。MDR對於SMB市場尤爲具備吸引力，由於命中了他們的「興奮點」。

MDR服務是Gartner在2016年正式提出來的，定位於對高級攻|擊的檢測與響應服務。與傳統MSSP主要幫客戶監測內部網絡與互聯網內外間流量不一樣，MDR還試圖幫助客戶監測內部網絡中的流量，尤爲是識別高級攻|擊的橫向移動環節的蛛絲馬跡，以求更好地發現針對客戶內部網絡的高級攻|擊。而要作到這點，就須要在客戶網絡中部署多種高級攻|擊檢測技術（設備），還要輔以安全分析。對於MDR服務而言，這些額外部署在客戶側的設備是屬於服務提供商的，而非客戶的。這些設備（硬件或者軟件）既多是基於網絡的，也多是基於主機的，也可能兼有之。在安全分析的過程當中，會用到威脅情報，也可能用到專業的安全分析師。在檢測出攻|擊，進行響應的時候，MDR服務強調迅速、直接、輕量化（簡潔）、高效，而不會過多顧及安全管理與事件處置的流程，不少時候經過提供商部署在客戶側的設備就響應處置掉了。顯然，這種服務與傳統的MSS相比，對客戶而言更具影響性，但也更加高效，也是高級威脅對客戶形成的風險愈來愈大的必然反應。

Gartner預計到2020年將有15%的組織使用MDR類的服務，而如今僅不到1%。同時，到2020年80%的MSSP都會提供MDR類的安全服務，稱之爲「Advanced MSS」。Gartner認爲MSS和MDR是交集的關係。在將來兩年，MSS尚不會徹底覆蓋MDR服務。

2.7 微隔離

廣義上講，微隔離（也有人稱作「微分段」）就是一種更細粒度的網絡隔離技術，主要面向虛擬化的數據中心，重點用於阻止攻|擊在進入企業數據中心網絡內部後的橫向平移（或者叫東西向移動），是軟件定義安全的一種具體實踐。流可見技術（注意：不是可視化技術）則與微隔離技術伴生，由於要實現東西向網絡流的隔離和控制，必先實現流的可見性（Visibility）。流可見性技術使得安全運維與管理人員能夠看到內部網絡信息流動的狀況，使得微隔離可以更好地設置策略並協助糾偏。此外，有些廠商還爲不一樣工做負載之間的數據傳輸提供流量加密功能選項。Gartner提醒，謹防過分隔離！這是當前微隔離項目失敗的首要緣由。

微隔離技術的落地目前較爲複雜，不用用戶的訴求差別較大。Gartner將微隔離劃分出了4種模式：內生雲控制模式、第三方防火牆模式、混合式、疊加式。

本地雲控制模式就是基於虛擬化平臺、IaaS等雲平臺內建的能力來實現微隔離。譬如利用VMware、思科、AWS、微軟雲自帶的功能。這種模式部署和使用相對簡單，對用戶更透明，但功能也相對簡單，而且沒法跨多廠商。

第三方防火牆模式又分爲兩種：一種是工做在虛機之上，能夠跨多廠商基礎架構、功能更爲豐富，但部署和管理更復雜、性能和成本更高，而且沒法實現底層的控制。另外一種是藉助NFV技術和vSwitch，運行在虛機之下。主流的FW/NGFW廠商都在佈局這種模式。

混合模式是上述兩種模式的混合使用，譬如東西向隔離用內生的，南北向隔離用第三方的。

疊加模式是比較有特點的，他的核心在於經過在目標虛機（也是工做負載）上部署Agent來實現實現更復雜的微隔離。目前不少初創公司聚焦於此模式及相關技術，視爲一次彎道超車的機會。

須要指出的是，微隔離跟CWPP是有部分交集的，有時用戶覺得本身須要微隔離，其實發現用CWPP更合適。所以，需求分析和應用場景設計十分重要，要按需使用各類技術。

在Gartner的雲安全Hype Cycle中，微隔離位於失望的低谷，還處於成熟的早期階段。目前，國內已經出現了涉足微隔離的初創公司，但還處於孵化期。

2.8 SDP軟件定義邊界

SDP將不一樣的網絡相連的個體（軟硬件資源）定義爲一個邏輯集合，造成一個安全計算區域和邊界，這個區域中的資源對外不可見，對該區域中的資源進行訪問必須經過可信代理的嚴格訪問控制，從而實現將這個區域中的資源隔離出來，下降其受攻|擊的暴露面的目標。

這種技術最初是CSA雲安全聯盟提出來的，是SDN和軟件定義安全（SDS）概念的交集。剛開始SDP主要針對WEB應用，到如今也能夠針對其餘應用來構建SDP了。SDP的出現消除了傳統的固化邊界，對傳統的設置DMZ區，以及搭建V|PN的作法構成了挑戰，是一種顛覆性的技術。也能夠說，SDP定義了一種邏輯的、動態的邊界，這個邊界是以身份和情境感知爲依據的。

在Gartner的雲安全Hype Cycle中，SDP位於新興階段，正處於曲線的頂峯。Gartner預測，到2017年末，至少10%的企業組織將利用SDP技術來隔離敏感的環境。

2.9 CASB雲訪問安全代理

CASB在2016年就位列10大技術之中。最初，CASB被大體定義爲一個應用代理安全網關，用於安全地鏈接起用戶與多個雲服務商。現現在，Gartner對CASB賦予了更普遍的含義：CASB做爲一種產品或服務，爲企業承認的雲應用提供通用雲應用使用、數據保護和治理的可見性。簡單的說，就是隨着用戶愈來愈多采用雲服務，並將數據存入（公有）雲中，他們須要一種產品來幫助他們採用一致的策略安全地接入不一樣的雲應用，讓他們清晰地看到雲服務的使用狀況，實現異構雲服務的治理，並對雲中的數據進行有效的保護，而傳統的WAF、SWG和企業防火牆沒法作到這些，所以須要CASB。CASB一個很重要的設計理念就是充分意識到在雲中（尤指公有云）數據是本身的，可是承載數據的基礎設施不是本身的。Gartner指出CASB重點針對SaaS應用來提高其安全性與合規性，同時也在不斷豐富針對IaaS和PaaS的應用場景。Gartner認爲CASB應提供四個維度的功能：可見性、數據安全、威脅保護、合規性。

隨着雲應用的迅速普及，Gartner對CASB概念的放大，如今CASB的功能集合已經十分龐雜，幾乎囊括了全部須要佈置在用戶和雲服務提供商鏈路上的事情，包括認證、單點登陸、受權、憑據映射、設備畫像、數據安全（內容檢查、加密、數據標記化/脫敏）、日誌審計與告警、惡意代碼檢測與防禦，等等。我的感受，實在有點過重了，可能之後會拆解開來成爲解決方案而非單一產品，就像我對CWPP的感受同樣。

Gartner預計到2020年，60%的大企業將經過部署CASB來實現雲服務治理。

在Gartner的雲安全Hype Cycle中，CASB位於失望的低谷，還處於青春期階段。有趣的是，儘管CASB還沒有成熟，但Gartner卻在2017年末首次推出了CASB的魔力象限，可見Gartner對CASB青睞有加，急切盼望這個市場大發展。目前，國內已經有多個公司推出了本身的CASB產品，但很多還都是在原來堡壘機基礎上的擴展封裝，具體如何還有待觀察。還有一點，就是國內企業級SaaS其實並不普及，仍是以IaaS爲主，這也是制約CASB發展的一個重要因素。因此，CASB目前在中國要因地制宜。

2.10 面向DevSecOps的開源軟件（OSS）安全掃描與軟件成分分析

在2016年的10大信息安全技術中，也提到了DevSecOps，但強調的是DevSecOps的安全測試和RASP（運行時應用自保護）。今年，安全測試變成了安全掃描與軟件成分分析，其實基本上是一個意思，只是更加具體化了。

DevSecOps是Gartner力推的一個概念，有大量的相關分析報告。DevSecOps採用模型、藍圖、模板、工具鏈等等驅動的安全方法來對開發和運維過程進行自保護，譬如開發時應用測試、運行時應用測試、開發時/上線前安全漏洞掃描。它是一種自動化的、透明化的、合規性的、基於策略的對應用底層安全架構的配置。

對於DevSecOps的落地而言，最關鍵的一點就是自動化和透明化。各類安全控制措施在整個DevSecOps週期中都要可以自動化地，非手工的進行配置。而且，這個自動化的過程必須是對DevOps團隊儘可能透明的，既不能影響到DevOps的敏捷性本質，同時還要可以達成法律、合規性，以及風險管理的要求。

軟件成分分析(SCA，Software Composition Analysis)是一個比較有趣的技術。SCA專門用於分析開發人員使用的各類源碼、模塊、框架和庫，以識別和清點開源軟件（OSS）的組件及其構成和依賴關係，並識別已知的安全漏洞或者潛在的許可證受權問題，把這些風險排查在應用系統投產以前，也適用於應用系統運行中的診斷分析。若是用戶要保障軟件系統的供應鏈安全，這個SCA頗有做用。

在Gartner的應用安全的Hype Cycle中，SCA屬於成熟早期的階段，屬於應用安全測試的範疇，既包含靜態測試，也包含動態測試。

2.11 容器安全

與虛擬機（VM）不一樣，容器使用的是一種共享操做系統（OS）的模型。對宿主OS的某個漏洞利用攻|擊可能致使其上的全部容器失陷。即使容器自己是安全的，但若是缺乏安全團隊的介入，以及安全架構師的指導，容器的部署過程可能產生不安全因素。傳統的基於網絡或者主機的安全解決方案對容器安全沒啥做用。容器安全解決方案必須保護容器從建立到投產的整個生命週期的安全。目前大部分容器安全解決方案都提供投產前掃描和運行時監測保護的能力。

根據Gartner的定義，容器安全包括開發階段的風險評估和對容器中全部內容信任度的評估，也包括投產階段的運行時威脅防禦和訪問控制。在Gartner的Hype Cycle中，容器安全目前處於新興階段。