九游老哥云
RSA 立异沙盒盘货| Vulcan Cyber：化被动为自动的云端误差响应自动化平台
2020-02-20
2020年2月24日-28日，网络清静行业盛会RSA Conference将在旧金山拉开帷幕 。九游老哥君相继为各人先容了进入今年立异沙盒十强首创公司，今天为各人先容的是：Vulcan Cyber 。
一、公司先容
Vulcan Cyber是立异沙盒十强中唯一的一家以色列公司，在2019年曾入选Gartner 在Security and Risk Management的Cool Vendor 。在公司的三位团结首创人中，CEO Yaniv Bar-Dayan与CPO Tal Morgenstern都曾在以色列军方任职，有富厚的网络清静实战履历 。公司建设于2018年，现在已经获得了两轮共1400万美元的融资，最近一次是由Ten Eleven Ventures领头的1000万美元A轮融资 。Vulcan Cyber为企业提供了一套自动化误差威胁缓解（Automated Vulnerability Remediation）解决计划，通过对已有开发、运维工具的集成与整合，实现对突发清静误差的快速响应，将企业受到清静威胁的时间窗口从数周、数月缩短到小时级 。
Vulcan Cyber自称为业界自动化误差缓解看法的先行者 。九游老哥君以为，将企业资产整合、针对清静事务举行自动化响应的头脑可以追溯到2017年Gartner提出的清静编排自动化与响应SOAR（Security Orchestration, Automation and Response） 。但作为SOAR看法的实现者，切实为企业解决了清静痛点，未来可期 。
二、配景先容
随着网络清静攻防对抗的日趋强烈，企业的清静团队与运维团队面临着日益严肃的磨练 。清静事务、清静误差日益增多，越来越重大且有针对性 。企业针对差别营业的开展，安排、维护来自差别供应商的资产装备，一连增多的清静告警与误报增添了应急响应团队的事情负荷 。
这些年来，检测与响应类的产品受到了极大的关注，尤其是对未知恶意行为的检测功效已经成为近年终端防护产品的标配 。这些产品和手艺使用户获得了更低的MTTD（平均检测时间Mean Time to Detect），能够更快、更准确的检测入侵和攻击，但对用户而言，解决问题与发明问题一样主要 。一个现状是，企业的清静团队与运维团队不可包管在任何时间都能找到缓解误差的步伐，同时也纷歧定能够准确评估缓解步伐对营业造成的影响 。Vulcan Cyber提供的解决计划旨在填补企业的这一能力空缺 。
三、产品先容
Vulcan Cyber的解决计划与公司同名，下面我们将简称其为Vulcan 。Vulcan是一套安排在云端的误差响应自动化平台（Vulnerability Response Automation Platform），它的设计目的是将应用误差、过失设置等一系列清静问题转化为可执行的解决计划，从而使企业的清静团队能够专注于解决最有威胁的清静问题，化被动于自动 。Vulcan将误差信息的网络、危害评估历程举行自动化，最终以一个补丁、设置文件改动或其他形式提供一个对生产情形影响最低的最佳解决计划 。
Vulcan具有三大焦点功效：危害信息聚合、威胁剖析、自动化误差缓解 。
危害信息聚合：提供完整的资产视图
一个现代的误差治理平台能够完整的泛起企业的资产与这些资产之间的关联关系，只有当企业对其网络中所有的组件有完整的认知，应对误差的缓解步伐才华完善的解决问题 。Vulcan会对网络举行扫描并对效果举行网络汇总，找出其中可能保存的袒露点、设置缺陷 。
除此之外，当我们评估一个误差缓解步伐的潜在危害时，我们也需要知道资产之间的联动关系，从而确保对误差修复历程所导致的副作用（如意外� ；┚傩型暾脑づ� 。
在整个修复历程中，Vulcan会跟踪何时、何地、哪些办法使用了哪些维护工具，以及这些工具由谁使用 。通常差别的工具与营业系统疏散在差别的平台上，Vulcan提供对多种云平台与维护工具的支持，包括AWS Inspector、Microsoft Intune、Tenable Nessus、Ansible等，也支持通过Vulcan Gateway将用户私有云的监控数据上传到Vulcan云端 。
威胁剖析：基于危害的威胁优先级排序
古板的TVM厂商倾向于依赖客观评分，如CVSS分数，对误差的危害水平举行定级，但现实上，差别误差对现实营业的危害水平，照旧依赖清静团队的主观判断 。因此，Vulcan引入了多种要向来评定一个清静事务的现实危害 。
1、应用清静性 。包括Qualys、SourceClear等DevSecOps工具产出的代码规范性、笼罩率等数据 。
2、营业影响力 。与企业的CMDB联动，将应用服务的商业价值纳入到危害评价指标中 。例如贮存用户信息、生意纪录的数据库对公司至关主要，这些资产关联的误差与清静事务的处置惩罚优先级就是最高的 。
3、资产漫衍情形 。通过与应用安排工具、资产治理系统的集成，对误差所波及的资产数目举行定位与统计 。
4、威胁情报 。Vulcan接入了凌驾50个威胁情报源，盘问发明的误差是否保存已知的IOC 。
虽然，这些维度的保存，除了纳入Vulcan的算法，输出威胁定级之外，也能够为清静团队处置惩罚清静事务提供更多的参考 。
自动化误差缓解：对应用组件举行批量修复
Vulcan通过自动化的方法来镌汰事务响应所需的人力与时间，扫除误操作的危害，提供更高的可靠性 。用户可以预先界说一些Playbook，从而将知足特定条件的事务处置惩罚半自动或全自动化，在官方的案例剖析中，Vulcan可以将某些组件的误差信息推送到Slack的谈天频道中，并在Jira中建设一个Issue，从而调动相关职员举行处置惩罚 。除此之外，Vulcan还维护了一些常见的自动化指令，好比使用Ansible或Chef等工具对Linux服务器装置补丁，或操作WAF、终端防护软件设置规则阻断恶意软件撒播等等 。
四、优势与挑战
Vulcan的一大亮点是，通过误差评级之外的更多维度，权衡误差的危害水平，资助清静团队在海量告警与清静事务中定位最主要的清静问题 ；更主要的是古板TVM产品只具备治理误差生命周期功效，大部分的误差缓解、系统升级都是人工处置惩罚，耗时耗力，在大规模的系统中不可扩展，而Vulcan使用了自动化编排的方法，高效解决问题，这一点是许多TVM产品所不具备的，解决了用户一大痛点 。
但同时，Vulcan也保存一些不完善的地方 。作为一个误差治理的集中平台，它需要能给用户提供足够的无邪性以将更多种类的资产纳入平台中 。Vulcan只提到了支持与某些应用的集成，但不支持什么，我们并不知道 。其次，应对重大多变的企业情形，在数据的展示上给用户定制的空间也是很是须要的 。如Rapid7 InsightVM与FireEye Helix提供了多种可定制的界面元素，差别的团队可以从差别的视角举行监控 。Vulcan现在看来还缺少这样的功效 。
五、总结
Gartner 曾展望，到 2020 年底，拥有 5 人以上规模清静团队的公司企业中，15% 都将接纳 SOAR，而现在 SOAR 的接纳率只有 1% 。Vulcan Cyber将SOAR的看法进一步推向落地，并展示了一个切实可行的解决计划，镌汰了事务响应历程中重复性使命的人工干预，资助加速问题的解决 。正如去年立异沙盒获胜者Axonius在网络清静最基础的资产治理方面有所立异获得评委看重，今年Vulcan是否会在同样基础的误差治理方面自动化提升清静运维效率而获得行业的认可？我们拭目以待 。
