派拉软件实力上榜《2023年度中国数字安全能力图谱（行业版）》

近日，国内数字化产业第三方调研与咨询机构数世咨询首次推出并发布了《2023年度中国数字安全能力图谱（行业版）》（以下简称中国数字安全行业图谱）。 派拉软件作为中国最早的身份安全原厂商，凭借扎实的身份安全能力、多年的行业深耕以及过硬的行业用户口碑，成功入选了中国数字安全行业图谱十大行业中的前三大行业，即政府部委、金融、运营商。 据悉，本次中国数字安全行业图谱基于行业维度，通过与用户的广泛交流和沟通中，评选出了数字安全产业十个最为重要的行业领域的主流数字安全厂商。 此次评选大幅度削减了入选企业的数量，是精选而不是海选，更不是企业大全，以规避“全能型”原厂商或中小企业占据多条产品线的混乱现象，旨在反映重要行业用户中的主流安全厂商。 而除了图谱中提及到的十大行业之外，派拉软件还在诸如先进制造、汽车、化工、教育、地产、科研院所等十几个行业表现突出。 例如，2022年新经济企业先进制造业中TOP10企业中，有6家企业选择了派拉软件；在汽车制造行业，一汽、上汽、中车、北汽、蔚来等知名车企携手派拉软件共筑企业数字安全…… 未来，派拉软件将继续在保持产品技术能力先进性、创造性、创新性前提下，不断深耕各大行业，让数字安全产品与解决方案更契合行业客户实际需求，从而加速推动各大行业的数字化转型创新变革，为各行业数字安全持续创新赋能！

2023-10-16 16:30:15308阅读

上海专精特新‘小巨人’市场竞争力指数发布，派拉软件位列TOP100第15位

近日，上海市中小企业发展服务中心、上海联合产权交易所和上海产业转型发展研究院共同发布了《2022年上海市专精特新‘小巨人’市场竞争力指数》。 派拉软件作为上海市专精特新企业，又是国家级专精特新“小巨人”企业，在本次调研中成功上榜，并凭借企业自身突出的整体综合实力、科技创新、企业信用、核心能力等多项考核指标，位列总榜TOP100第15位。 据了解，《2022年上海市专精特新“小巨人”市场竞争力指数》从市场竞争力角度，建立由综合实力、科技创新、企业信用、核心能力、行业推广、社会关注等6个一级指标和38个二级指标构成的评估体系，综合不同专业平台的公开数据，通过大数据和全网搜索对上海市500家专精特新“小巨人”企业进行梳理、分析，形成一个综合的评价指数。 此次，派拉软件获得总榜评价指数第15名，足以看出市场对派拉软件的高度认可。作为国家级专精特新“小巨人”企业，派拉软件一直努力发挥起在数字安全行业担当“补短板”“锻长板”“填空白”的关键性作用。派拉软件的初创，就是为了填补当时中国市场在身份安全上的空白。 经过15年的自主研发与创新深耕，派拉软件在身份安全基础上逐渐衍生出更多新产品与新能力，提供全域身份治理和安全访问控制、特权访问管理、API管理、数据访问控制等产品，逐步扩展数字安全能力。 此外，派拉软件积极响应国家信创政策，加强国产化产品与解决方案的融合创新，在自主技术研发基础上，与国产芯片、服务器、操作系统、数据库等自主可控产品进行全面适配，实现100%功能迁移，且满足产品高性能稳定运行。 未来，派拉软件将持续走自主技术可控的创新之路，持续深耕企业数字安全产品与解决方案，争先在数字安全行业中发挥起“补短板”“锻长板”“填空白”的关键性作用，为“数字中国”安全、企业数字化创新发展与安全合规运营管理加速创新赋能！

2023-10-16 16:29:24536阅读

再创新高！派拉软件实力上榜《2023网络安全产业图谱》6大类别+17个细分领域

近日，嘶吼安全产业研究院联合国家网络安全产业园区（通州园）正式发布《2023网络安全产业图谱》（以下简称“网安图谱”）。本次网安图谱共收录了417家网络安全企业，划分7大类别，121个细分领域。 派拉软件凭借领先的技术优势和产品市场规模，实现7大类别中的6大类别覆盖，实力上榜17个细分领域，即身份访问管理（IAM）、零信任、堡垒机、特权账户管理、网络接入管理、安全访问服务边缘（SASE）、用户实体行为分析、云原生安全、云应用安全、云平台安全管理、移动终端安全、信创堡垒机、车联网安全、物联网安全、数据综合治理、数据流动、API安全。 据了解，本次网安图谱结合市场调研、数据精析、文献研究及政策参考等多方面综合分析，旨在反映网络安全行业市场规模状况、体现产业化的重点发展方向、展现各细分领域在整个网络安全行业中的市场占比情况、揭示行业热门细分赛道的市场潜力和发展趋势、探索网络安全产业的竞争格局和发展前景。 此次上榜，派拉软件再创新高，不断突破上榜类别与细分领域，既是一次行业市场对派拉软件实力认可的证明，也是派拉软件不断前行的见证。 未来，派拉软件将继续坚定走自主创新之路，坚持以数字身份安全为核心，不断创新突破数字身份安全新技术，如融入AI、UEBA、ITDR等新技术能力，加强数字身份安全防护能力的同时，培育派拉软件“暗能力”，为企业数字安全提供更全面、更先进、更有效的安全解决方案，从而赋能企业加速数字化转型创新变革！

2023-10-16 16:28:34493阅读

Gartner《2023中国ICT技术成熟度曲线》报告发布，派拉软件入选全生命周期API管理技术代表厂商

近日，国际权威研究分析机构Gartner发布了《2023中国ICT技术成熟度曲线》报告（Hype Cycle for ICT in China, 2023），派拉软件入选其中“全生命周期API管理”技术（Full Life Cycle API Management）代表厂商。 这是继2022年派拉软件入选Gartner《2022中国安全技术成熟度曲线》中“物联网身份验证、用户自持设备身份、零信任网络访问”三大技术领域代表厂商之后，再一次的实力见证，也是业内权威与中国市场对派拉软件的持续认可。 据了解，Gartner每年都会发布一版年度技术成熟度曲线，业界又称其为技术循环曲线、光环曲线、炒作周期等，是企业用来评估新科技的可用性，利用时间轴和市场的炒作热度决定要不要采用或跟进的一种工具。因其权威性、专业性以及预测的准确度，一直以来在全球备受业内认可。 此次，Gartner针对中国本土实际情况，对中国ICT市场和技术发展情况进行系统调研、分析，发布了最新的《2023中国ICT技术成熟度曲线》报告，共收录了25项新技术。 其中，全生命周期API管理技术伴随着企业数字化转型，以及云、微服务等新技术的广泛采用，API以指数级速度增长等现状而备受中国企业CIO重视。 据报告中Gartner对全生命周期API管理定义，指包括规划、设计、实施、测试、发布、运营、消费、版本控制和退役的全生命周期API管理。此外，它还结合了开发人员门户、API 网关、API 设计、开发和测试工具以及策略管理和分析。全生命周期 API 管理使 API 生态系统能够发布 API、确保安全操作并收集数据以进行监控和业务价值报告。 这与派拉软件自主研发的全生命周期API管理平台不谋而合。派拉软件API产品总监郭利民表示，派拉软件自主研发的API全生命周期管理平台，是国内少有的兼具数据集成、消息集成、API集成、安全治理、能力开放的一体化平台产品，并在多家大型央国企、金融、汽车有了大量的落地案例。 整个平台通过采用身份认证和授权、WAF渗透测试防护、数据加密、数据权限管控、访问控制、操作日志全追踪、安全监测等多重层次的安全机制，在实现企业各业务系统集成、互联互通的同时，为企业提供API自动发现、API规划、API设计、API实施、API测试、API发布、API授权、API审批等全生命周期安全管控，保护API的机密性、完整性、可用性、不可篡改性，满足企业合法合规要求，保障企业网络安全和数据安全。 平台在技术底层采用先进的微服务架构部署，满足私有云、公有云、混合云等多种方式部署；具备高性能、热部署、分布式、多租户、强大的安全防护、AI智能风险识别、全生命周期管理的特性。通过API平台保障业务系统集成的便利性、安全性、高效性。 在线热部署能力保障企业在API部署过程中的业务的连续性，实现无感化部署；基于智能风险监测模型、大数据分析引擎、安全网关，实现API风险动态感知、策略精准下发、API实时防护、API资产自动检测梳理等功能，达到保护数字化转型的集成和开放安全。 正是基于这样的全生命周期API管理平台产品和技术实力、以及中国市场的高度认可，派拉软件才能成功入选Gartner《2023中国ICT技术成熟度曲线》中全生命周期API管理技术代表厂商。 未来，派拉软件还将持续融入更多新技术、新能力，通过建立强大的智能学习模型，不断为API动态安全、全生命周期管理提供全方位保障，助力企业在安全的基础上成功实现数字化转型。

2023-10-16 16:27:33256阅读

权威认可！派拉软件连续入选Gartner《身份治理与管理市场指南》全球代表厂商

近日，全球权威研究分析机构Gartner发布《身份治理与管理市场指南》（Market Guide for Identity Governance and Administration），旨在聚焦身份管理与治理（Identity Governance and Administration ，IGA）功能、市场与未来趋势等分析，帮助全球企业组织做出更加专业、有效的决策判断。 作为中国领先的数字身份安全产品和解决方案提供商，派拉软件连续入选Gartner《身份治理与管理市场指南》全球代表厂商。据了解，此次是派拉软件第三次入选Gartner身份安全领域的全球性报告，充分彰显了派拉软件在数字身份领域的专业性、前瞻性和市场认可度。 据悉，在《身份治理与管理市场指南》中，Gartner 将 IGA 定义为管理数字身份生命周期并管理跨本地和云环境的用户访问的企业解决方案。 为了实现这⼀目标，IGA 工具需聚合并关联分布在整个IT环境中的不同身份和访问权限数据，以增强对人员和机器的访问控制，其目的是管理组织内本地和云上⼀系列复杂的访问权限和身份存储库。 指南中还指出，身份是网络安全态势的核心基础。企业安全和风险管理者应在其IAM计划中采用身份优先的安全方法，将其组织定位为主动而非被动。 这与派拉软件提出的以“身份优先”构建企业和组织的安全能力的理念非常一致，通过汇聚企业全域身份信息，打造统一数字身份管理平台，实现身份与权限的集中管理、高效访问、有序变更、持续安全。 并在此基础上，逐渐衍生出更多新安全产品与能力，为企业和组织提供贯穿网络接入安全、身份与访问控制安全、API安全以及数据访问控制安全等全方位安全服务。 目前，派拉软件已成功服务2000+客户，并在此基础上形成了一套安全、有效的身份治理与管理的咨询体系和实施方法论。 未来，派拉软件将继续专注数字身份安全，不断创新融合AI（人工智能）、大数据、ML（机器学习）等新技术，基于“身份优先”的零信任架构，为企业和组织提供更加安全、完善的全域身份治理和安全访问控制、特权访问管理、数据访问控制等产品和解决方案，致力于为企业和组织的数字化转型构建安全底座并赋能业务创新变革，携手共建安全、高效、极致体验的数字世界。

2023-10-16 16:26:36419阅读

再获国家级认可！派拉软件通过国家级专精特新“小巨人”企业复审

近日，上海市经济和信息化委员会公示了第二批工信部专精特新“小巨人”复核通过企业名单。7月21日，第二批专精特新“小巨人”复核名单经过公示期，派拉软件成功通过国家级专精特新“小巨人”企业复核与认定，再度荣获国家级认可，成为国家级专精特新“小巨人”企业。 据了解，国家级专精特新“小巨人”企业每三年会重新进行一次认定。而早在2021年，派拉软件就成功入选国家级专精特新“小巨人”企业，也是当时上海唯一一家入选的信息安全公司。此次，派拉软件通过复审，再证实力，也表明派拉软件国家级专精特新“小巨人”企业称号是经得起时间的考验。 众所周知，国家对专精特新“小巨人”的定位是以专注铸专长、以精益出效益、以特色赢市场、以创新谋发展，既是专精特新企业的核心力量，也是进一步发展成为单项冠军企业的基础。 随着我国经济转向高质量发展阶段，要求企业从强调规模扩张转变为创新能力的提升，“小而精”代替“大而全”，以更强的内生动力实现经济发展效益、可持续性的提高，推动整体社会全面进步。 专精特新“小巨人”企业作为中小企业中最具活力的群体，位于产业链核心环节，承载了解决关键领域核心技术“卡脖子”困境的关键任务，培育“小巨人”企业是接下来我国经济结构转变和未来产业布局的战略重点。 派拉软件作为国家级专精特新“小巨人”企业，15年来始终专注于数字身份安全自主研发，秉承着“小而精”的发展理念，以“创新”为企业基石，不断深耕突破数字身份安全新领域与新技术，逐渐衍生出更多新安全产品与能力，为企业和组织提供贯穿网络接入安全、身份与访问控制安全、API安全以及数据访问控制安全等全方位安全服务。 从派拉软件15年的发展历程和对数字身份安全的坚持，可以看到派拉软件正在用实际行动挥写着“专注铸专长、精益出效益、特色赢市场、创新谋发展”的专精特新发展之路。此次，派拉软件再获国家级认可，也是一次“水到渠成”。 未来，派拉软件将继续秉承初心，坚持走“专注铸专长、精益出效益、特色赢市场、创新谋发展”的专精特新发展之路，致力于为“数字中国”与国家信息与网络安全发展贡献力量。

2023-10-16 16:25:46372阅读

从《孤注一掷》到攻防对抗进行时，网络安全是一场没有终点的对抗赛

一条网络链接，一次点击，一场小赢，一颗贪心，一次充值，一颗不甘心，一场人去财空的骗局…… 近日，电影《孤注一掷》引发观影热潮。这是国内首部曝光境外网络诈骗全产业链内幕的现实题材作品，也让我们切实地体会到网络安全问题关乎每一个人。 过去，我们总以为网络威胁离我们很远，或是自认为不会上当受骗。然而，我们往往高估了自己，却又低估了那些网络不法分子。 就像电影《孤注一掷》中，高智商程序员被骗到境外诈骗集团，无法逃脱；深陷骗局泥潭的硕士毕业生，最终走上绝路…… 这部以现实为题材的影片，敲响了我们每一个人心中的警钟，也引发了我们对网络安全的高度关注。 而谨防网络诈骗事件的发生，除了要提升普通大众的网络安全意识之外，为大众提供服务的企事业组织更需要加强自身服务的网络安全与可靠性。 况且，从每年曝出的网络勒索事件来看，保护网络安全同样关乎着企业自身财产安全，甚至是企业的生死存亡。 近期，攻防对抗“正在进行时”。这正是一次企业组织检测自身网络安全能力的大好时机。如何在这场攻防演练中，向企业自身以及用户证明自己的网络安全能力，是企业作为蓝队防守方的必达使命。 1、身份安全是网络安全的第一道防线 身份安全作为网络安全的第一道防线。无论是在网络诈骗中，还是在企业攻防演练中，身份信息都是被攻击的首要目标。 据权威调查数据显示：85%的数据泄露涉及人的因素，而其中61%的数据泄露牵涉到登录凭证。无论是人还是登录凭证，都和身份安全有着紧密联系。 因此，企业如何有效防范和应对各种围绕“身份”展开的攻击，从而提升企业身份安全水平，保障企业自身与用户的信息与数据安全，是企业在这场攻防演练中需要重点关注的环节之一。 2、常见的身份攻击手段与防范建议 派拉软件列举了企业目前面临的部分最常见的身份攻击手段，并给出对应的防范建议： 01 钓鱼攻击 钓鱼攻击是指攻击者伪装成受信任的主体，通过发送看似来自可信、合法来源的电子邮件为“诱饵”，试图欺骗受害者打开，即“上钩”，从而发生网络钓鱼攻击。 很多情况下，你可能没有意识到自己已被入侵，这使得攻击者可以在没有任何人怀疑恶意活动的情况下追踪同一组织中的其他人。 从而，将攻击范围扩大的整个企业。这种攻击结合了社会工程和技术，通常用于窃取用户数据，包括登录凭证、信用卡号等。 针对这类型的攻击，企业可以结合派拉软件多因素身份认证，也是企业抵御网络钓鱼攻击的最有效方法。因为它在登录敏感应用程序时，添加了多重验证。 即使拥有了员工账号密码，多因素身份认证平台也会阻止攻击者使用员工被泄露的凭证。因为仅凭这些还不足以进入企业重要应用系统，还需要结合短信验证、人脸识别等多种加强认证方式进行验证。 其次，企业还应加强实施严格的密码管理策略。例如，结合派拉软件统一身份管理平台，自动设置账户密码复杂度要求，并要求员工定期更改密码，以及不允许在多个应用程序中重复使用一个密码等。 02密码攻击 密码通常会被用作一种个人访问计算机系统或应用程序的身份验证工具。因此，针对密码的攻击是攻击方常采用的攻击手段之一。 目前用于执行密码攻击的技术很多，如使用字典、暴力破解，基于密码规则，尝试密码猜解等。 其中，字典攻击是一种使用常用单词和短语（例如字典中列出的单词和短语）来尝试猜测目标密码的技术；暴力破解则是使用有关个人或其职位的基本信息来尝试猜测他们的密码。例如，姓名、生日等的不同组合。 针对这类型的密码攻击，最有效的方法是设置锁定策略，使得攻击者在一定次数的失败尝试后，平台会自动锁定对设备、网站或应用程序的访问，从而禁止攻击者再次访问。 若已经制定了锁定政策，并发现帐户由于登录尝试次数过多而被锁定，系统即刻提醒改密操作，甚至强制执行。 当然，企业存在的弱密码、默认密码往往是极易被攻克的。所以，企业统一身份管理系统具备定期监测企业高危账户密码功能，并及时提醒也是必不可少的。 03撞库攻击 撞库攻击通常是使用自动化工具在不同的网站和服务上尝试大量用户名和密码组合来找到对应的匹配项。 通俗理解就是攻击者通过收集已泄露的用户和密码信息，生成对应的字典表，尝试批量登陆其他系统应用后，得到一系列可以登录的账号密码。 这样的攻击能成功往往是由于很多用户在不同系统应用中使用的是相同的账号密码，因此攻击者可以通过获取用户在A网站的账户尝试登录B网址，也就是进行撞库攻击。 撞库攻击取决于密码的重复使用。因此，结合身份管理平台，利用技术手段强制员工用户执行严格的账户密码管理策略，是企业有效防范该类攻击的有效方法之一。例如，针对密码强度、定期修改密码等； 此外，加强人机防控策略，将包括登录、注册、找回密码、获取短信验证码等接口中“机器”的访问请求和“真实的人”区别出来；加强重要系统的二次认证等。 04注入攻击 注入攻击是指攻击者使用恶意代码注入或感染 Web 应用程序以检索个人信息或破坏企业系统的过程。 攻击者诱使企业系统认为该命令是由管理员发起的，并盲目地处理该命令。常见注入攻击有SQL注入、代码注入等。 针对注入攻击，你会发现用户输入是它的主要来源。所以控制用户对应用程序的输入，则可以很好地避免注入攻击。 因此，企业可以采取最小权限模型，结合身份管理，通过控制管理员权限来限制外部攻击者获得该账户权限时的访问，并结合使用参数传值、基础过滤和二次过滤、漏洞检测工具、安全参数、数据库加密等策略。 除上述列举的4大攻击之外，像会话劫持、恶意软件攻击等等，几乎所有场景攻击利用最终都需要用到身份。这也是为什么身份安全一直以来都是企业安全的基础设施。 而随着网络边界的日益模糊，身份被定义为新的安全边界。网络架构有了新发展，攻防趋势也随之变化。过去基于威胁特征“一刀切”的黑名单机制将逐渐被以“身份”为中心的零信任安全架构为代表的白环境分析手段替代。 企业组织除了采取攻防演练来提升对网络攻击的应对防范能力之外，也需要跟随技术发展步伐，与时俱进创新变革企业安全管理架构； 在满足企业数字化安全发展需求，赋能业务价值创新的同时，为用户服务提供足够的安全保障，为这场没有终点的网络安全对抗赛随时随地做好准备！

2023-10-16 16:24:52614阅读

派拉软件荣获中国信通院多项殊荣，持续为数字身份安全“立言著书”

2023年8月25日，由中国信通院和中国通信标准化协会联合主办的“SecGo 2023云和软件安全大会”在北京圆满举行。 本次大会邀请了来自政府机构、云计算、安全领域专家学者，以及知名企业代表，围绕产业发展、关键技术、行业实践等角度同台论道。 派拉软件作为本次大会特邀嘉宾，携手派拉软件老客户海信集团亮相本次大会，并带来《零信任体系下的统一身份平台建设之路》的主题分享。 通过海信集团亲临现场，详细讲述如何一步步成功打造零信任体系下，全球数十万员工的统一身份安全管理平台，让在场的嘉宾再次认识到以“身份优先”落地实践零信任的思路是切实可行的，也是最佳的实践路径之一。 派拉软件也非常荣幸的凭借海信集团零信任体系下的统一身份平台建设成功案例，斩获了本次大会中国信通院颁发的“2023安全守卫者计划优秀案例奖”。 会上，除了汇集了优秀案例分享之外，重头戏还当属一系列隆重发布的技术标准与白皮书。而派拉软件正是其中系列零信任标准与《零信任数据安全白皮书》的参与编撰者之一。 派拉软件技术研发总监严益昌更是作为其中的突出贡献者，荣获本次大会中国信通院颁布的“卓越贡献奖”。 事实上，除了严益昌之外，派拉软件多位技术专家都曾担任多项白皮书与技术标准的撰写者，并获得殊荣。这也得益于派拉软件成立15年来的企业价值宗旨与文化。 一直以来，派拉软件始终以技术为立身之本，并不断积极地为国内数字身份安全领域“立言著书”。 无论是数十个国标、行标的撰写；还是各类安全白皮书的参与；亦或是派拉软件创始人与派拉软件三大技术专家共同主笔，填补国内「身份与访问控制领域」原创空白的首部专业书籍——《新一代身份和访问控制管理》； 派拉软件持续用实际行动为国内安全业界的技术发展与方向，贡献作为安全软件厂商的实践经验分享与总结。 未来，派拉软件将继续依托更多客户数字身份安全服务实践经验与技术研发经验，持续践行网络强国、数字中国的使命与责任，加强与行业内相关标准组织与机构的合作，共同推进以“身份优先”的零信任、数字身份安全等标准研制和产业落地，不断为中国网络安全领域的高质量发展创新赋能！

2023-10-16 16:23:19580阅读

权威认证！派拉软件API产品接连入选Gartner三份报告

近日，国际权威分析机构Gartner连续发布了《Market Guide for API Management, China》与《Tool: Vendor Identification for API Solutions in China》两份报告，旨在为中国企业组织相关IT人员确定中国市场上不同类型的API管理解决方案，并为API产品选型提供专业指导。 派拉软件凭借API产品技术实力与全面的API全生命周期管理与API安全网关防护能力接连入选两份报告的代表厂商。 这也是派软件API产品继入选Gartner《2023中国ICT技术成熟度曲线》报告中的“全生命周期API管理”技术代表厂商后，又两次获权威认证！ 01数字化加速API规模化、资产化 正如报告中所言，有效的API管理解决方案对于数字化转型与企业组织构建生态系统和应用安全至关重要。企业组织可以使用API来实现架构现代化；有效整合系统、服务和合作伙伴；创建数据和服务并使其货币化。 正是在这个过程中，API已经逐渐成为企业的一种资产，也是企业数据资产的重要传输通道。 但与此同时，企业API安全风险也在成指数级增长。API安全对于企业组织而言已然是最关键的安全防护环节之一。 而企业要想保障如此规模化、资产化、货币化的API安全，就必须借助相应的API 管理软件，从而有效的管控成百上千甚至上万的API安全，使组织能够及时、快速地发现、设计、构建、管理和保护API。 02派拉软件全生命周期API管理平台 派拉软件自主研发的全生命周期API管理平台，其管控能力与Gartner对全生命周期API管理定义不谋而合，即包括规划、设计、实施、测试、发布、运营、消费、版本控制和退役全生命周期API管理。 此外，它还结合了开发人员门户、API 安全网关、API 设计、开发和测试工具以及策略管理和分析，使API生态系统能够发布API、确保安全操作并收集数据以进行监控和业务价值报告。 整个API管理平台通过采用身份认证和授权、WAF渗透测试防护、数据加密、数据权限管控、访问控制、操作日志全追踪、安全监测等多重层次的安全机制。 在实现企业各业务系统集成、互联互通的同时，为企业提供API自动发现、API规划、API设计、API实施、API测试、API发布、API授权、API审批等全生命周期安全管控，保护API的机密性、完整性、可用性、不可篡改性，满足企业合法合规要求，保障企业网络安全和数据安全。 平台在技术底层采用先进的微服务架构部署，满足私有云、公有云、混合云等多种方式部署；具备高性能、热部署、分布式、多租户、强大的安全防护、AI智能风险识别、全生命周期管理的特性。通过API平台保障业务系统集成的便利性、安全性、高效性。 在线热部署能力保障企业在API部署过程中的业务的连续性，实现无感化部署；基于智能风险监测模型、大数据分析引擎、API安全网关，实现API风险动态感知、策略精准下发、API实时防护、API资产自动检测梳理等功能，达到保护数字化转型的集成和开放安全，并全面提升企业组织业务应用的可组合性、安全性和业务弹性，加速业务创新管理运营。 未来，派拉软件将继续不断完善API全生命周期安全管理平台技术与功能，融入更多新技术、新能力，通过建立强大的智能学习模型，不断为API动态安全管控、全生命周期管理提供全方位保障，助力企业数字化转型不断赋能。

2023-10-16 16:22:22572阅读

派拉软件再添身份安全新能力，带你制胜“人机大战”

电影《黑客帝国》通过讲述主角——一名网络黑客与名叫“母体”的计算机人工智能系统之间的“真实”较量，为我们呈现了一场精彩的、跨世纪的“人机对决”大战。 这部1999年就上映的电影，在当时无疑是一次跨世纪的想象。然而，数字时代的今天，我们已然发现这样的想象正在一步步走向现实。 我们离“黑客帝国”的距离还远吗？ 回到当下，我们发现，其实“人机大战”早已在现实生活中不断上演。与电影《黑客帝国》不同的是，现实中的“人机大战”往往都是“人人大战”，是有人在背后操控机器或工具发起攻击或防护，也就是我们熟知的攻防对抗。 随着AI技术的不断完善，不法分子借助机器/工具，发起大规模、快速、自动化攻击越来越频繁。根据Distil Networks发布的报告显示，机器流量约占全网流量的40%，其中恶意机器流量约占20%。 因此，企业/组织作为防守方，如何快速、有效识别人机并进行管控，是应对许多网络安全攻击的有效手段之一。而事实上，据权威调查数据显示，在网络安全攻击中，80%都是源于身份攻击。 基于此，派拉软件身份安全管理平台再添新能力，在用户注册、登录、登录短信发送、密码找回等身份安全场景中，注入人机识别能力，有效加强企业/组织身份威胁检测与防护。 以遭遇攻击最多的用户登录场景为例，通常这里的攻击需要借助自制的自动化工具，也可以理解为机器人。那机器人怎么攻击呢？ 我们都知道，用户登录需要的关键信息是账号与密码。不法分子要获取这些账号与对应密码的方式有很多种。其中，人机通常是最常用，也是最便捷的一种方式。 成熟的攻击者往往会借助人机有效的在登录各场景中发起各种攻击，如验证码爆破，账号、密码爆破，滑块验证爆破等等。 而在所有的人机攻击中，验证码的爆破识别属于第一步。为什么这么说呢？因为很多传统产品往往会通过对认证登录监测页面强制增加二次认证来降低第一步的人机攻击。 也就是说在你进入系统登录界面之前，就开启一次验证。这种一刀切的方法，的确可以降低人机攻击的行为，但也会造成很大的误杀。 为了解决这种一刀切带来的问题，派拉软件很早提出了多因素身份认证平台，通过设置各种潜在的威胁场景策略，只有当用户触发威胁策略时，才开启加强验证保护。比如，在你密码多次错误后，自动开启加强验证，如滑块、短信验证等。 但这里其实也存在很多问题。比如，不法分子通过机器人不断的进行恶意登录发短信，你想想要是你领导不停的收到验证短信，是不是会抓狂？ 所以，从一开始就识别出人机，并在整个登录场景中持续人机监测才是真正有效解决问题的关键。 为此，派拉软件身份安全再增新能力。 当有人开始访问企业应用系统时，系统通过内置派拉软件UEBA能力，自动采集有关用户的行为指标，比如：UA、分辨率、操作系统，点击坐标、鼠标滑动速度、加速度、离散度等15个指标，并对采集到的数据进行统计分析，绘制出当前用户设备的行为路径分析模型。 我们都知道，大多数情况下，机器只能按照预设的指令执行攻击行为，不能处理预设以外的交互信息。UEBA系统通过对人机在应用系统的登录、注册流程中不同操作行为的研究分析，提出以统计模型为核心的人机行为检测方法。 当采集到的行为数据符合正常用户设备、行为时，系统自动放行用户正常进入下一步操作，也就是系统正常账号密码登录界面。但若出现异常，则启动进一步验证或直接阻截。 整个人机行为检测与识别会贯穿整个用户登录过程中，即从用户通过设备点击系统应用链接那一刻，到进入登录界面，再到输入账号密码、忘记密码等，以及最后的登录成功。 其中的每一个操作、行为都会自动无感化的进行人机监测识别与分析，从而加强全流程的用户登录场景下的安全防护。 杀手锏1：动静结合的分析模型 当然，这样每一步都要进行无感化的人机检测，肯定要保证系统的准确性。 为此，派拉软件通过对人机攻击场景的深度研究发现，在传统利用统计算法进行模型训练的基础上，对UEBA模型设计方面加入了两部分优化： 一方面，UEBA在模型训练阶段加入模型调优步骤，通过配置超参的方式，来动态调整统计阈值，以此平衡因极端值造成的统计模型偏差； 另一方面，根据模型训练结果结合安全经验，提供静态的安全阈值。安全阈值在检测中作为基线阈值来辅助动态统计阈值完成人机行为识别。 通过这种动静结合的方式，不仅有效提升模型训练阶段的准确度，同时还能提升模型检测效率。 杀手锏2：网关代理，应用0改造 保证了人机检测的准确率，在系统部署层面，派拉软件也提出了更加简便、低成本、无缝对接的轻量改造交付方案。 我们都知道在人机行为识别场景中，二次验证是必不可少的环节。人机模型对当前实体（设备、用户以及来源IP等）进行异常识别，一旦发现当前实体（设备、用户以及来源IP等）存在人机攻击行为，系统就会调用二次验证，对当前实体进行增强认证。 传统方案中，二次验证部分需要被检测的应用来配合实现。这就涉及到人机检测模型与被监测应用的对接改造。所以，在人机识别方案中，不仅要考虑到企业的安全检测需求，同时还需要考虑能否在复杂的应用场景中完成轻量交付。 派拉软件UEBA人机方案在设计中，充分考虑到应用服务的差异性，提出网关组件方案，由网关承载被监测应用与人机模型的交互，以此解决因应用老旧或改造工作量大导致人机模型方案无法落地使用问题，让企业实现真正的无缝对接、轻量部署。 当然，这样的身份安全防护能力与人机识别能力还可以用于恶意注册、批量注册等系列场景中。实际上，派拉软件身份安全检测与防护能力已经覆盖了账号注册、用户登录、单点认证、应用访问，也就是用户应用系统访问的全过程。 而派拉软件也在持续基于2000+客户身份安全建设与服务实战经验，贴合客户实际业务安全需求，针对性的不断完善不同业务应用场景下身份安全检测AI大模型，通过持续的学习，不断优化。  

2023-10-16 16:20:50776阅读