RSA创新沙盒盘点 | Cycode——软件供应链安全完整解决方案

RSAConference2022将于旧金山时间6月6日召开。大会的Innovation Sandbox（沙盒）大赛作为“安全圈的奥斯卡”，每年都备受瞩目，成为全球网络安全行业技术创新和投资的风向标。

前不久，RSA官方宣布了最终入选创新沙盒的十强初创公司：Araali Networks、BastionZero、Cado Security、Cycode、Dasera、Lightspin、Neosec、Sevco Security、Talon Cyber Security和Torq。

绿盟君将通过背景介绍、产品特点、点评分析等，带大家了解入围的十强厂商。今天，我们要介绍的是厂商是：Cycode。

一、公司介绍

Cycode成立于2019年，总部位于以色列特拉维夫，公司的首席执行官兼创始人为Lior Levy，他在网络安全攻防方面拥有十多年的经验，曾是以色列国防部的网络架构师兼安全研究员，如图1所示。该公司专注于软件供应链安全，开发了业界首个源代码控制、检测和响应平台[1]，并于2021年11月完成了5600万美元的B轮融资。

图1 CEO：Lior Levy

Cycode提供一套完整的软件供应链安全解决方案，可保护软件开发生命周期（Software Development Life Cycle, SDLC）各个阶段的可见性、安全性和完整性。其解决方案可以帮助安全团队在不影响项目开发进度的情况下显著地降低源代码泄露的风险[2]。2021年5月，该公司发布了自己的知识图谱[3]，Cycode通过与DevOps工具和基础设施提供商集成，使用一系列扫描引擎查找硬编码机密、代码错误配置、代码泄露等安全问题来降低SDLC各阶段的安全风险。

二、背景介绍

在软件开发方面，开发生产效率和软件安全性之间一直存在着斗争，随着开发效率的提高，应用程序的安全需求会越来越多。在过去的10年中，软件开发生产效率显著提高，我们已经进入到一个拥有虚拟机、容器和微服务架构的云原生世界，但软件应有的安全措施并没有到位，这也导致了近些年软件供应链攻击事件层出不穷[4]。

软件供应链攻击是指在软件开发、交付和使用的任何阶段破坏软件及其相关组件的一种行为，攻击者通常会未经授权访问开发环境和基础设施，包括版本控制系统、工件注册表、开源存储库、持续集成管道、构建服务器或应用程序服务器等，来达到修改源代码、脚本和包以及建立后门来窃取受害者环境中数据等目的。潜在软件供应链安全威胁见图2[4]。

软件供应链安全形势逐渐严峻，代码被篡改及敏感数据泄露会给软件开发造成严重影响，近期软件供应链攻击具有的代表性例子有：2020年SolarWinds攻击事件[5]、2020年NetBeans IDE攻击事件[6]、2021年Kaseya攻击事件和2021年Codecov攻击事件[7]。Gartner报告指出[8]，恶意代码注入威胁次数的增加使得保护内部代码及外部依赖项（开源和商业软件）变得越发重要，到2025年全球45%组织机构的软件供应链将遭到攻击，这个数据将会是2021年的三倍。

图2 潜在的软件供应链安全风险

三、产品介绍

据Cycode公司官网描述，该公司目前提供一套完整的软件供应链安全解决方案，可为客户的整个软件开发生命周期提供可见性、安全性和完整性的保护。Cycode将该解决方案整合到了一个平台之上，目前该平台主要有五个关键功能点&