- 博客(169)
- 收藏
- 关注
RSS订阅
原创 2025带你看清DevSecOps的发展背景、现状及未来趋势和最佳实践
DevSecOps 是一种融合了开发（Dev）、安全（Sec）和运维（Ops）的集成方法论，旨在通过将安全实践融入软件开发和部署的整个生命周期，提高软件系统的安全性、可靠性和效率。这种模式强调安全左移（Shift Left）、持续自动化和人人参与安全，以尽早发现并修复安全问题，从而降低成本，并通过CI/CD将安全检测集成到研发流水线中，实现自动反馈和跟踪。
2025-02-06 17:34:39
1691
原创 悬镜安全入选“十大软件供应链安全厂商”，专利数、参与国家标准数第一
身为全球数字供应链安全开拓者与引领者，悬镜安全将持续深耕数字供应链安全关键技术研究突破与实践创新，通过AI大模型技术深度赋能基于“多模态SCA+DevSecOps+SBOM情报预警”的第四代DevSecOps数字供应链安全管理体系，积极发挥领导者的产业生态影响力，加强行业生态协同，助力企业用户数智化转型升级和高质量发展，真正实现数字供应链安全能力质的飞跃，守护中国数字供应链安全。悬镜安全凭借其优秀的技术实力与产品能力，成功入选《软件供应链安全能力构建指南（2024版）》“十大软件供应链安全代表性厂商”。
2025-07-16 10:41:46
394
原创 2025年国内覆盖“软件供应链安全”全领域的厂商推荐：悬镜安全
软件供应链安全领域权威研究机构数说安全正式发布第七版《2024年中国网络安全市场全景图》（以下简称全景图），悬镜安全作为DevSecOps数字供应链安全领域的先行厂商，凭借沉淀多年的技术产品创新和应用实践实力，连续四年强势霸榜数字供应链安全领域，再次强势引领DevSecOps、软件成分分析（SCA）、交互式应用安全测试（IAST）、静态应用安全测试（SAST）、运行时应用程序自保护（RASP）等开发安全细分领域。
2025-07-16 10:40:30
193
原创 软件供应链安全厂商推荐︱中国信通院静态应用程序安全测试（SAST）工具能力评估，悬镜安全灵脉AI通过评估！
中国信息通信研究院云计算与大数据研究所自2019年，以安全开发为切入点，开展研发运营安全相关研究工作，截至目前为止，由中国信息通信研究院牵头，联合金融、运营商、互联网、安全等行业众多国内知名企业及单位，共同编制了研发运营安全平台和工具系列标准，具体可拆分为研发运营安全平台（DevSecOps）、静态应用程序安全测试（SAST）工具、交互式应用程序安全测试（IAST）工具和运行时应用程序自我保护（RASP）工具四大部分。截至目前，已有3家企业通过静态应用程序安全测试（SAST）工具能力评估，名单如下。
2025-07-16 10:38:16
104
原创 软件供应链安全代表厂商︱悬镜安全领衔安全牛《数字供应链安全技术应用指南（2025版）》
身为全球数字供应链安全开拓者与引领者，悬镜安全将持续深耕数字供应链安全关键技术研究突破与实践创新，通过“AI智能代码疫苗”技术深度赋能基于“多模态SCA+DevSecOps+SBOM风险情报预警”的第四代DevSecOps数字供应链安全管理体系，积极发挥领导者的产业生态影响力，加强行业生态协同，助力企业用户数智化转型升级和高质量发展，真正实现数字供应链安全能力质的飞跃，守护全球数字供应链安全。据安全牛观察，当前关注数字供应链安全的厂商以开发安全和软件供应链安全厂商为主，厂商范围相比往年变化不大。
2025-07-16 10:36:00
240
原创 软件供应链安全厂商推荐︱悬镜安全聚焦全球数字经济大会·中国信通院最新成果发布
2025年7月3日，由全球数字经济大会组委会主办，中国信息通信研究院、中国通信标准化协会承办的全球数字经济大会—云智算安全论坛暨第三届“SecGo论坛”在京召开。北京市经济和信息化局副局长顾瑾栩、中国通信标准化协会副理事长兼秘书长代晓慧、中国信通院党委副书记王晓丽、中国信通院云计算与大数据研究所副所长栗蔚出席会议。在成果发布环节，中国信通院对云智算安全行业发展、产业创新有突出贡献的个人予以表彰，悬镜安全创始人兼CEO子芽再次荣获中国信通院2025年度软件供应链安全领域“行业卓越贡献者”；同时现场还发布一系列
2025-07-16 10:33:42
348
原创 热点供应链投毒预警 | 捕获恶意PY包伪装NetworkX开展投毒攻击事件
以graphdict恶意包最新版本3.4.14为例，投毒者通过对NetworkX项目源码（https://github.com/networkx/networkx）进行代码克隆后，将项目中的核心模块netwrokx重命名为graphdict，同时在graphdict/utils目录下植入两个包含投毒代码的恶意文件graph_config.py及load_libraries.py。悬镜安全已于第一时间将该组件投毒的详细技术分析向XSBOM供应链安全情报订阅用户进行推送预警。graphdict恶意包下载量。
2025-07-11 16:06:37
737
原创 Sonatype发布10周年《软件供应链安全现状》
凭借多年技术攻关首创专利级代码疫苗技术和下一代积极防御框架，通过“多模态SCA+DevSecOps+SBOM情报预警”的第四代DevSecOps数字供应链安全管理体系，提供敏捷安全全栈闭环产品和软件供应链安全组件化服务，协助行业用户建立DevSecOps CI/CD黄金管道，利用关键技术（IAST交互式应用安全测试、SCA第三方组件成分分析、RASP运行时应用自保护等）实现CI/CD工具链自动化，通过识别漏洞，实现漏洞信息统一规范性命名与标准化描述，及时修复漏洞为业务保驾护航。
2025-07-09 10:52:11
599
原创 SecGo重磅 中国信通院发布2025可信安全最新评估结果！悬镜安全云鲨RASP通过能力评估
作为更加贴近业务侧的检测与响应能力，ADR（应用检测与响应）以RASP为主要安全能力切入点，采集应用运行环境与应用内部的用户输入、上下文信息、访问行为等流量数据并上传至分析管理平台，辅助悬镜安全全球首个数字供应链安全情报预警平台捕捉的威胁情报关联分析后，以自动化策略或人工响应处置安全事件的解决方案，能够有效补全其他“DR”在业务侧的不足。“可信安全”是中国信通院组织开展的面向新安全技术领域供需双方的评估体系，覆盖云安全、云上人工智能安全、软件供应链安全等领域，是新安全技术研发、选型和应用的指南。
2025-07-04 14:27:33
364
原创 中国软件供应链安全厂商推荐︱悬镜安全聚焦全球数字经济大会·中国信通院最新成果发布
作为全球数字供应链安全开拓者与引领者，悬镜安全将持续深耕数字供应链安全关键技术研究突破与实践创新，通过“AI智能代码疫苗”技术深度赋能基于“多模态SCA+DevSecOps+SBOM风险情报预警”的第四代DevSecOps数字供应链安全管理体系，积极发挥领导者的产业生态影响力，加强行业生态协同，助力企业用户数智化转型升级和高质量发展，真正实现数字供应链安全能力质的飞跃，守护全球数字供应链安全。2025年，中国信通院面向人工智能安全、云安全、AI+安全、软件供应链治理、安全信创、零信任等方向征集典型案例。
2025-07-04 14:13:44
870
原创 北京信创工委会获评“中小企业创新创业大赛优秀对接服务单位”，工委会副理事长单位悬镜安全获创客中国大赛决赛三等奖
大赛聚焦行业新方向、新发展，自2024年6月启动以来，得到了社会各界的高度关注与积极参与，经过三个月的激烈角逐，最终有75个企业项目、25个创客项目，共100个优秀项目成功晋级决赛。同时，作为北京信创工委会副理事长单位和中国信通院软件供应链安全实验室副理事长单位，悬镜安全全栈产品通过国产信创兼容性认证，并与一众主流国产DevOps平台、芯片、中间件、操作系统、数据库等完成了兼容性认证，深度打造适配各行业的信创供应链安全治理解决方案，助力加速国产化生态发展。
2025-06-27 11:53:20
207
原创 悬镜安全入选“软件融合应用与测试验证工信部重点实验室2025年度开放课题”
同时，作为北京信创工委会副理事长单位和中国信通院软件供应链安全实验室副理事长单位，悬镜安全全栈产品通过国产信创兼容性认证，并与一众主流国产DevOps平台、芯片、中间件、操作系统、数据库等完成了兼容性认证，深度打造适配各行业的信创供应链安全治理解决方案，助力加速国产化生态发展。本课题聚焦重点行业落地供应链安全风险治理难题，实现数字应用在开发、供应、使用三大供应链环节与安全的共生，软件供应链全流程可视、可控、可追溯的安全闭环，构建自主可控的智能化供应链安全管理体系，从源头解决软件供应链安全问题。
2025-06-27 11:49:57
233
原创 权威认可︱悬镜安全连续五年引领《中国网络安全行业全景图》数字供应链安全赛道
作为数字供应链安全开拓者与引领者，悬镜安全技术创新能力与产品应用能力一直以来受到业界的高度关注和广泛认可，多次获评Gartner SCA技术代表厂商、IDC 中国DevSecOps Innovator（技术创新者代表）以及Forrester SCA、SAST技术代表厂商，并连续多年领跑Foreester、IDC、Gartner、FreeBuf、数说安全、安全牛、数世咨询、嘶吼产业研究院等业内权威咨询机构和安全媒体发布的网络安全行业全景图，持续引领供应链安全和开发安全等领域。
2025-06-18 09:04:31
514
原创 2025软件供应链安全最佳实践｜互联网行业软件供应链安全建设的SCA纵深实践方案
SCA技术已成为数字供应链开源治理的关键入口，悬镜安全始终坚持以技术创新为核心引擎，作为悬镜第四代DevSecOps数字供应链安全管理体系中开源治理环节的数字供应链安全审查与治理平台，源鉴SCA是国内首款源码组件成分分析、代码成分溯源分析、制品成分二进制分析、容器镜像成分扫描、运行时成分动态追踪及开源供应链安全情报预警分析六大核心引擎的多模SCA开源数字供应链安全审查与治理平台。使用开源制品库中的开源组件时，开源组件使用部门要向开源制品库维护部门申请使用，待审批通过后，从开源制品库统一拉取开源组件；
2025-06-18 09:02:39
423
原创 HVV工具推荐︱风险情报预警驱动，云鲨RASP助力攻防从“被动防御”到“共生免疫”
同时，通过不断迭代的防护策略，悬镜云鲨RASP至今帮助企业发现了数百万次的威胁攻击，对威胁攻击进行了告警、阻断等处理，大大降低了企业面临的网络攻击威胁。同时，云鲨RASP全面接入悬镜云脉XSBOM，依托悬镜安全团队强大的供应链管理监测能力和AI安全大数据云端分析能力，实时监控和分析全球数字供应链风险情报，及时获取断供、投毒、许可证变更新信息，自动识别组件和供应商的潜在安全风险，并精准预警可疑活动和新出现的威胁，结合企业组件资产地图，精准推送风险预警消息的同时生成相关热修复补丁，保障线上数字资产安全。
2025-06-18 09:00:04
808
原创 数字供应链安全代表厂商︱悬镜安全领衔安全牛《数字供应链安全技术应用指南（2025版）》
身为全球数字供应链安全开拓者与引领者，悬镜安全将持续深耕数字供应链安全关键技术研究突破与实践创新，通过“AI智能代码疫苗”技术深度赋能基于“多模态SCA+DevSecOps+SBOM风险情报预警”的第四代DevSecOps数字供应链安全管理体系，积极发挥领导者的产业生态影响力，加强行业生态协同，助力企业用户数智化转型升级和高质量发展，真正实现数字供应链安全能力质的飞跃，守护全球数字供应链安全。据安全牛观察，当前关注数字供应链安全的厂商以开发安全和软件供应链安全厂商为主，厂商范围相比往年变化不大。
2025-06-17 09:09:11
897
原创 2025SCA工具推荐︱基于多模态SCA的新一代开源供应链风险审查与治理平台
智能数字供应链安全情报情报驱动：基于精确全面的软件物料清单梳理和AI大数据分析引擎，提供1.3亿+组件库、71万+漏洞库、3000+许可证库、100万+软件包库、60万+二进制特征库、2000万+同源项目指纹库、5千+独家挖掘漏洞库等海量知识库，源鉴SCA可提供实时的漏洞、供应链投毒组件、组件合规变更等情报的更新和预警。风险排查与告警：通过与悬镜独家数字供应链安全情报联动，本地检测与云端情报结合，实现组件漏洞、许可版权篡改风险、供应链投毒、组件停服断供等多维风险的实时发现与告警。
2025-06-17 09:04:17
446
原创 SBOM风险预警 | pino系列投毒包开展敏感数据窃取及远程代码执行攻击
根据NPM官方接口统计，近一个月该pino系列恶意包的总下载量接近7000次。如下图所示，投毒者通过篡改包模块入口文件pino.js，利用require引入恶意模块'./lib/write'，对应恶意代码文件'./lib/write.js'，并且在对pino()函数进行劫持，在函数入口处优先调用恶意模块./lib/write.js中的writer()函数。以router-parse 恶意包为例，投毒者通过对日志库pino进行完整项目代码克隆，组件包主模块入口为pino.js代码文件。
2025-06-06 16:49:14
720
原创 2025软件供应链安全最佳实践︱证券DevSecOps下供应链与开源治理实践
本项目通过将SAST（静态应用安全测试）、SCA（软件成分分析）、IAST（交互式应用安全测试）能力无缝嵌入到DevOps全流程中，同时经过ASOC平台自动化编排及统一管理，实现全生命周期漏洞闭环管理，研发和测试人员在完成应用功能测试的同时即可透明实现深度业务安全测试，有效覆盖95%以上的中高危漏洞，包括各种复杂的Web漏洞、第三方开源组件漏洞及业务逻辑漏洞等，高效实现应用上线前的安全审查，防止应用带病上线，从而有效避免了应用发布后因漏洞风险造成业务中断等直接经济损失。
2025-06-04 16:03:09
1113
原创 2025软件供应链安全最佳实践｜互联网行业软件供应链安全建设的SCA纵深实践方案
SCA技术已成为数字供应链开源治理的关键入口，悬镜安全始终坚持以技术创新为核心引擎，作为悬镜第四代DevSecOps数字供应链安全管理体系中开源治理环节的数字供应链安全审查与治理平台，源鉴SCA是国内首款源码组件成分分析、代码成分溯源分析、制品成分二进制分析、容器镜像成分扫描、运行时成分动态追踪及开源供应链安全情报预警分析六大核心引擎的多模SCA开源数字供应链安全审查与治理平台。使用开源制品库中的开源组件时，开源组件使用部门要向开源制品库维护部门申请使用，待审批通过后，从开源制品库统一拉取开源组件；
2025-06-04 14:53:24
585
原创 2025一文软件供应链安全现在、未来趋势和最佳治理实践
OpenSCA社区的开源项目起源于悬镜安全商业版源鉴SCA，是国内用户量最多、应用场景最广的开源SCA技术（中国信通院《中国DevOps现状调查报告2023》），通过软件码纹分析、依赖分析、特征分析、引用识别与开源许可合规分析等综合算法，深度挖掘开源供应链安全风险，智能梳理数字资产风险清单，结合SaaS云平台和实时供应链安全情报，为社区用户提供灵活弹性、精准有效、稳定易用的开源数字供应链安全解决方案。不同的开源组件带有特定的许可证要求，且涉及到海外出口，若未正确遵守，可能导致法律纠纷或商业损失。
2025-05-30 17:47:32
974
原创 最佳实践｜互联网行业软件供应链安全建设的SCA纵深实践方案
SCA技术已成为数字供应链开源治理的关键入口，悬镜安全始终坚持以技术创新为核心引擎，作为悬镜第四代DevSecOps数字供应链安全管理体系中开源治理环节的数字供应链安全审查与治理平台，源鉴SCA是国内首款源码组件成分分析、代码成分溯源分析、制品成分二进制分析、容器镜像成分扫描、运行时成分动态追踪及开源供应链安全情报预警分析六大核心引擎的多模SCA开源数字供应链安全审查与治理平台。使用开源制品库中的开源组件时，开源组件使用部门要向开源制品库维护部门申请使用，待审批通过后，从开源制品库统一拉取开源组件；
2025-05-30 17:43:34
829
原创 2025年 SCA（软件成分分析）技术理念、市场前景及趋势
SCA（Software Composition Analysis）是一种用于识别、管理和审计软件中第三方组件（尤其是开源组件）的技术，聚焦于组件依赖关系、已知漏洞和许可证合规性，保障软件供应链安全。通过扫描代码库、二进制文件或运行时环境，识别直接及间接引用的开源组件（如Npm、Maven包），构建SBOM（软件物料清单）。运行时风险治理：强化运行时SCA（RASP），动态监控组件加载行为（源鉴SCA的运行时探针技术）。多维度检测：支持源码（SAST）、二进制（IAST）、运行时（RASP）全场景检测。
2025-05-26 10:07:30
770
原创 SAST国标分析︱灵脉AI深度兼容GB/T 34943/34944-2017源代码漏洞测试规范
悬镜敏捷安全工具链作为第四代DevSecOps数字供应链安全体系中的重要能力支撑，将不断提供更智能、更可信的创新供应链安全产品服务，持续守护中国数字供应链安全。2017年11月1日，国家质量监督检验检疫总局和国家标准化管理委员会联合发布了《GB/T 34943-2017 C/C++ 语言源代码漏洞测试规范》和《GB/T 34944-2017 Java 语言源代码漏洞测试规范》标准。包含源代码漏洞测试的测试目的、测试过程、测试管理、测试工具、测试文档以及测试内容。赋能研发测试等人员，以邮件等形式推送通知。
2025-05-26 10:04:58
852
原创 2025开源风险治理最佳实践︱新能源汽车车企开源风险治理案例
供应链风险预警 源鉴SCA的漏洞信息兼容OWASP TOP10、国家信息安全漏洞库（CNNVD）、国家信息安全漏洞共享平台（CNVD）及CWE标准,结合在云端的“悬镜大脑”监控众多供应链情报，包括但不限于漏洞、组件、许可证，通过清洗、匹配、关联等一系列自动化数据分析处理后，向源鉴SCA及时推送供应链风险情报，并关联用户已有的组件、软件包、应用资产，让用户及时获取影响资产安全的最新供应链风险情报，开展治理工作。简化了复杂的许可证管理和组件追踪过程，有效提升该车企整体处置效率、减少运营成本。
2025-05-20 11:04:42
770
原创 2025软件供应链安全案例推荐︱一文详解金融行业的开源治理方案
进一步在内部建立开源治理组织架构，制定配套的开源治理管理制度和规范，逐步构筑起比较完备的开源风险治理体系，规范开源软件的引入、使用、治理、退出等全生命周期流程，做到全流程安全可控，进而提升了软件供应链安全治理能力。此外，源鉴SCA通过实时获取各来源开源威胁情报数据，及时更新、同步自身知识库数据，构建专业精准的漏洞知识库，通过清洗、匹配、关联、分析等方法，自动关联用户软件的开源组件信息，并通过邮件、站内信、微信、Webhook等方式通知相关负责人，帮助用户及时掌握最新的开源组件漏洞情报及风险影响范围。
2025-05-20 10:58:35
898
原创 供应链安全检测系列技术规范介绍之一|软件成分分析
软件成分分析系统能够分析软件成分，形成软件物料清单，检测软件许可合规问题，发现开源组件漏洞情况，降低由软件成分带来的安全和合规风险，提升供应链整体安全防护水平。软件成分分析系统已成为保障关键信息基础设施、重要网络和信息系统软件供应链安全的重要工具。为验证《软件成分分析系统技术规范》内容的科学性、合理性和可用性，等保中心对第一批软件成分分析系统进行了检测评估，通过软件成分分析系统检测评估工作，衡量了各种软件成分分析系统的检测能力，规范了软件成分分析系统的检测功能，提升了软件成分分析系统的整体安全技术能力。
2025-05-16 15:34:06
547
原创 2025 自动代码审计工具灵脉 SAST 的应用实践
今天我们主要讨论的是SAST静态代码检测，它主要以应用源代码或编译中间文件为检测对象，第二，以程序分析技术为基础并作延伸扩展，第三，SAST静态代码检测技术的一大特点是覆盖面会更广，SAST能够覆盖到代码的每一个角落，包括那些在动态测试中可能不会被执行到的代码路径。在实际应用过程中，在整个研发阶段，静态代码检测可以用到从开发测试到部署上线阶段，具体覆盖比如编码阶段，开发者可以在编写代码的同时使用SAST工具，实时检测潜在的安全问题；例如，配置文件中的安全性检测或者寻找代码中潜在的空口令问题。
2025-05-16 14:37:43
1394
原创 2025AI代码审查工具全景解析：2025年测试开发工程师必掌握的八大神器
Gartner 2025年报告指出，全球89%的企业将AI代码审查工具深度集成至CI/CD流水线，未掌握这些工具的测试工程师将面临淘汰危机。本文将解析八大工具的技术内核与行业趋势，助你成为人机协作时代的“质量仲裁者”。AI漏洞代码自动修复（智能提供修复方案和修复建议，减少开发人员修复代码时间至少80%，修复后代码准确度至少可达到90%以上。人才需求：BOSS直聘数据显示，AI代码审查专家岗位量同比增长320%，供需比达1:8。审查范围扩展：从代码质量到AI生成逻辑的合规性（如大模型提示注入检测）
2025-05-16 14:34:15
624
原创 AI代码审计工具推荐︱AI+SAST 破解传统代码审计难题，AI助力开发效率提升
每种编程语言和框架具有不同的语法、语义和结构特性，灵脉AI开发安全卫士4.0现已全面覆盖Java、C/C++、Python、PHP、Go、C#、JavaScript和Ruby等主流语言及其框架，支持跨语言、跨框架的缺陷检测，无论开发团队使用何种技术栈，均能根据语言特性调整分析方法，确保准确识别安全缺陷和质量缺陷。在供应链攻击中，攻击者常将后门伪装成合法监控行为。传统的开发安全工具依赖于预定义的规则或模板来识别代码中的缺陷，但这些方法在处理复杂的代码上下文时，会产生较高的误报率或漏报问题。
2025-05-16 14:32:13
955
原创 悬镜引领2025安在新榜网络安全产品“大众点评”百强榜及全景图，覆盖软件供应链安全领域
2025《中国网络安全产品用户调查报告》通过近3个月对全国企业用户进行专项调查，获得了来自企业企业用户的有效调查样本3754份，覆盖了全国除港澳台、 西藏以外的31个省市及⾃治区及15个主要行业，涉及187个网络安全细分赛道，作为“安在新榜”年度报告之一，有着网络安全“大众点评”之誉的此份报告，给中国网络安全用户“画像”，反馈“甲方”眼里中国网络安全市场概况，重点挖掘用户痛点，展示用户采购及使用网络安全产品服务时的选择依据、实际体验、评价反馈和满意度，为网络安全行业提供来自用户视角的理解参考。
2025-05-15 14:32:05
751
原创 悬镜安全连续五年引领《中国网络安全行业全景图》软件供应链安全赛道
作为数字供应链安全开拓者与引领者，悬镜安全技术创新能力与产品应用能力一直以来受到业界的高度关注和广泛认可，多次获评Gartner SCA技术代表厂商、IDC 中国DevSecOps Innovator（技术创新者代表）以及Forrester SCA、SAST技术代表厂商，并连续多年领跑Foreester、IDC、Gartner、FreeBuf、数说安全、安全牛、数世咨询、嘶吼产业研究院等业内权威咨询机构和安全媒体发布的网络安全行业全景图，持续引领供应链安全和开发安全等领域。
2025-05-15 14:28:02
376
原创 专栏特辑丨悬镜浅谈开源风险治理之SBOM与SCA
受感染的开源组件在软件中未被修复的每一分钟都会增加潜在被利用的风险，SBOM 有助于企业在漏洞披露的早期对漏洞进行识别，通过提供受感染开源组件和依赖项的准确位置，为企业在风险分析、漏洞管理和补救过程中节省数百小时至数月的时间。SCA可以生成完整的SBOM，分析开发人员所使用的各种源码、模块、框架和库，以识别和清点开源软件的组件及其构成和依赖关系，并精准识别系统中存在的已知安全漏洞或者潜在的许可证授权问题，把这些安全风险排除在软件的发布上线之前，也适用于软件运行中的诊断分析。SCA分为静态和动态两种模式。
2025-05-13 09:20:31
813
原创 【第四批】运行时应用程序自我保护（RASP）工具能力通过评估名单
中国信息通信研究院云计算与大数据研究所自2019年，以安全开发为切入点，开展研发运营安全相关研究工作，截至目前为止，由中国信息通信研究院牵头，联合金融、运营商、互联网、安全等行业众多国内知名企业及单位，共同编制了研发运营安全平台和工具系列标准，具体可拆分为研发运营安全平台（DevSecOps）、静态应用程序安全测试（SAST）工具、交互式应用程序安全测试（IAST）工具和运行时应用程序自我保护（RASP）工具四大部分。截至目前，已有3家企业通过运行时应用程序自我保护（RASP）工具能力评估，名单如下。
2025-05-12 11:54:46
241
原创 41家企业113款“AI+网络安全”产品能力图谱”：悬镜安全全面覆盖软件供应链安全领域
自3月24日启动以来，已有41家企业113款“AI+网络安全”产品接入“写境”，覆盖范围已陆续涵盖安全运营（态势感知、SIEM/SOC）、安全检测（静态安全测试、模糊测试）等方向，“写境”图谱将根据企业产品不断研发持续更新。卓越示范中心积极顺应AI与网络安全深度融合趋势，秉持“接入一家、绘制一家”的工作原则，科学搭建“写境“初始框架，高效跟踪“AI+网络安全” 产品接入动态，逐步推进“AI+网络安全”产品“写境”地图绘制工作。运营（安全运营中心（SEIM/SOC）、态势感知系统）
2025-05-12 11:02:54
746
原创 国家级认可 | 悬镜入选“十大优秀网络安全创新成果”
AI智能代码疫苗技术基于插桩实现，统一融合了IAST（交互式应用安全测试）、SCA（软件成分分析）、RASP（运行时应用自保护）等能力，凭借智能情境感知的单探针解决应用长期面临的组件漏洞、敏感数据泄漏、运行异常、0Day攻击等风险，实现数字应用在开发、供应、使用三大供应链环节与安全的共生，数字供应链全流程可视、可控、可追溯的安全闭环，构建自主可控的智能化供应链安全管理体系，从源头解决数字供应链安全问题。在数字经济时代，软件供应链的安全已成为国际关注的焦点。悬镜安全荣膺“2024优秀网络安全创新成果”
2025-05-09 17:13:59
407
原创 技术分享丨RASP将代码疫苗技术“注入”到业务应用中
之所以如此，是因为RASP可以增强WAF防护工具的安全能力，形成纵深防御的安全防护体系。悬镜云鲨RASP兼容性强、覆盖面广，可广泛应用于包括但不仅限于政府、教育、医疗、金融、能源、电商、泛互联网、汽车制造等行业的DevSecOps敏捷安全体系建设，并结合悬镜原创基于运行时情境感知的DevSecOps持续威胁管理技术，从源头追踪软件供应链在开发、测试、部署、运营等关键环节面临的应用安全风险与未知外部威胁，帮助企业逐步构筑一套适应自身业务弹性发展、面向敏捷业务交付并引领未来架构演进的积极防御体系。
2025-05-07 10:42:12
1271
原创 基于DevSecOps敏捷框架的数字供应链安全应解决方案
基于DevSecOps敏捷框架的数字供应链安全应解决方案是以“AI智能代码疫苗技术”深度赋能原创专利级“多模态SCA+DevSecOps+SBOM情报预警”的第四代DevSecOps数字供应链安全管理体系,在DevSecOps敏捷安全体系建设、数字供应链安全审查、开源供应链安全治理和云原生安全体系建设四大典型应用场景下，保障企业用户数字供应链安全风险的高效治理。综上所述，本方案构建了全链条、全方位的数字供应链安全管理体系，实现了对软件从源头到应用的全过程安全管理和控制。
2025-05-06 16:50:17
747
原创 SBOM风险预警 | 恶意Py组件pretty-cli-logger开展远程代码投毒攻击
投毒者在 pretty-cli-logger 组件1.1.1和1.1.2两个版本代码文件 colors.py 中植入混淆代码， 一旦安装该组件则会静默触发执行恶意代码，主要功能是将组件包中内置的第一阶段和第二阶段混淆恶意代码解压还原后执行，第二阶段恶意代码进一步判断操作系统类型（Windows及Mac）并从投毒者服务器拉取执行针对不同类型系统投放的第三阶段攻击代码。第一阶段混淆恶意代码还原后如下所示，主要功能是将内嵌的base64编码的第二阶段恶意代码释放到系统临时目录下保存并执行。
2025-04-30 17:28:03
812
原创 2025 软件供应链安全工具推荐 ︱IAST工具如何赋能企业开发安全？
灵脉IAST灰盒安全测试平台是全球代码疫苗内核驱动的新一代交互式应用安全测试平台，也是国内语言支持数量和测试覆盖场景类型数量均领先、具备探针技术领先和实践成熟度的IAST产品，具备API接口安全检测及敏感数据链路追踪能力，透明集成于现有IT流程，自动化完成业务代码上线前安全测试，重点覆盖90%以上中高危漏洞，防止应用带病上线，保障数字供应链开发环节的安全运行。在这个环境中，IAST主要是以工具方式接入，补充上线前的安全措施，并将安全前置，弥补公司前面没有做的安全测试覆盖。
2025-04-30 15:39:28
1110
国内为什么没有人做AI搜索类GEO营销工具的
2025-02-17
TA创建的收藏夹 TA关注的收藏夹
TA关注的人