星阑科技凭借在应用创新力与市场执行力两大维度领先优势，入选API安全专业赛道厂商。

星阑科技凭借在应用创新力与市场执行力两大维度的优势积累，领跑API安全专业赛道厂商。

注：API 安全点阵图横坐标“市场执行力”包括市场营收、品牌影响力、行业广度、行业深度等维度，纵坐标“应用创新力“包括产品工程化、业务场景化、理论与基础研究、技术融合度、业务纯净度等维度。

随着企业日益依赖 API 来提供对服务和数据的访问，他们对 API 安全保护的重视程度也与日俱增，API（应用程序编程接口）是现代软件开发的重要组成部分。它们是不同系统之间彼此通信以及共享数据和功能的“桥梁”。它为企业实现高效的数据共享、便捷的功能集成以及微服务架构改造等提供了技术支持，成为推动企业数字化转型的关键基础设施。

对 API 的日益依赖也使其成为网络犯罪分子最有吸引力的目标，通过攻击 API 来破坏信息系统和窃取数据，将成为数字时代黑产活动最集中的方向之一。然而，传统的 API 网关或 WAF 的防护已无法满足企业的 API 安全需求，数字时代需要专注于 API 的安全解决方案。

以智能化的安全能力 守护每一次数据流动

阅读原文

跳转微信打开

阅读原文

跳转微信打开

近日，FreeBuf咨询正式发布《CCSIP（China Cyber Security Industry Panorama）2023中国网络安全行业全景册（第六版）》。全景册甄选收录国内优秀安全厂商，为企业安全建设及产品选型提供客观参考。

凭借卓越的技术产品能力、市场影响力及领先的综合实力，星阑科技被评为API安全、Web应用扫描与监控、车联网安全、云原生安全四大细分领域的代表厂商。

此次成功入选《CCSIP 2023中国网络安全行业全景册（第六版）》不仅是对公司过往努力的肯定，更是对未来发展潜力的极大认可。未来，星阑科技将继续深耕网络安全领域，坚持以数据化、智能化为驱动力，不断打磨及推出更全面、更专业的企业级产品和服务。

阅读原文

跳转微信打开

跳转微信打开

星阑科技凭借长期行业积淀与创新型数据流动分析解决方案、从300多家企业中脱颖而出，入选金融行业“创新型”厂商。同时，我司核心产品 萤火流动数据分析平台 荣获“2023网络安全行业优秀安全产品”。

为深入研判和展望中国网络安全产业的发展趋势、客观呈现行业风云变化，嘶吼安全产业研究院历时数月深入调研、分析，广泛征集各方意见，于近日发布《嘶吼2023中国网络安全产业势能榜》评选结果。

星阑科技凭借长期行业积淀与创新型数据流动分析解决方案、从300多家企业中脱颖而出，入选金融行业“创新型”厂商。同时，我司核心产品 萤火流动数据分析平台 荣获“2023网络安全行业优秀安全产品”。

以智能化的安全能力 守护每一次数据流动

此次成功入选《嘶吼2023中国网络安全产业势能榜》及萤火获评“2023网络安全行业优秀安全产品”，这一殊荣不仅是对公司过往努力的肯定，更是对未来发展潜力的极大认可。未来，星阑科技将继续深耕网络安全领域，坚持以数据化、智能化为驱动力，不断打磨及推出更全面、更专业的企业级产品和服务。

阅读原文

跳转微信打开

阅读原文

跳转微信打开

阅读原文

跳转微信打开

http://www.test.com/v1/app/1001
http://www.test.com/v1/app/1002
htpp://www.test.com/v1/app/1003

http://www.test.com/v1/app/{id}

整体思路：基于统计算法，将通信流量中API初步归类，一般来说按照同一个业务系统进行分类，然后将其所有的 API 无论是 URL 的部分还是 Body 的部分，全部抽象成一个数据结构，通过统计的方法去缩小API聚合范围，最后通过一定的算法把通用的模式识别出来，再用这些通用的模式去打标签，这种增量的流量逐渐的能够收敛掉，接近到真实 API 的资产数量程度。

下面来看看统计部分的算法。

Trie，又称字典树、单词查找树或键树，是一种树形结构，是一种哈希树的变种。典型应用是用于统计，排序和保存大量的字符串（但不仅限于字符串），所以经常被搜索引擎系统用于文本词频统计。优点是：利用字符串的公共前缀来减少查询时间，最大限度地减少无谓的字符串比较，查询效率比哈希树高。

举个例子：

关键字集合为：{“a”, “to”, “tea”, “ted”, “ten”, “i”, “in”, “inn”} 

使用Trie树表示如下图所示：

在API聚合逻辑中，我们还需要对Trie算法进行变形，将/作为节点分割符，将API的URL部分变成树状结构。

比如：

http://example.com/cat/sports
http://example.com/cat/tech
http://example.com/cat/life
http://example.com/cat/politics
http://example.com/article/123/tag1
http://example.com/article/456/tag2
http://example.com/article/789/tag3

解析结果如下图：

基于树状结构，我们将统计确定API聚合范围的相关维度，比如：

1. 尾结点到跟节点的距离，表示API中URL的长度

2. 拥有相同节点的树状结构，表示API中URL相同路径

3. 同一深度的节点可变性

通过以上统计数据，我们将API聚合的范围进一步缩小：这些API属于同一业务系统、路径长度相同、拥有相同路径节点，并且存在可变路径。

本次主要旨在揭示基于统计算法的API资产分析和聚合技术。通过将通信流量中的API进行初步分类，并将所有API的URL部分抽象为一个数据结构。通过统计方法缩小API聚合范围，然后利用相关算法计算和聚合满足条件的API中可变路径部分的相似度。最后，对聚合的通用模式进行识别，并对后续增量的流量进行收敛，以此帮助企业梳理出接近真实API的资产及其数量。

阅读原文

跳转微信打开

1、API资产梳理究竟有什么意义？

API资产梳理的重要性其实要先于API安全能力的建设，安全有效性依赖于能否准确识别被保护资产并进行纳管。对企业来说，各个业务内部、跨业务、对外开放、三方集成的场景下，到底有哪些API接口，这些接口的暴露情况、使用情况、风险情况，以及责任归属需要梳理清楚，从而能够有针对性地接入安全能力，保障API资产的安全。

2、API资产如何界定？

要想准确全面识别API资产，首先要明确定义API资产的范围。

一条API资产基础信息通常包括以下内容，如下图的第二层所示：

其中API唯一资产标识将由API资产基础信息中的操作方法、端点路径、参数计算而来。

根据上图可见，API资产的信息除了基础信息外，还必须包含API资产关联信息，如：部署IP、API访问源、通信次数等统计信息；API通信拓扑，功能标签、业务域划分信息；API安全风险监测信息；API数据安全监测信息等。

3、现有API识别手段或者方式的误区是什么？

目前，用于安全工具梳理资产的技术实现主要包括自动化主机和端口扫描以及爬虫技术。由于API接口并没有统一的用户界面，而是研发团队内部商定的格式规范，因此大多数主机扫描、端口扫描和爬虫技术无法主动推测API的访问路径和参数格式，从而无法发现API资产。

这就导致当前大多数自动识别工具的结果将URL错误地识别为API。

实际上URL是统一资源定位符，是对可以从互联网上得到资源的位置和访问方法的一种简单表示。用于访问特定的网页、图像或文件。它和API从定义和作用上就有本质的区别。

举个栗子：

在此URL中，https是协议，www.example.com是域，/news/article123是指向网站上特定文章的路径。

此外URL还包括一些静态资源。

来看API的示例：

对天气查询的API而言：https://api.weatherdata.com是天气数据 API 的基本 URL，/current?location=city123指定需要“city123”参数当前天气数据的端点。并且API 可能会以结构化格式（例如 JSON）响应数据，其中包含温度、湿度和其他天气相关信息。所以，API的组成要素中包含了URL。

4、各类识别手段对比，企业该如何选择？

通过比较API资产发现效果、实现成本和业务入侵性等方面，可以得出通过流量还原API资产成为了API资产识别最佳解决方案。除此之外，流量还原API资产的优势还在于：

• API识别是持续进行的过程，一旦发现新API，应立即规范补充信息。通过流量还原，我们可以从各个维度监测API资产，并持续对其进行监测。

• 在进行安全测试期间，测试人员可以利用流量恢复API资产来更全面地了解API的工作方式，以及对不同类型的数据和请求的处理。这个过程有助于发现API资产中隐藏的安全漏洞和风险。

经过上述问题的解答，相信大家对API资产梳理也有所了解。接下来，我们将介绍API资产识别的关键技术，以便帮助大家理解如何从流量中准确识别API资产。

首先我们要了解：API有哪些分类，它们究竟长什么样子？

按照不同协议和风格形式，API可以分为：RESTful API、GraphQL API、SOAP API、gRPC API、类XML—RPC API及其他技术类型API。

• RESTful API

REST API也称为 RESTful API，是遵循 REST 架构规范的应用编程接口（API 或 Web API），支持与 RESTful Web 服务进行交互。REST 是一组架构规范，并非协议或标准。API 开发人员可以采用各种方式实施 REST。当客户端通过 RESTful API 提出请求时，它会将资源状态表述传递给请求者或终端。该信息或表述通过 HTTP 以下列某种格式传输：JSON（Javascript 对象表示法）、HTML、XLT、Python、PHP 或纯文本。RESTful API也是目前主流的API风格。 

简易的例子：

HTTP request
GET /api/user?id=1
HTTP response
{
   "id": 1,
   "name": "user1"
}

使用场景：资源集中型服务、访问量大，且对访问时效要求比较高的服务、面向公网的，且安全性要求较低的开放型 API 服务等。

• GraphQL API

GraphQL是一种面向数据的 API 查询风格。传统的 API 拿到的是前后端约定好的数据格式，GraphQL 对 API 中的数据提供了一套易于理解的完整描述，客户端能够准确地获得它需要的数据，没有任何冗余，也让 API 更容易地随着时间推移而演进。

GraphQL最常见的是通过 HTTP 来发送请求，那么如何通过 HTTP 来进行 GraphQL 通信呢？

举个栗子，如何通过Get/Post方式来执行下面的GraphQL查询呢？

query {
  me {
    name
  }
}

获取简单的请求内容放在 URL 中，在content-type: application/json情况下发布，将 JSON 格式的内容放在请求体里：

Get 方式
http:/www.example.com/myapi/graphql?query={me{name}}
# Post 方式的请求体
{
  "query": "...",
  "operationName": "...",
  "variables": { "myVariable": "someValue", ... }
}

  返回的格式一般也是JSON体。

正确返回
{
  "data": { ... }
}
# 执行时发生错误
{
  "errors": [ ... ]
}

使用场景：比较复杂的数据查询和获取、需要从多个平台进行数据查询并集成、前后端分离模式下，需灵活开发，减少沟通成本、实时查询推送等。

• SOAP API

SOAP代表简单对象访问协议，本身属于API协议的一种。SOAP API是使用SOAP协议作为API接口交互方式的API应用，它允许 Web 服务通过 HTTP 通信和交换结构化信息。由于它使用 XML 来编写消息，因此该协议与平台和语言无关，并在所有操作中使用。

示例：

请求内容：

<?xml version="1.0" encoding="utf-8"?>
<soap:Envelope xmlns:soap="http://schemas.xmlsoap.org/soap/envelope/">
 <soap:Body>
  <IsValidISBN10 xmlns="http://webservices.daehosting.com/ISBN">
   <sISBN>0-19-852663-6</sISBN>
  </IsValidISBN10>
 </soap:Body>
</soap:Envelope>

响应内容：

<?xml version="1.0" encoding="utf-8"?>
<soap:Envelope xmlns:soap="http://schemas.xmlsoap.org/soap/envelope/">
  <soap:Body>
    <m:IsValidISBN10Response xmlns:m="http://webservices.daehosting.com/ISBN">
         <m:IsValidISBN10Result>true</m:IsValidISBN10Result>
      </m:IsValidISBN10Response>
   </soap:Body>
</soap:Envelope>

使用场景：B2B 交易、客户/服务器通讯、基于 Web 的电子商务应用、企业应用集成等。

• gRPC API：gRPC 是 Google Remote Procedure Call 的简写，是基于 RCP 架构的变体。该技术遵循一个使用 HTTP 2.0 协议的 RPC API 实现。此类API通过Protobuf协议来定义接口和条件约束，完成客户端和服务端的远程调用。

使用场景：大数据处理、微服务架构等。

• 类XML—RPC API及其他技术类型API：此类API包含多种技术，因此使用的普及率比较低，所以归为一类，通常包含XML-RPC的API、JMS（Java Message Service）接口、WebSocket API以及IOT通信协议的接口等。

• 特殊API

特殊型API主要包括一些特殊协议框架下的API，例如Dubbo型API：Dubbo定位为一个RPC框架，专注于服务之间的调用。除了服务调用，随着微服务越来越火爆，Dubbo开始逐渐向服务治理、服务监控、服务网关等方向扩展，慢慢的演变为一个成熟的微服务框架。而在Dubbo框架下的API定义为Dubbo型API。

请求报文：
com.example.service.user/userinfo  dubbo2
"timeout": 3000
"group": "groupA"
"version": "1.0.0"
Service: com.example.service.user
Method: userinfo
Arguments:
    - String: "admin"
    - Integer: 12345
响应报文：
 dubbo2 200 OK 
Return Value:
    - Boolean: true

• 流量过滤：在拿到初始流量后，我们需要对此时的流量进行一些过滤，排除非接口类流量，比如静态资源或者视频流

• 流量解析：流量解析主要包括协议解析和结构解析。在获取过滤后的流量后，将根据协议类型如HTTP、Dubbo、GRPC等协议类型进行完整包解析，对于复杂的参数结构，如JSON、XML和各种复杂编码，则使用各种解析引擎进行解析。

• 片段存储：在解析之后，会对各类协议的特征字段以及参数接口进行片段式存储。

对于各类参数结构究竟是如何实现解析以及片段式存储又具体表现怎样呢？

我们以JSON格式的参数结构为例：

如上图所示，简单来讲就是在获取到例一个json格式的API参数结构后，通过对参数进行分组，会将API参数解析为一个树状结构。root作为API的根节点，下面分支为各级参数的支节点和叶子节点，无论其嵌套的层次有多深，解析算法会将其中的所有键值对都解析为一个树结构。

http://www.example.com/api/v1/xxx
http://www.example.com/api/v2/xxx

query {
  user { id }
}

{
  "query": "...",
  "operationName": "...",
  "variables": { "myVariable": "someValue", ... }
}

下期我们将继续揭秘API资产聚合逻辑技术、以及特殊类型API例如Dubbo API该如何进行识别。

阅读原文

跳转微信打开

阅读原文

跳转微信打开

时逢秋暮露成霜，几份凝结几份阳

跳转微信打开

相伴登高望远，尽享秋日芳华…

跳转微信打开

近日，天津滨海新区中国信创谷、长城所的领导和专家们来京拜访星阑科技，围绕数字经济时代下企业数字化转型趋势，安全基础设施及技术体系建设，大模型落地实践应用与挑战等话题展开讨论，共探AI时代数据安全发展战略。

近日，天津滨海新区中国信创谷、长城所的领导和专家们来京拜访星阑科技，围绕数字经济时代下企业数字化转型趋势，安全基础设施及技术体系建设，大模型落地实践应用与挑战等话题展开讨论，共探AI时代数据安全发展战略。

坚持创新驱动，共铸数据安全生态圈

交流会上，来访的中国信创谷领导首先介绍了园区的设立背景和目前的发展运营情况，表示中国信创谷是国内同时聚集国产安全可控基础软、硬件重点企业的特色产业园区，已汇集麒麟、飞腾、紫光云、北斗、鲲鹏信息等知名信创企业，与星阑科技所处产业链生态高度拟合，因此邀请星阑科技加入中国信创谷生态，与当地产业、园区企业协同发展。

之后，星阑科技融资与政府关系总监顾博天对中国信创谷领导的介绍和邀请表示诚挚感谢，并详细介绍了星阑科技在金融、央国企、电信运营商、能源及互联网领域的思考与前瞻创新实践。他提到，近几年星阑科技时刻不忘习近平总书记嘱托的“网络安全就是国家安全”使命，坚持自研自主可控的新一代网络安全技术，在数据安全、大数据分析、人工智能等相关领域持续加大技术、人才投入，并响应国家号召，在行业内率先完成了全栈信创适配和相关体系认证工作，与华为、麒麟、海光等信创行业一线企业建立生态合作关系。

在当今信息时代，数据安全已经成为企业和组织发展的关键因素之一。创新驱动是推动数据安全体系发展的核心动力。只有通过不断推陈出新的技术手段和解决方案，才能有效地应对日益变化的安全挑战。创新包括但不限于数据加密、身份验证、安全监控等领域，通过引入先进的技术手段和理念，实现对数据的多层次、全方位的保护。同时，创新也需要与政府、企业以及社会各界形成良好的合作机制，共同推进数据安全的研究和应用，共同建设一个更加安全可靠的数字世界。

近年来，在数字技术的驱动下，很多企业以应用程序接口为资源连接器，实现场景联通、数据贯通、能力互通，构建共生共赢的价值网络。数字经济模式也为各个行业获得互联网业务能力、捕捉互联网用户需求、融入互联网生态提供了更为快速和灵活的途径。

他讲到，数据作为数字经济新型生产要素，是数字化、网络化、智能化的基础。数据要素流通使用有助于促进数据融合和资源整合，激活数据潜能。然而，数据要素流通使用环境复杂，涉及多方主体、多个环节，同时数据产品具有极易复制、非排他性、难追溯等特征，均使数据流通使用面临安全风险、隐私泄漏挑战等问题。这不仅威胁国家数据安全，也不利于企业和个人数字权益的保护，严重阻碍数据要素流通使用市场化配置。

构建数据安全体系，夯实行业安全底座

顾博天提到，近年来，AI、大数据、云计算、元宇宙、VR/AR等技术快速迭代演进，帮助人类生产效率进一步飞跃。如在工业领域，依托VR/AR技术打造的虚拟工厂通过虚拟化建模，实现工厂的数字化仿真、优化、管理和控制，在设计、制造、运营等方面打造全价值链体系。

如今，处于AIGC时代的应用都必须建立在AI模型层和数据流动基础之上，大规模模型的API革新了商业逻辑。企业需要重新审视数据智能化以及从业务视角出发的安全运维。智能应用的迭代方式必须适应高速变化的市场环境，这意味着技术团队需要在DevOps基础上进一步与业务团队的工作流程相结合，以提高整体效率。随着BizDevOps方法论逐渐获得认可并实施，越来越多的企业运维和安全人员希望将自己从"成本中心"转变为"能力中心"，以能力赋能业务的视角进行数据布局，并利用智能化基础设施为业务带来增长动力。

星阑科技长期致力于打造数据基座与智能化基座，以应用层基础数据为核心，助力运维与安全团队构建多场景一体化监测方案。采用先进的数据采集、大数据分析平台和AI技术，并通过高度自动化的方式来处理海量数据并实现智能化管理。这种创新的方法不仅可以帮助企业建立完善的数据流程和数据资产管理体系，还能深度挖掘数据的潜在价值，为业务提供全新的商业洞察和决策支持。星阑科技希望通过数据的集成和智能化处理，为客户提供优质的解决方案，在竞争激烈的商业环境中脱颖而出，实现可持续发展。

立足长远，星阑萤火支撑数据安全

顾博天提到，星阑科技基于大数据分析及AI智能化技术体系，助力企业应对数字世界的安全风险。凭借持续创新的安全理念和效果导向的攻防能力，星阑科技发展成为国内数据智能、信息安全领域的双料科技公司。为解决流动数据安全问题，星阑科技从数据攻防、数据分析、数据治理等不同场景出发，提供全景化数据流转监测、应用数据分析、API安全治理、高级威胁检测等解决方案，构建全链路流动数据保护体系。

顾博天说，星阑科技核心产品——萤火流动数据分析平台，可针对用户异构、多模态数据提供风险监测、合规性管理、数据建模、用户追踪、行为关联、AI解释与推理等一体化数据分析能力，为企业的数据可观测性、数据合规、威胁监测、应用治理、业务洞察等场景提供全面支持。除了深耕技术创新和产品研发，星阑科技还将自身的技术优势和实践经验有效输出，先后参与多项国家标准、行业标准及白皮书的制定工作，持续推动网络安全行业有序健康发展。

未来，星阑科技将坚决响应总书记提出的“筑牢网络安全防线”号召，继续加强与各地、各级政府部门的交流互动，分享星阑在数据安全领域的前瞻观察与实践，与网络安全同行一道，共筑我国数据安全“长城”。

阅读原文

跳转微信打开

Dubbo介绍Dubbo定位Dubbo一开始把自己定位为一个RPC框架，专注于服务之间的调用。

在对Dubbo框架及其微服务生态有一定了解之后，我们需要思考一下Dubbo框架存在哪些安全风险，或者说以Dubbo为基础构建的整个微服务生态又存在哪些安全风险。接下来，将从攻击者的角度对Dubbo框架及微服务生态的安全风险或者攻击面进行梳理。

Dubbo框架本身存在多种攻击漏洞，例如由于Dubbo框架使用序列化在服务之间传输数据，支持Hessian、Fastjson、Kryo等反序列化协议，当没有采取任何防御措施或防御方法被绕过时，会导致反序列化漏洞；由于代码层的过滤器过滤不够严格，攻击者可以构造恶意请求调用恶意方法，造成远程代码执行漏洞；由于Dubbo中的某些组件会尝试打印输入参数的格式化字符串，攻击者可以利用自定义带有特殊toString方法的bean，导致远程命令执行漏洞；还有一些与Dubbo框架特性或功能相关的漏洞等等。

以CVE-2021-30179和CVE-2023-23638为例：

两个漏洞产生的本质都是利用了Dubbo泛化调用功能，用户可以向Dubbo服务端传入任意类，这就导致攻击者可以通过反序列化的方式，来触发特定Gadget，达到远程命令执行的目的。而CVE-2023-23638是对CVE-2021-30179防御方式的绕过。

这里简单提一下Dubbo处理泛化调用的方式是通过filter机制实现的，核心类是org.apache.dubbo.rpc.filter.GenericFilter

具体的漏洞分析可以参考：https://mp.weixin.qq.com/s/9K7z93qxTtFYcLdTGRi14A

阅读原文

跳转微信打开

关于星阑星阑科技基于大数据分析及AI智能化技术体系，助力企业应对数字世界的安全风险。

阅读原文

跳转微信打开

随着科技的迅猛发展，汽车行业正在经历一个前所未有的变革。作为这一变革的核心驱动力，智能车联网技术正在打破传统驾驶体验的界限，改变着汽车行业的格局。近期，作为深耕网络安全领域的垂直媒体嘶吼，采访了星阑科技CTO徐越，深入探讨智能车联网安全。

随着科技的迅猛发展，汽车行业正在经历一个前所未有的变革。作为这一变革的核心驱动力，智能车联网技术正在打破传统驾驶体验的界限，改变着汽车行业的格局。近期，作为深耕网络安全领域的垂直媒体嘶吼，采访了星阑科技CTO徐越，深入探讨智能车联网安全。

全球产业链融合引发数据跨境流动安全隐患

随着新四化进程的加快，智能网联汽车近年翻开了高速发展的新篇章，随之而来的用户数据、隐私泄露和智能系统遭受恶意攻击等安全问题引发社会广泛关注。

徐越表示，就像达摩克利斯之剑一样，车联网服务具有场景复杂化和功能多元化的特点。车联网生态整合了出行、娱乐、交通管理、导航、车辆远程检测与控制及其他服务等。目前，车联网相关数据主要存储在智能网联汽车和车联网服务平台上，存储和传输方案主要由整车厂商、车联网服务商设计实现。由于数据的采集、传输、存储等环节没有统一的安全要求，即数据具有非结构性特征，可能因访问控制不严、数据存储不当等原因导致数据被窃。

徐越说，汽车行业的最大特点是全球产业链的高度融合，因此平台数据跨境流动管理问题成为车联网数据安全的重要隐患。数据出境涉及个人信息出境问题和重要数据出境问题，如果未采取相应的安全措施，数据可能会被未经授权的人员获取和使用，导致个人隐私泄露、商业机密外泄等问题。根据《汽车数据安全管理若干规定（试行）》规定，重要数据包括重要敏感区域的地理信息、人员流量、车辆流量等数据；车辆流量、物流等反映经济运行情况的数据；汽车充电网的运行数据；包含人脸信息、车牌信息等的车外视频、图像数据；涉及个人信息主体超过10万人的个人信息等，网络运营者应报请主管部门组织安全评估。

智能车联网应用监测三大挑战：可观测性、安全、合规

长期以来，应用运维需要对抗系统复杂性与动态性。在API化与微服务架构的趋势下，运维可观测性需要越来越多的应用层数据——指标、日志和追踪。如今API数据接口作为软件间信息交换的「语言」，汽车企业围绕API数据接口这种新兴资产应具备完整的数据采集与分析体系。

合规方面，随着数据成为全社会的生产要素，数据流动治理也成为被关注的热点问题。我们看到23年上半年的数据安全处罚记录中包含多个数据跨境、违规公开、用户信息泄露的典型案例。从数据生命周期管理的角度而言，大部分企业拥有数据存储、员工数据访问、泄密的治理能力，但对应用数据传输的管控较为薄弱。数据流动治理在「治」而不在「防」，需要在顶层的理论框架指导下分步骤实施，同时数据的可见性也依赖应用基础数据的采集质量与分析方式，与运维可见性如出一辙。

通过API窃取数据、绕过权限与业务流程进行 “批量注册”等行为将直接导致业务损失。这也是API安全建设相比传统Web安全的明显差别之一——更加关注数据流动、业务行为的治理而非单纯漏洞视角的技术问题。理解业务、赋能业务对安全团队来讲存在很大的挑战，然而安全建设有机会掌握更多的底层基础数据，对这些数据的分析、加工更有利于理解业务行为，放大技术团队的价值。

整车网络安全资产分析奠定安全基石

随着智能网联汽车技术的发展，整车所处的车联网环境越来越复杂，需要保护的资产越来越多，涉及到的威胁点也越来越多。

徐越说，车辆本身涉及到的核心资产比较多，比如T-Box、IVI、智能座舱、汽车网关、车载计算平台等。基于以上任核心资产，都有多种方法破坏其安全属性，造成不同程度的影响。比如，通过系统或软件漏洞获取IVIroot权限，破解IVI与T-Box或网关的通信，进一步实现控制ECU。也可以监听车辆与云平台的通信，实现远程控车。移动终端APP可以让车辆用户更方便快捷地控制车辆，用户可以通过控车APP实现获得车辆的位置、跟踪车辆轨迹、打开车窗和车门、启动引擎等操作。控车APP几乎成为新一代车辆的标配，但也成为引入汽车行业中的一个风险因素。控车APP涉及到第三方提供服务，应用本身代码的漏洞、与平台通信过程中的漏洞、APP的接口调用漏洞等均可以成为攻击向量。

徐越表示，为了可以更好的保证智能车联网的链条基础安全，识别整车资产信息是首位的。整车网络安全问题的来源是信息的交互，通过梳理通信边界、整车拓扑结构、信息交互场景以及车辆相关功能列表可以识别出核心资产。

徐越说，在此过程中，核心资产的分析可以根据需要从不同维度进行划分：

一是从整车拓扑结构的角度出发。核心资产可以定义到零部件级别，将中央网关、T-Box、IVI等内、外通信节点列为核心资产；涉及自动驾驶功能，如车载计算平台，其网络安全属性的破坏可以带来功能安全问题的也列为核心资产。

二是从关键应用场景出发。整车在车联网环境下接受云平台的指令和服务，使用的通信协议或涉及到V2V、V2I通信的外联设备等都应列为核心资产。

三是从数据安全角度出发。网络安全伴随着数据的流转而产生，可以将某些关键数据，如车辆状态信息、车辆行驶轨迹及用户信息等重要信息作为核心资产，从攻击向量、攻击路径、攻击面等多个维度构造攻击树，分析其攻击可行性及安全危害程度。

数智时代，构筑智能车联网安全体系

徐越说，有效的安全防护机制对于车联网尤为重要。当前车联网主要面临权限认证、驾乘人员隐私泄露等挑战。在车联网中经常遭受到：信息篡改、GPS仿冒、非法认证等攻击。车联网中车辆信息交换需要进行加密处理，确保信息不被窃取，因此需要可靠、高可用的安全协议。徐越提出，智能车联网需要有相应的安全防护机制的原型框架，主要针对VANET中的数据窃取，同时为了确保信息安全机制的可用性，还需要检测和消除恶意攻击，如DDoS攻击等。无论是车辆间的通信，还是车辆与基站之间的通信都需要安全有效的信息传输和认证机制，比如安全聚合通信机制、基于身份鉴别的密码系统等。

星阑科技DataGPT大模型使用运维、安全、数据治理等长期积累的行业数据进行精调。其核心作用一是凭借数据关联与推理能力拓展检测效果边界、二是通过丰富的知识库与专家标注数据提供专业领域知识的迁移复用，作为“Copilot/智能问答专家”实现行业场景化的运营效率提升。

星阑科技走进企业降本增效的真实运营场景，从实际业务需求出发，提升运营管理效率和数据智能能力。团队在大数据方面积累深厚，基于高度开放的数据底座以及灵活的配置能力，打破碎片化堆叠产品的传统解决方案架构，形成IT应用基础设施采集与智能化数据分析统一平台，针对应用可见性、安全运营、业务指标分析、数据流动治理等核心场景沉淀百余种分析指标与检测项，开箱即用。同时未来进一步探索AI智能化的落地提效，不断沉淀行业场景化标注数据，让数据智能普惠大众，助力业务与技术的协同发展。

阅读原文

跳转微信打开

为了更好的帮助企业保护好API资产和数据安全，避免因API安全问题给企业带来不必要的损失，星阑科技为大家整理了最新一期9月份的API漏洞报告，以便企业更好的进行查漏补缺，帮助企业建立网络安全全局观，不断强化行业自律，更好地进行数字化转型。

阅读原文

跳转微信打开

露寒秋重，暖意相随，伴你前行~

跳转微信打开

守护万家灯火，同庆盛世华诞~

跳转微信打开

教诲之光 点亮皓月星宸；萤火之光 守护内外安全~

跳转微信打开