阅读： 617
RSAConference2022将于旧金山时间6月6日召开。大会的Innovation Sandbox（沙盒）大赛作为“安全圈的奥斯卡”，每年都备受瞩目，成为全球网络安全行业技术创新和投资的风向标。前不久，RSA官方宣布了最终入选创新沙盒的十强初创公司：Araali Networks、BastionZero、Cado Security、Cycode、Dasera、Lightspin、Neosec、Sevco Security、Talon Cyber Security和Torq。绿盟君将通过背景介绍、产品特点、点评分析等，带大家了解入围的十强厂商。今天，我们要介绍的厂商是：Araali Networks。
Araali Networks（以下简称Araali）是一家为云原生环境提供威胁管理解决方案的公司。该公司可对威胁进行检测和拦截。在eBPF技术支撑下，用户可以在自己的私有虚拟云中制定某个身份能够执行的动作，从而防止恶意代码建立后门或进入服务器。Araali创办于2018年，总部位于美国加利福利亚州，并于2020年获得了种子轮投资。此外，Araali 的云入侵检测和防御系统已获得SOC-2 II类合规认证。其创始人团队阵容如图1所示[1] 。Abhishek之前是Tetration Analytics的联合创始人/工程副总裁，在那里他带领初始团队构建和扩展了一个数据中心规模的平台，以实现虚拟机环境中的细分和安全。在加入Tetration之前，他曾在Aruba、Cisco和Ericsson担任工程领导职务。Abhishek拥有印度坎普尔技术学院的理工科学士学位和约翰霍普金斯大学的硕士学位(都是计算机科学)。
图1 Araali Networks创始人
2、SaaS 配置：SaaS的一般安全配置，特别是围绕IAM和访问控制。
3、用户和合作伙伴访问：除应用程序之外，用户和合作伙伴往往会拥有一定的权限，一旦被滥用有可能会造成威胁。
针对这些应用程序漏洞，保持系统和软件及时更新补丁是最常见且最有效的方式。大多数网络安全事件是由未打补丁的系统和软件引起的。根据Ponemon Institute的一项研究显示，2019年60%的攻击行为与可用补丁但未应用的漏洞有关[2]。
根据图2显示[3]，CVE的漏洞数量呈现出逐年上升的趋势，这么多的漏洞必然意味着需要大量的补丁对已知漏洞实施更新和修补。
图2 每年CVE数量
3. 补丁的兼容性可能会导致原始的服务不可用
Araali提出了一种叫做Resilient-Patching弹性补丁的技术解决方案。并不是在应用程序内部更新补丁，而是采取一种类似WAF的手法，在应用的外部边界进行防护。但有别于传统的虚拟补丁技术，支持针对请求响应进行检测和防御。弹性补丁通过强制执行其预先指定的行为来限制应用程序的能力，防止存在偏差的行为，从而防止攻击者利用脆弱性进行恶意行为。且这种方式不用中断业务，也不用担心补丁出现兼容性问题。同时加强业务的访问控制，自动检测应用程序完成工作所需的最低权限，实现基于用户行为身份的访问控制，不依赖于secret或者密码等信息。最后，针对攻击中很重要的一环：利用程序后门进行检测，提出后门检测即服务（Detection as a Service，DaaS），对攻击中的后门行为进行有效的分析识别检测，有效缓解云原生面临的风险。
在云原生环境中，Araali安装了一个分布式跟踪和执行模块 (Araali-FW) 作为Kubernetes守护程序集。策略会跟随应用程序的生命周期，而不是永久地运行在基础设施上。这点与sidecar的模式相似，但是Araali基于高性能的eBPF（extended Berkeley Packet Filter）实现，不需要将能力重新定向到sidecar中，从而降低系统开销。Araali实现了策略的智能、集中管理和自动发现。Araali会自动分析使用弹性补丁，限制应用的权限和能力，防止恶意攻击行为。这类似于在应用程序周围放置一个防护罩，将漏洞限制在本地防护罩内，并且不允许传播。如图3所示[4]。Araali的弹性修补解决方案带有内置监控和自我纠正功能。所有策略都是自动发现和自我纠正的。解决方案的自动化特性消除了人为错误的因素，这通常是修补操作中最薄弱的环节。这部分官方没有详细说明原理，我们猜测可能是通过机器学习等相关方式持续监控系统、应用、网络等行为，建立行为模型，并在持续运行的过程中不断学习，自适应变化。
图3 Araali防护模式示意
3、对于和预先指定行为存在偏差的恶意行为进行阻断，对该恶意行为的阻断应该就是一个弹性修复。
图4 弹性补丁检测流程
图5 Araali的访问控制于云IAM访问控制差异
图6 受感染的应用程序发起的后门连接请求
（3）检测（密封和监控边界）
（4）响应（反应性修补）
（5）恢复（使用弹性修补重新部署）
图7 NIST网络安全框架
图8 自动检测漏风险识别要保护的关键元素
图9 Araali脆弱性分析与弹性补丁
图10 具有完整上下文的警报被发送到SecOps团队
从实践角度来看，eBPF技术需要较高版本的内核支持，因而这种方式目前还受限。不过得益于eBPF当前蓬勃发展的生态，相信越来越多的企业会考虑将系统内核升级以享受到该变革性技术带来的益处。
Araali建立了完整的识别、保护、检测、响应、恢复的安全框架，实现了安全的闭环运营。同时eBPF的引入也使得Araali能最低限度地降低系统开销。Araali的云原生风险缓解过程极具创新性。
[1] https://www.araalinetworks.com/about[2] Ponemon Institute: Costs and Consequences of Gaps in Vulnerability Response[3] https://www.araalinetworks.com/post/cloud-risk-management-resilient-patching
[4] https://www.araalinetworks.com/resilient-patching
[5] https://www.araalinetworks.com/post/time-for-resilient-patch-is-here
[6] https://www.araalinetworks.com/access-control
[7] Gartner Research — Managing Privileged Access in Cloud Infrastructure Published 9 June 2020 – ID G00720361 – by Analyst Paul Mezzera
版权声明
本站“技术博客”所有内容的版权持有者为绿盟科技集团股份有限公司（“绿盟科技”）。作为分享技术资讯的平台，绿盟科技期待与广大用户互动交流，并欢迎在标明出处（绿盟科技-技术博客）及网址的情形下，全文转发。
上述情形之外的任何使用形式，均需提前向绿盟科技（010-68438880-5462）申请版权授权。如擅自使用，绿盟科技保留追责权利。同时，如因擅自使用博客内容引发法律纠纷，由使用者自行承担全部法律责任，与绿盟科技无关。
