关于云计算:洞态在某互联⽹⾦融科技企业的最佳落地实践

洞态距正式开源已有10个月，用户已超过200家企业，笼罩互联网、汽车、金融等多个重要行业。

洞态是如何在互联⽹⾦融科技企业落地实际的呢？咱们本期采访了平安架构师 PK，听听他是怎么说的吧。

视频链接：https://www.bilibili.com/vide...

⼤家好，我是pk，⽬前在⼀家互联⽹⾦融科技企业，负责公司业务平安和数据安全。

应⽤平安作为业务平安的核⼼，是咱们⽬前⼀项重点⼯作。

在上线前设⽴平安卡点能够“短平快”地发现⼤局部平安⻛险，也是平安检测的最佳落地实际。

我司曾经具备绝对欠缺的DevOps流⽔线，也采⽤了传统平安检测⼿段，⽐如编码阶段⽩盒（SAST）+测试阶段⿊盒（DAST）。

但传统检测⼿段的通病⼀样⽆法防止，⽐如误报率过⾼、⽆法精准定位并复现等等，重大影响⽇常平安经营效率。

因为机缘巧合，在⽕线成⽴初期就第⼀工夫接触到了洞态IAST。

相较于传统的SAST+DAST平安检测，洞态IAST除了能够显著提⾼破绽准确度，还具备可疾速融⼊公司DevOps流⽔线的劣势。

对于业务同学使⽤体验较好，不会产⽣显著割裂感，达成了“业务与平安并进”的平安⽬标。

在技术选型初期咱们曾经充分考虑到业务使⽤的便利性，所以咱们曾经将洞态agent集成到了CI/CD构建流程中，应⽤公布时会⾃动集成洞态agent，根本实现了平安接⼊业务⽆感知，所以推⼴初期还算顺利。

⽬前仍处于推⼴期，曾经笼罩⼤约50%业务。

咱们的检测场景分为传统web破绽 + 敏感数据检测 2个⽅向。

从实际效果来看，2个⽉的工夫播种了2000+敏感数据传输，60+⾼危web破绽，200+⾼危开源组件破绽。

（此处与公司业务状态强相干，互⾦⾏业⾃带较强的个⼈信息属性）

洞态IAST⾼⾃由度的⾃定义规定⼗分强⼤，从污点源函数、污点流传函数，到过滤函数、危险函数，甚⾄header⽩名单，能⾃由组合以满⾜我司“千奇百怪”的应⽤场景。

在使⽤过程中，也遇到过⼀些⼩问题，如发现response⻓度参数bug、后果数据⽆法导出等。

洞态IAST领有良好的开源社区⽣态，bug和需要只有正当都会失去反馈，帮忙解决了很多问题。

个⼈⾃身也会⼒所能及地解答社区中的使⽤问题，和⼤家独特探讨学习成⻓很快。

心愿洞态IAST将来能在web平台的治理性能上持续优化，如多维度统计分析、URL⽩名单等。

对于⼤少数甲⽅平安团队来说，平安经营效率晋升须要⻓期的统计分析数据⽀持，如果能做到能够间接⽤平台数据做平安考核指标那就更好啦！

置信你看完本期采访对洞态有了进一步理解

洞态商业版本在 2022年05月18日公布

局部性能仅商业版可用，开源版与商业版差别，请参阅以下附件：

申请洞态商业版产品试用。支付白皮书材料

请填写表单收费申请：https://wenjuan.feishu.cn/m?t...

对于洞态：

“洞态” 是寰球首个开源 IAST 产品，专一于 DevSecOps，具备高检出率、低误报率、0脏数据的特点，帮忙企业发现并解决利用上线前的平安危险。

对于前线平安：

前线平安次要经营前线平安平台、前线Zone云平安社区、洞态、前线平安云。通过自主研发的自动化测试工具和海量的白帽平安专家，助力企业解决利用生命全周期的平安危险。

前线平安平台：https://www.huoxian.cn/

前线Zone社区：https://zone.huoxian.cn/?sort...