产品介绍
默安科技雳鉴交互式应用安全检测系统(以下简称“雳鉴IAST”),专注解决软件安全开发流程（SDL/DevSecOps）中测试阶段或上线阶段的应用安全问题。雳鉴IAST使用基于请求和基于代码数据流两种技术的融合架构，采用被Gartner评为十大信息安全技术之一的IAST技术，融合了SAST和DAST的优点，能够同时做到检出率极高与误报率极低，还可定位到API接口和代码片段，无缝同步功能测试，既可高准确性检测应用自身安全风险，也可检测第三方组件及其漏洞，同时进行实时告警响应，准确定位安全漏洞，为客户系统上线提供强有力的安全保障。
产品优势
- 低侵入零成本融入开发流程不改变当前测试流程，安全测试与功能测试并行；插桩Agent后台被动检测安全风险，测试人员无感知；提供详细请求与数据流信息，减轻开发人员修复压力；Agent一次部署配置可重复利用，避免额外管理运营工作。
- 多种检测模式适应各类业务场景插桩模式无需重放请求，可覆盖加密、验证码等防重放场景；流量模式操作便捷，可覆盖Http/Https协议的Web和App应用场景；业内首创MQTT插桩检测技术，适配工控云、物联网和车联网云平台场景；业内首创.Net语言的桌面应用检测，覆盖医疗、工控等行业桌面客户端检测空白领域。
- 全方位应用安全风险检测能力对标《个人信息保护法》、GDPR、PCI DSS等，支持多种途径下十几种个人隐私泄露风险检测；支持越权类、验证码、用户枚举等业务逻辑漏洞检测，保障业务安全；具备软件成分分析能力，检测第三方组件版本、开源许可证等安全风险；支持基于Shiro的未授权访问漏洞检测与镜像安全风险监测；内置上百种安全漏洞类型，协助客户发现各类应用安全风险。
- 多样化部署适配各类客户环境支持硬件、软件、虚拟化、云化和分布式多种部署方式；支持K8S场景下自动部署Agent，协助用户快速生成测试环境；适配各类微服务框架下的Agent部署方式，直观展示请求位置与传播路径。
- 丰富的第三方集成对接方式支持与默安科技DSMP平台无缝对接，实现开发安全全生命周期管控；支持与Jenkins、云效、GitLab、Coding、蓝鲸等CI/CD平台对接；支持Jira、禅道等第三方平台进行对接，同步安全漏洞信息等；开放Open API，同时提供Jenkins插件与Pipeline脚本。
- 产品先进性与资质荣誉证明亚太唯一IAST推荐厂商入选2021 Gartner应用安全技术成熟度曲线；荣获第二届数字安全大会“创新赛道领航者”奖；国家网安质检中心-信息技术产品安全测试证书；网络安全卓越验证示范中心-交互式应用安全测试（IAST）系统检验证书；麒麟生态创新中心-麒麟软件NeoCertify认证。
产品功能
- 在项目配置界面可根据客户自身情况自由选择插桩模式或流量模式（流量信使、鉴权代理、非鉴权代理、流量镜像、VPN），适应各行业客户不同业务环境的需求。
逻辑漏洞检测
- 雳鉴IAST支持根据流量区分角色，进行垂直越权，水平越权漏洞检测，支持用户枚举，登陆缺少验证码，重复发送手机验证码，验证码逻辑错误漏洞检测，并且能展示扫描动态与错误码。
MQTT协议支持
- 依托于成熟的Java语言插桩体系，将MQTT协议更新至插桩模式中，无需客户进行额外的操作，结合相关插件与流水线进行集成，便能覆盖工控云、物联网云和车联网平台等场景的安全检测。
软件成分分析
- 雳鉴IAST插桩模式下支持软件成分分析，梳理当前项目中所引用的第三方组件信息，包含风险等级、推荐升级版本、最新版本、开源许可证、关联项目情况等。
个人隐私泄露检测
- 雳鉴IAST支持对应用中不合规的个人隐私数据处理行为进行检测，发现身份证号、手机号码、账户密码等十几种个人隐私信息明文保存至数据库、日志文件或响应时产生的隐私数据泄露问题。
容器镜像风险检测
- 雳鉴IAST可以定时扫描容器仓库内的镜像，检测相关镜像的组件信息、安全漏洞、许可情况和镜像分层信息，同时还可支持流水线集成，可在Jenkins Pipeline构建完镜像后自动进行镜像安全扫描。
联系电话：
0571-57890068
邮箱：
market@moresec.cn
总部地址：
浙江省杭州市余杭区余杭塘路2616号正勤·美培创意园3号楼
分支机构：
