· 购买的安全设备，到底能不能防住攻击？
· 行业里这个新出现的攻击手段，我们的防御能力与时俱进了吗？
· 安全建设的投入如何量化，该怎么给领导汇报？
……
随着数字技术的发展，安全防御体系从建设阶段向运营阶段过渡，对安全能力的评估与验证成为行业关注的重点。
入侵与攻击模拟（BAS）产品应运而生，基于攻击者视角，通过模拟针对安全边界、内部网络和终端机器等不同安全域的攻击行为，以攻促防，为企业建立并持续优化安全运营能力提供支撑。然而，BAS类产品部署复杂、技术要求难、建设成本高，众多中小型企业只能“望而却步”。
360 BAS SaaS
近日，360 BAS全新升级SaaS服务，针对中小企业提供专业SaaS化入侵与攻击模拟评估服务，客户无需复杂设备部署和配置操作，通过实时、实用、易用的安全评估服务化平台，即可享受轻量化、低成本、0技术门槛的防御效能评估体检。
目前，SaaS服务已在金融、能源、通信、政务等行业客户落地应用。
专项场景安全评估先人一步
基于监管检查要求、热门安全事件、新型漏洞、流行性攻击技战术等行业热点及调研走访客户需求，360 BAS SaaS服务形成众多专项服务场景，在360安全大模型加持下，实现高自动化的评估体检，帮助客户“短、平、快”完成防御能力自查。
“两高一弱”专项检查
“两高一弱”即高危漏洞、高危端口以及弱口令，是攻击的主要突破口，近期，相关部门高度重视“两高一弱”问题，持续开展专项整治行动。
360 BAS SaaS服务提供高危漏洞利用攻击、高危端口访问、弱口令探测等“两高一弱”专项验证场景，覆盖1400+“两高一弱”评估用例，帮助客户识别安全防护体系的防守弱点，快速完成安全自查，有效应对监管部门的检查，降低安全风险。
防勒索能力摸底自查
大多数中小企业往往面临安全防护措施不足、安全人手缺乏等问题，逐渐成为勒索攻击的重灾区，安全威胁问题日渐突出，亟需进行防勒索能力自我审查与评估，以提升安全防护实效。
360 BAS SaaS服务内置2800+勒索病毒攻击评估用例，涵盖LockBit、Akira、BianLian等近200种勒索家族样本，覆盖从勒索钓鱼邮件到全链路勒索攻击的各个环节。用例库实时更新，帮助中小企业精准评估自身安全防护体系在面对各类勒索攻击时的有效性，提前预测和防范潜在勒索攻击，提高勒索防护能力。
边界防护与覆盖度专项检查
金融、运营商等行业的安全建设投入巨大，但由于安全事件的复杂性和多样性，以及评估体系的不完善，其安全建设的实际效果难以量化评估。
360 BAS SaaS服务提供边界安全防护能力和边界覆盖度两大专项检查服务，支持千级别资产全量模拟边界攻击。
边界安全防护能力专项评估涵盖了业界常见的攻击类型，通过模拟真实的边界攻击突破场景，以验证其边界安全防护设备的防御能力，定位设备防御弱势项，及时修复改进。
边界防御能力覆盖度专项评估通过对所有边界Web资产进行模拟攻击排查，精准锁定安全防御漏洞，避免关键资产“裸奔”。
攻防演练专项评估
每年的攻防演练活动，都会产生0/1day漏洞或新型漏洞利用攻击手法，导致大量演习单位被攻陷出局，这些新型攻击手段甚至已经被应用到真实攻防战场中。
360 BAS SaaS服务基于360漏洞云等多个权威情报源，囊括900+历年实网攻防演练典型漏洞，通过模拟攻击者视角对防御效果进行量化评估，精准定位系统漏洞，及时补全防御短板，提升实战防护能力。
即买即用，按需订阅
开启智能化安全评估
360 BAS SaaS服务面向中小企业用户，无需调配额外设备资源，用户可以选择按需订阅（次付/月付/年付）服务。此外，SaaS版本评估任务可以保存配置，周期性执行、7*24任意时间定时执行或多任务并发运行，进一步为用户提供方便快捷的使用体验。
目前，360 BAS SaaS版已服务网信办、大数据局、医疗、企业等众多行业中小型用户。
在某网信监管单位边界防护能力评估中，监管客户提供下级被监管单位的资产地址，360 BAS SaaS云端攻击服务分别向不同站点发起模拟攻击评估检查。
评估示意
经检查发现，该单位存在诸多安全运营隐患：
因安全运营人员配置疏忽导致部分站点未纳入WAF防护，导致站点防护缺失；
某WAF A设备未配置站点SSL证书，导致加密流量安全检测持续处在盲区；
某WAF B规则库license过期，导致无法正常更新，设备防护率仅为39.23%。
评估完成后，相关单位根据360 BAS SaaS服务提供的改进意见及时进行整改，快速优化安全防御能力，安全运营由被动事后补救转向主动事前防患。
在某三甲医院边界防护能力评估中，用户提供边界官网地址，360 BAS SaaS云端攻击服务向该站点发起评估服务，执行模拟评估用例近3500个，其中，该医院有防护措施的用例为3125个，整体边界防护率达91%。
评估示意
经过评估，发现该医院某云WAF防护效果较好，能够成功抵挡绝大多数风险攻击，但某WAF和某IPS为同品牌厂商，检测防御能力同质化，且在应对Webshell变种、隐蔽隧道攻击、反序列绕过等威胁时防护能力不足。
该医院负责人表示
360 BAS SaaS服务不用额外部署产品，操作简单，即便是技术小白也能轻松上手。通过一次模拟评估，不仅帮助我们发现了潜在的安全漏洞，还提供了详尽的报告和改进方向，让我们能够迅速采取行动，避免了被通报处罚的风险。
文章原文链接:https://www.anquanke.com/post/id/301799
