2020年2月24日-28日，網絡安全行業盛會RSA Conference在舊金山拉開帷幕。綠盟君相繼為大家介紹了進入今年創新沙盒十強初創公司，今天為大家介紹的是：Vulcan Cyber。

一、公司介紹

Vulcan Cyber是創新沙盒十強中唯一的一家以色列公司，在2019年曾入選Gartner 在Security and Risk Management的Cool Vendor。在公司的三位聯合創始人中，CEO Yaniv Bar-Dayan與CPO Tal Morgenstern都曾在以色列軍方任職，有豐富的網絡安全實戰經驗。公司成立于2018年，目前已經獲得了兩輪共1400萬美元的融資，最近一次是由Ten Eleven Ventures領頭的1000萬美元A輪融資。Vulcan Cyber為企業提供了一套自動化漏洞威脅緩解(Automated Vulnerability Remediation)解決方案，通過對已有開發、運維工具的集成與整合，實現對突發安全漏洞的快速響應，將企業受到安全威脅的時間窗口從數周、數月縮短到小時級。

Vulcan Cyber自稱為業界自動化漏洞緩解概念的先行者。綠盟君認為，將企業資產整合、針對安全事件進行自動化響應的思想可以追溯到2017年Gartner提出的安全編排自動化與響應SOAR(Security Orchestration, Automation and Response)。但作為SOAR概念的實現者，切實為企業解決了安全痛點，未來可期。

二、背景介紹

隨著網絡安全攻防對抗的日趨激烈，企業的安全團隊與運維團隊面臨著日益嚴峻的考驗。安全事件、安全漏洞日益增多，越來越復雜且有針對性。企業針對不同業務的開展，部署、維護來自不同供應商的資產設備，持續增多的安全告警與誤報增添了應急響應團隊的工作負荷。

這些年來，檢測與響應類的產品受到了極大的關注，尤其是對未知惡意行為的檢測功能已經成為近年終端防護產品的標配。這些產品和技術使用戶獲得了更低的MTTD(平均檢測時間Mean Time to Detect)，能夠更快、更精確的檢測入侵和攻擊，但對用戶而言，解決問題與發現問題一樣重要。一個現狀是，企業的安全團隊與運維團隊不能保證在任何時候都能找到緩解漏洞的措施，同時也不一定能夠準確評估緩解措施對業務造成的影響。Vulcan Cyber提供的解決方案旨在彌補企業的這一能力空白。

三、產品介紹

Vulcan Cyber的解決方案與公司同名，下面我們將簡稱其為Vulcan。Vulcan是一套部署在云端的漏洞響應自動化平臺(Vulnerability Response Automation Platform)，它的設計目標是將應用漏洞、錯誤配置等一系列安全問題轉化為可執行的解決方案，從而使企業的安全團隊能夠專注于解決最有威脅的安全問題，化被動于主動。Vulcan將漏洞信息的收集、風險評估過程進行自動化，最終以一個補丁、配置文件改動或其他形式提供一個對生產環境影響最低的最佳解決方案。

Vulcan具有三大核心功能：風險信息聚合、威脅分析、自動化漏洞緩解。

風險信息聚合：提供完整的資產視圖

一個現代的漏洞管理平臺能夠完整的呈現企業的資產與這些資產之間的關聯關系，只有當企業對其網絡中所有的組件有完整的認知，應對漏洞的緩解措施才能完美的解決問題。Vulcan會對網絡進行掃描并對結果進行收集匯總，找出其中可能存在的暴露點、配置缺陷。

除此之外，當我們評估一個漏洞緩解措施的潛在風險時，我們也需要知道資產之間的聯動關系，從而確保對漏洞修復過程所導致的副作用(如意外停機)進行完整的預判。

在整個修復過程中，Vulcan會跟蹤何時、何地、哪些步驟使用了哪些維護工具，以及這些工具由誰使用。通常不同的工具與業務系統分散在不同的平臺上，Vulcan提供對多種云平臺與維護工具的支持，包括AWS Inspector、Microsoft Intune、Tenable Nessus、Ansible等，也支持通過Vulcan Gateway將用戶私有云的監控數據上傳到Vulcan云端。

威脅分析：基于風險的威脅優先級排序

傳統的TVM廠商傾向于依賴客觀評分，如CVSS分數，對漏洞的危害程度進行定級，但實際上，不同漏洞對實際業務的危害程度，還是依賴安全團隊的主觀判斷。因此，Vulcan引入了多種要素來評定一個安全事件的實際風險。

• 應用安全性。包括Qualys、SourceClear等DevSecOps工具產出的代碼規范性、覆蓋率等數據。
• 業務影響力。與企業的CMDB聯動，將應用服務的商業價值納入到風險評價指標中。例如儲存用戶信息、交易記錄的數據庫對公司至關重要，這些資產關聯的漏洞與安全事件的處理優先級就是最高的。
• 資產分布情況。通過與應用部署工具、資產管理系統的集成，對漏洞所波及的資產數量進行定位與統計。
• 威脅情報。Vulcan接入了超過50個威脅情報源，查詢發現的漏洞是否存在已知的IOC。

當然，這些維度的存在，除了納入Vulcan的算法，輸出威脅定級之外，也能夠為安全團隊處理安全事件提供更多的參考。

自動化漏洞緩解：對應用組件進行批量修復

Vulcan通過自動化的方式來減少事件響應所需的人力與時間，排除誤操作的風險，提供更高的可靠性。用戶可以預先定義一些Playbook，從而將滿足特定條件的事件處理半自動或全自動化，在官方的案例分析中，Vulcan可以將某些組件的漏洞信息推送到Slack的聊天頻道中，并在Jira中創建一個Issue，從而調動相關人員進行處理。除此之外，Vulcan還維護了一些常見的自動化指令，比如使用Ansible或Chef等工具對Linux服務器安裝補丁，或操作WAF、終端防護軟件設置規則阻斷惡意軟件傳播等等。

四、優勢與挑戰

Vulcan的一大亮點是，通過漏洞評級之外的更多維度，衡量漏洞的風險程度，幫助安全團隊在海量告警與安全事件中定位最重要的安全問題;更重要的是傳統TVM產品只具備管理漏洞生命周期功能，大部分的漏洞緩解、系統升級都是人工處理，耗時耗力，在大規模的系統中不可擴展，而Vulcan使用了自動化編排的方式，高效解決問題，這一點是很多TVM產品所不具備的，解決了用戶一大痛點。

但同時，Vulcan也存在一些不完善的地方。作為一個漏洞管理的集中平臺，它需要能給用戶提供足夠的靈活性以將更多種類的資產納入平臺中。Vulcan只提到了支持與某些應用的集成，但不支持什么，我們并不知道。其次，應對復雜多變的企業環境，在數據的展示上給用戶定制的空間也是非常必要的。如Rapid7 InsightVM與FireEye Helix提供了多種可定制的界面元素，不同的團隊可以從不同的視角進行監控。Vulcan目前看來還缺少這樣的功能。

五、總結

Gartner 曾預測，到 2020 年底，擁有 5 人以上規模安全團隊的公司企業中，15% 都將采用 SOAR，而現在 SOAR 的采用率只有 1%。Vulcan Cyber將SOAR的概念進一步推向落地，并展示了一個切實可行的解決方案，減少了事件響應過程中重復性任務的人工干預，幫助加速問題的解決。正如去年創新沙盒獲勝者Axonius在網絡安全最基礎的資產管理方面有所創新得到評委垂青，今年Vulcan是否會在同樣基礎的漏洞管理方面自動化提升安全運維效率而得到行業的認可?我們拭目以待。