护航组织数据全生命周期安全
全球各规模、各行业企业正经历IT变革。疫情加速内外部业务运营数字化进程3-4年。除疫情催化，领导层亦认清技术嵌入业务的战略价值。变革多借力第三方商用现成软件本地部署、托管敏感数据的SaaS应用、构建软件用的开源三方库。技术进步虽喜，但不容忽视随之而来的安全新风险。软件供应链普遍化将以新复杂方式暴露企业，冲垮传统安全防线。
脆弱软件供应链已引美政府高度重视，确认网安风险迫切性。5月行政令14028启动主动防御计划：“大胆变革与重大投资，捍卫支撑美式生活的关键机构。”重点聚焦“关键软件安全”：缺乏透明度、抗攻击能力聚焦不足、防篡改控制缺位。NIST聚焦保护数据及所有触达路径，而非仅守护系统网络——承认三方应用/库直达敏感数据的棘手性。近期成功攻击证明：企业必须核算供应商的供应商、支撑应用与接口的三方软件，方能真正缓解软件供应链攻击威胁。
复杂生态系统下的防守新范式
历史聚焦直供商与关键软件风险，此态势已不足。IT变革推开传统网络边界，传统控制失效。自身控制到位不代表供应链上游厂商同步。安全策略不再能信任生态系统任何一环，甚至合作伙伴。软件供应链扩张与现代应用复杂度叠加，漏洞引入速度加快。组织需采用覆盖供应链所有环节（含Nth方代码）的威胁模型。
现代应用由API、微服务、无服务器函数驱动。短生命周期负载与分布式架构下，预生产静态分析无银弹。最严格SDLC仍难免漏洞引入。再次印证：保护数据及所有触达路径必须成根本战略。
直击核心：运行时应用自我保护（RASP）
早期供应链攻击证实：攻击者利用三方软件漏洞潜伏、横向移动、终窃核心数据。Web应用安全须进化：聚焦运行时行为识别——三方代码是否触发异常动作。仅阻断异常行为才能防御新型攻击，这在企业IT演进为多元现代应用环境中至关重要。
应用扫描工具难识别嵌入应用的被控三方软件。边界工具易被看似良性流量欺骗，直到特征库更新。终端安全常对应用层攻击失明——早期很少接触用户设备。企业须部署运行时应用自我保护（RASP）：实时检测阻断应用内攻击，定位至精确代码行，自动阻断漏洞利用，为自主节奏修复争取时间。NIST SP 800-53 Rev.5推荐该技术。
创新与竞争力要求现代化运营，高度依赖三方应用与服务。软件与应用漏洞是根本安全问题，企业须高度重视防御建设，尤其支撑数字化转型的API层。攻击者以隐蔽手段规避防御触达底层数据，唯有部署正确控制与工具，方能真正守护数据与所有触达路径。
Peter Klimek为Imperva技术总监，CTO办公室成员。
工业技术