近日，數(shù)說(shuō)安全針對(duì)中國(guó)網(wǎng)絡(luò)安全市場(chǎng)宏觀趨勢(shì)、政策法規(guī)、市場(chǎng)數(shù)據(jù)、技術(shù)方向、企業(yè)戰(zhàn)略與經(jīng)營(yíng)、產(chǎn)業(yè)投融資等多維度進(jìn)行深度分析和詳細(xì)研究，發(fā)布了《2024中國(guó)網(wǎng)絡(luò)安全市場(chǎng)年報(bào)》，比瓴科技被評(píng)為2023網(wǎng)絡(luò)安全新星代表企業(yè)。

隨著數(shù)字化轉(zhuǎn)型的不斷深入，企業(yè)面臨著日益復(fù)雜且嚴(yán)峻的網(wǎng)絡(luò)安全威脅，有效的威脅建模對(duì)于企業(yè)至關(guān)重要。在此背景下，大語(yǔ)言模型（LLM）技術(shù)提供了良好的安全底座。比瓴通過(guò)結(jié)合大模型和知識(shí)增強(qiáng)技術(shù)建立威脅建模系統(tǒng)，幫助企業(yè)落地威脅建模活動(dòng)。

瓴知-應(yīng)用安全威脅建模系統(tǒng)（TMA）以安全專家知識(shí)庫(kù)為核心，增強(qiáng)式LLM、需求識(shí)別及決策引擎為驅(qū)動(dòng)，通過(guò)自動(dòng)化安全需求識(shí)別、標(biāo)簽篩選的方式向用戶提供輕量化、便捷式的安全威脅建模能力，為企業(yè)安全開(kāi)發(fā)活動(dòng)賦能。

安全專家知識(shí)庫(kù)基于核心內(nèi)容交付團(tuán)隊(duì)十?dāng)?shù)年安全行業(yè)積累所形成的安全專家知識(shí)庫(kù)，為企業(yè)所面臨的各類常見(jiàn)安全問(wèn)題提供覆蓋全流程的安全能力；

安全需求識(shí)別及決策引擎通過(guò)不同維度標(biāo)簽體系將安全專家知識(shí)庫(kù)數(shù)據(jù)條目之間建立關(guān)聯(lián)為上層應(yīng)用提供了迅速便捷的安全基線分析、識(shí)別能力；

增強(qiáng)式LLM引擎基于私域知識(shí)召回的增強(qiáng)式大語(yǔ)言模型(LLM)生成引擎，專注于實(shí)現(xiàn)復(fù)雜或特定深度安全知識(shí)的迅速檢索與查詢；

自動(dòng)化安全需求識(shí)別通過(guò)大模型對(duì)開(kāi)發(fā)設(shè)計(jì)文檔進(jìn)行總結(jié)，通過(guò)向量匹配和多路召回等技術(shù)快速實(shí)現(xiàn)安全威脅建模。

某保險(xiǎn)集團(tuán)經(jīng)典案例

項(xiàng)目背景 某保險(xiǎn)集團(tuán)積極推進(jìn)數(shù)字化轉(zhuǎn)型建設(shè)，不斷開(kāi)展科技創(chuàng)新，豐富業(yè)務(wù)生態(tài)，以向客戶提供更優(yōu)質(zhì)的服務(wù)。為貫徹安全左移理念，完善安全開(kāi)發(fā)體系建設(shè)，提升企業(yè)信息化業(yè)務(wù)的安全性，開(kāi)展本項(xiàng)目建設(shè)。擬在立項(xiàng)、需求、開(kāi)發(fā)、測(cè)試、發(fā)布等階段增加安全活動(dòng)，同時(shí)盡量降低對(duì)原有工作流程的影響。

方案實(shí)施 比瓴科技根據(jù)用戶需求建設(shè)瓴域安全開(kāi)發(fā)管理平臺(tái)產(chǎn)品，與用戶內(nèi)部項(xiàng)目管理系統(tǒng)、需求管理系統(tǒng)、IT服務(wù)管理系統(tǒng)進(jìn)行對(duì)接。把安全融入開(kāi)發(fā)過(guò)程，實(shí)施安全過(guò)程保障。

安全開(kāi)發(fā)管理平臺(tái)以“API即服務(wù)”的形式嵌入集團(tuán)開(kāi)發(fā)流程，在軟件開(kāi)發(fā)不同階段提供不同能力，降低安全開(kāi)發(fā)阻力，為安全開(kāi)發(fā)活動(dòng)賦能。

立項(xiàng)階段：對(duì)接項(xiàng)目管理系統(tǒng)，提供系統(tǒng)定級(jí)能力，通過(guò)問(wèn)卷形式，輔助應(yīng)用系統(tǒng)安全定級(jí)工作，保障安全資源分配的合理性。

需求、開(kāi)發(fā)、測(cè)試階段：對(duì)接需求管理平臺(tái)，通過(guò)內(nèi)置知識(shí)庫(kù)輔助安全需求的輸出，提供安全設(shè)計(jì)、安全組件以及安全測(cè)試要點(diǎn)等內(nèi)容，并同步記錄安全需求的提出、實(shí)現(xiàn)、驗(yàn)證情況。

發(fā)布階段：對(duì)接IT服務(wù)管理系統(tǒng)，記錄經(jīng)過(guò)安全需求驗(yàn)證的系統(tǒng)的發(fā)版信息。

效果評(píng)估 從試點(diǎn)項(xiàng)目安全開(kāi)發(fā)體系運(yùn)行狀態(tài)來(lái)看，安全需求輸出較以往更加規(guī)范化，安全需求覆蓋度顯著提升，測(cè)試發(fā)現(xiàn)安全漏洞數(shù)量明顯下降，實(shí)現(xiàn)了應(yīng)用安全水平提升、安全開(kāi)發(fā)總成本降低的目標(biāo)。