RSA 2023创新沙盒盘点｜Valence Security ：自动化SaaS安全态势管理平台

Valence Security[1]是以色列一家SaaS安全解决方案提供商，成立于 2021 年，主要为用户提供即时、非侵入性的SaaS安全态势管理平台，帮助用户降低SaaS数据共享、供应链、身份和错误配置的风险。

Valence Security的联合创始人分别为CEO Yoni Shohet与CTO Shlomi Matichin。Shohet是一名二次创业的企业家，在此之前，他曾与人合作创立了工业物联网安全创业公司SCADAfence[2]。Matichin则是Capester的创始成员之一，Capester是一个公民违规视频的分类平台。

作为一家网络安全初创公司，Valence Security的成长极为迅速，该公司在2022年10月份的A轮融资中获得了2500万美元的资金，由微软的风险投资部门M12领投，其他参与方包括YL Ventures、Porsche Ventures、Akamai Technologies、Alumni Ventures和前赛门铁克CEO Michael Fey。此外，Valence Security还荣获了2023年度最佳网络安全创业公司金奖和SSPM金奖。值得注意的是，在完成A轮融资时，Valence Security仅有25名员工。

那么，为什么Valence Security能在SaaS安全领域高歌猛进呢？下面我们进行分析。 

在过去几年中，随着越来越多的企业将业务迁移至公有云，SaaS市场呈现稳步增长的趋势。根据Statista的统计数据显示[3]，2021年SaaS 市场规模为1463.3亿美元，到 2022年增长至1671.1亿美元，增长超过12%。预计到2023年，SaaS市场将继续增长14%，达到1952.1亿美元。而SaaS应用已经深度嵌入到许多组织的业务功能中，包括销售、营销和产品研发，以促进企业的生产力和效率。据Matichin称，“平均而言，企业使用约80个SaaS应用程序，BetterCloud统计数据显示，拥有超过1000名员工的企业使用超过150个应用程序”。然而，由于不加选择的采用，SaaS应用、集成、用户和数据已经演变成一个无序的SaaS网格（SaaS Mesh） ，安全团队难以进行集中控制和管理。Valence Security在The 2022 Shadow SaaS-to-SaaS Integration Report 报告中指出：

可见在实际的企业环境中，SaaS网格安全管理的混乱。在《2023年Q1 SaaS安全威胁场景报告》[4]中，Docontrol指出了SaaS应用所面临的多种安全威胁，包括内部威胁、内部vs外部参与者访问、第三方至第四方的共享、过期的权限、第三方OAuth应用，以及供应链安全威胁如SolarWinds和Log4j等。

这些问题给企业带来了巨大的挑战，包括人员的削减与专业知识的缺乏、庞大的安全事件告警以及企业内数以百计的SaaS应用互联等等。

为解决这些挑战，Gartner提出了SSPM（SaaS安全态势管理）的概念。SSPM是一种 "持续评估安全风险和管理SaaS应用安全态势的工具"。与CSPM（云安全态势管理）不同的是，SSPM专注于SaaS应用安全，可能不具备一些CSPM的功能。2021年研究人员[5]对SaaS安全市场的估值为83亿美元，预计至2028年将达到212亿美元。

正是察觉到了SaaS安全市场的需求，使得Matichin和Shohet建立了Valence Security，希望能够解决企业的SaaS安全问题。那么Valence Security都有哪些功能呢？是否能解决企业SaaS应用环境中常见的安全风险，我们来了解一下。

Valence Security的主要功能是提供安全团队所需的可见性和业务上下文，通过对SaaS安全风险进行优先排序，在多个SaaS平台中实现自动化的修复工作流程，目前已支持多种常见SaaS应用，如图2所示：

Valence Security具有无代理安装、集中控制、自动化修复等特点，其工作流程如图3所示：

Valence Security可通过无代理的方式连接至用户的核心SaaS应用程序，能够持续发现集成的SaaS应用、第三方的威胁情报等，并将供应商风险(TPRM)流程情境化，最终以可视化的形式进行展示（如图4），降低了用户SaaS应用治理的门槛：

官方宣称“在几分钟内，安全平台可以连接到客户的核心SaaS应用程序，以分析配置和活动日志”，Valence Security应该在安装过程中对接SaaS应用的管理员凭证，通过管理员权限连接至SaaS应用后分析应用的配置和日志文件，为后续的风险检测做铺垫。

Valence Security支持自动化的修复流程，通过统一的安全策略，扫描SaaS应用的安全风险并进行自动化修复。安全策略覆盖多种流行的SaaS应用，如Google Workspace、Microsoft Office 365、Github等，策略的内容包括SaaS应用常见的风险，如不活跃的或有风险的和过度授权的角色、有风险的第三方组件、不安全的数据共享、不活跃的或休眠API/OAuth令牌、不安全的电子邮件转发规则、不符合规定的无/低代码工作流程等，同时也包括不安全配置对应的具体修复措施。当Valence Security检测到相应风险之后便会进行自动化修复，如自动开启MFA、自动关闭数据公开访问等，提高了修复的工作效率，如下图5、图6所示：

通过Valence Security的安全策略检测以及后续的自动化修复，可以帮助企业的SaaS网格满足合规性标准。

修复工作流程不仅可以自动化，也支持让业务用户手动修复。在修复过程中会自动向用户发出通知，并为其提供修复指导，通过让用户参与修复流程来提升用户的体验和最终的治理效果，以避免全自动化流程对业务造成不良影响的情况。Matichin曾称“为业务用户提供上下文并让其参与配置”是Valence Security的优势项，如图7、图8所示：

下面分别通过一个具体的SaaS应用案例和客户案例，来了解Valence Security如何保护某个SaaS应用的安全，又如何帮助企业解决处理SaaS网格安全治理问题。

GitHub是一个领先的软件开发和版本控制平台，是当今许多组织的关键业务应用，因为数字化转型正在将多个领域的许多公司变成软件和技术公司。GitHub用户可以连接GitHub应用程序和OAuth应用程序，以提高他们的生产力和协作，配置个人访问令牌（PAT），以便与外部服务集成，生成SSH密钥以识别自己，而不需要用户名和密码，甚至可以使用GitHub Actions使他们的CI/CD和其他工作流程自动化，减少人力投入。

‍GitHub应用可以在GitHub市场上发布，如果该应用是内部定制的应用（即组织为其个人使用而创建的应用），则可能仅限内部使用。此外，组织账户上的GitHub应用的授权仅限于管理员，非管理员用户仅可以授权个人账户的GitHub应用。

虽然GitHub本身是安全的，但被授权的第三方可能是一个薄弱环节。本身有风险的或权限过高的OAuth令牌则可以被恶意利用，使GitHub客户面临数据泄露的风险。

然而针对GitHub的供应链攻击并没有被现有的解决方案覆盖，如IdP（身份提供商）、CASB（云访问安全代理）和SSPM（SaaS安全态势管理），这些解决方案专注于人对SaaS的访问控制，却忽视了日益增长的SaaS-to-SaaS的第三方集成侧。

那Valence Security如何保护GitHub的安全呢？

Valence Security可以与GitHub环境无缝集成，主要通过以下手段发现SaaS网格攻击面并治理与之相关的风险：

Lionbridge是一家翻译服务公司，成立于1996年，目前已有6000多名员工和2500多名客户，支持350多种语言，在全球23个国家设有办事处。Lionbridge面临的主要挑战如下：

1）Lionbridge为其分布在全部不同业务部门的员工采用了不同的SaaS解决方案，但同时也给统一管理带来了困难。

2）现有的第三方集成，对核心SaaS应用的高权限访问。

3）对电子邮件转发规则的管理有限。

4）对非活动用户账户的更大可见性的业务需求。

Lionbridge使用Valence Security发现了企业环境内超过1000个SaaS-to-SaaS的集成。

Valence Security为Lionbridge提供了自动化的SaaS发现和修复，检测并分类了超过1000个SaaS-to-SaaS的集成，使安全团队对整个SaaS服务的风险有统一的可见性和控制，同时将业务用户纳入修复工作流程中并为他们提供最佳实践指导。最终约有95%的不活跃或过时的令牌被撤销，对未管理的电子邮件转发规则实现了100%的可见性和管理，识别到了大约10%的休眠账户，从而提高了资源的可用性。

其实在2020年的RSA创新沙盒大赛中，就已经有SaaS安全领域的公司入围：AppOmni[6]和Obsidian Security[7]。其中Obsidian Security公司的关键词是云检测与响应（CDR），主要是将xDR的理念应用在云端。通过不断收集，规范化和分析来自SaaS应用和云服务的大量状态和行为数据，为安全专业人员提供检测、响应和调查云中威胁所需的全面的可视化信息。和Valence Security更为相似的公司是AppOmni。AppOmni公司的产品面向SaaS应用，提供安全配置扫描、合规控制和IT管理的功能，虽然可以持续监控SaaS安全态势并在数分钟内完成扫描提供相应报告，但AppOmni并没有自动化的修复流程。

因此综合官方的产品文档以及公开的具体案例分析来看，与AppOmni相比，Valence Security的亮点主要是在于其发现与可视化和自动化修复的功能。

在发现与可视化方面，Valence Security通过分析SaaS应用的配置与活动日志，结合第三方威胁情报，能够自动化发现SaaS应用、用户、权限、数据和第三方集成的信息，并以可视化的方式进行展示，满足了企业对当前SaaS网格可视性的需求，降低了企业SaaS统一管理的门槛和难度，像Lionbridge这样SaaS应用管理混乱的企业场景，便可以通过可视化界面清晰掌控全局。同时通过清晰的SaaS网格图，也能较好地发现供应链风险。

自动化修复流程是Valence Security的另一亮点。在实验室的研究积累之上，覆盖了当今众多SaaS应用的安全威胁检测。在检测到相应的安全风险之后，通过全自动或人工干预的方式来进行修复工作，既可提高工作效率，也可在人工干预时不断提升用户的安全意识。

综合SaaS安全市场的增长趋势以及供应链安全的关注度，Valence Security能否作为SSPM技术发展的代表从众多创新公司中脱颖而出，让我们拭目以待！