RSAC 2024创新沙盒｜RAD Security：云原生异常行为检测和响应新方案
内容提要
RAD Security是一家云原生安全公司，提供实时Kubernetes安全态势管理和云原生身份威胁检测和响应等产品。其产品利用eBPF技术建立安全基线，防御0 Day攻击。RAD Security发布了Kubernetes物料清单和AI能力的实时KSPM以及补充RBAC管理能力的ITDR。
延伸解读
KBOM：Kubernetes安全的新视角
RAD Security发布了首个Kubernetes物料清单（KBOM）标准，并已开源初版。与SBOM侧重软件组件不同，KBOM专为Kubernetes环境设计，能输出集群资产、镜像漏洞、CRD风险等信息。这为安全团队提供了集群安全概览，但需注意其镜像扫描等技术细节未公开，实际效果可能依赖CVE库的完整性。
云原生ITDR与传统RBAC工具的差异
RAD Security的云原生ITDR不仅关注权限配置，还通过行为审计检查权限是否被绑定或使用，并结合零信任机制评估风险。与CIEM、KIEM等传统工具相比，ITDR更注重运行时威胁检测和响应。但文章指出，其身份风险评分和修复建议仍依赖人工判断，自动化程度有限。
eBPF工作负载指纹的创新与挑战
RAD Security利用eBPF技术建立云原生工作负载的行为基线，通过监控内核调用链识别异常，以防御0 Day攻击。这一思路在云场景中具有创新性，但面临两大挑战：一是指纹更新难以跟上快速迭代的工具和业务需求；二是eBPF调用链信息可能被篡改，若hook被劫持，白名单机制将失效。目前后者缺乏有效解决方案。
RAD Security产品的创新性评估
文章认为，RAD Security的实时KSPM和ITDR产品创新有限，因Kubernetes最佳实践和RBAC管理已有成熟方案，AI生成修复建议也非新鲜事。其真正的创新点在于将eBPF技术应用于云原生异常行为检测，建立行为白名单。但该方案的有效性受限于指纹更新和调用链篡改问题，实际效果有待验证。
Q&A
RAD Security的主要产品是什么？
RAD Security主要发布了实时KSPM、云原生ITDR和云原生工作负载指纹三款产品。
什么是Kubernetes物料清单(KBOM)？
Kubernetes物料清单(KBOM)是RAD Security发布的首个Kubernetes安全标准，旨在提供安全概览。
RAD Security如何防御0 Day攻击？
RAD Security通过建立云原生工作负载指纹，利用eBPF技术监控正常行为，从而识别和阻止异常行为，防御0 Day攻击。
RAD Security的客户保留率是多少？
RAD Security的客户保留率达到100%。
云原生ITDR解决方案的主要功能是什么？
云原生ITDR解决方案旨在识别和处理恶意身份资源，缓解Kubernetes RBAC攻击。
RAD Security的实时KSPM工具有什么特点？
实时KSPM工具能够以秒为单位展示云原生基础设施状态，并支持分钟级部署。
