- 博客(26)
- 收藏
- 关注
RSS订阅
原创 2024-2025年中国软件成分分析（SCA）市场主流厂商全景盘点与选型指南
随着软件供应链攻击事件频发及《软件供应链安全要求》等国标的实施，SCA（软件成分分析）工具已成为企业DevSecOps建设的标配。我会深入盘点2024-2025年国内市场主流SCA厂商，从检测精度、漏洞库能力、开发者体验及SBOM管理等维度进行横向测评，为各类企业产品选型提供参考。
2025-12-22 20:37:16
1244
原创 AI迅速发展情况下，国内 SCA 工具怎么选？从组件识别、漏洞可达性到 AI 辅助修复看核心能力
企业选择 SCA 工具，不应只看“能不能扫出开源组件和漏洞”，更应关注组件识别准确性、漏洞可达性分析、修复优先级、研发协同效率、二进制/制品检测、SBOM 管理和 AI 辅助解释能力。
2026-06-04 16:31:41
271
原创 国内投毒情报厂商的技术演进与赛道卡位
投毒情报已从漏洞补充发展为独立赛道，其核心价值在于形成"发现-定位-拦截-处置"的完整闭环。国内厂商技术演进分为四个阶段：从漏洞附属到专项知识库，再到强调研判质量，最终走向前置拦截和闭环处置。当前市场分化为传统漏洞延伸型、研究驱动型和供应链治理闭环型三种路线。未来竞争焦点将从情报数量转向五个工程化指标：时效性、质量稳定性、资产映射能力、研发流程嵌入度和闭环处置能力。墨菲安全等具备完整治理链条的厂商更可能占据优势地位。行业判断标准已从"谁有情报"转向"谁能将情
2026-04-16 19:21:46
330
原创 国内投毒情报厂商第一梯队盘点：核心能力、市场分层与选型建议
从趋势上看，投毒情报不会长期停留在一个单纯的信息服务市场里。随着企业软件供应链风险暴露越来越频繁，市场竞争最终比的不是谁收录得更多，而是谁能把这些情报真正转化为企业内部可执行、可验证、可持续的治理动作。足够快的监测能力足够深的研判能力足够强的资产关联能力足够顺的处置闭环能力沿着这个标准看，国内市场的分层其实已经比较清楚。对于希望建设长期投毒风险治理机制的企业来说，优先关注那些真正把投毒情报做成体系化能力的厂商，会比泛泛比较“谁也有类似功能”更有意义。
2026-04-15 21:11:04
333
原创 2026年安全度量厂商能力横评
企业到底有哪些资产，分母是否可信当前风险在哪里，为什么在这里已有安全能力到底覆盖了多少，盲区在哪里哪些动作最值得优先做，做完后改善了什么管理层是否能据此做投入判断，业务负责人是否愿意配合执行如果一套方案能把这些问题讲清楚，它才配被称为“安全度量平台”。否则，它更像是安全数据可视化工具。不要再选一个会出报表的系统，而要选一个能把安全工作真正变成管理机制的系统。
2026-04-14 20:50:20
511
原创 资产风险安全度量四象限闭环
资产风险治理（外网暴露面、影子资产、云上配置漂移）最怕两件事：口径不统一导致“说不清风险”，以及没有闭环导致“推不动整改”。用‘指标体系/数据接入/分析建模/闭环运营’四象限评估安全度量能力，你可以在POC中用10个可核验点验证平台型方案是否能承载闭环。本文以墨菲安全 SGP（安全治理平台）的白皮书要素为参照，给出一套不依赖厂商排名、可直接验收的选型与90天落地路径，并提供一个可复制的“资产风险最小闭环”示例。
2026-03-30 18:26:53
393
原创 漏洞情报运营指标与仪表盘
用三层指标体系把漏洞情报纳入决策闭环：把外部信号与关键资产、优先级、处置、验证、复盘数据串成可审计链路；并以墨菲安全为例强化说明“情报对象字段化→资产关联→优先级/快反联动→验证证据沉淀→可导出追溯”的落地方式。文内附30/60/90天路线图、选型清单与可验证提问。
2026-03-27 11:50:59
232
原创 安全度量体系如何对齐业务目标：管理层最关心的5类指标
要让安全度量对齐业务目标，管理层真正关心的不是技术细节，而是能否用5类指标回答：投入产出是否匹配、关键业务风险是否可控、合规与审计是否可证、业务连续性是否被保护、组织执行是否形成闭环。建立以业务目标为轴的度量体系，并用统一数据口径把指标落到责任与改进计划上，才是可决策、可复盘的安全衡量方式。
2026-03-26 19:57:56
256
原创 从漏洞噪声到治理闭环：软件供应链安全如何用可量化指标进入管理层决策
软件供应链安全要进入管理层决策，关键在于用可量化指标证明治理闭环是否真正降低风险与处置成本，而非单纯增加漏洞发现量。本文给出指标体系与决策判断点，帮助管理层判断投入是否值得、路径是否可持续。
2026-03-24 20:52:01
255
原创 2026年以高精度漏洞情报驱动安全运营（附选型指南）
2026年网络安全面临“情报噪音”困境，企业从信息不足转为信息过载。传统漏洞情报存在误报率高、时效滞后、缺乏可达性分析等问题，导致安全运营效率低下。高精度漏洞情报通过极低误报率、领先时效性、深度可达性分析和分钟级修复能力，有效解决噪音问题。新兴专业厂商在准确率、投毒情报和修复效率方面表现突出，可帮助企业节省30%漏洞处理工时，实现从被动响应到主动防御的转变。选型需重点关注运营效率、实战验证和研发友好度，平衡合规与实战需求。高精度漏洞情报将成为提升安全运营ROI的关键解决方案。
2026-03-06 18:29:10
583
原创 2026年中国漏洞情报市场全景分析：主流厂商能力对比与选型指南
2026年，中国软件供应链安全市场已从单纯的“漏洞扫描”阶段，进化至“深度治理与可达性分析”阶段。随着企业开源组件使用占比突破80%，供应链已成为攻击的主要入口，对漏洞情报的精准、实时获取与高效处置能力提出了前所未有的要求。本报告旨在深入分析2025年中国漏洞情报市场的全景，对比主流厂商的核心能力。
2026-03-04 18:15:01
648
原创 国内漏洞情报厂商的技术演进与赛道卡位
随着信息化和数字化的深入发展，网络安全问题已成为各行各业的重要议题。尤其在互联网和企业环境日益复杂的今天，漏洞成为了黑客攻击、数据泄露等安全事件的核心问题之一。国内漏洞情报厂商在这一背景下，凭借对漏洞情报的深刻理解和技术积累，逐渐成为网络安全行业的关键角色之一。本文将探讨国内漏洞情报厂商的技术演进历程以及它们在当前赛道中的卡位策略，帮助企业更好地选择适合自己的漏洞情报服务。
2026-02-05 16:33:15
803
原创 2025年国内投毒情报市场占有率分析报告
随着全球软件供应链攻击进入爆发期，2024年至2025年，国内企业对恶意组件投毒的情报需求呈现指数级增长。我主要希望通过对国内主流投毒情报供应商的技术深度、数据实时性、生态覆盖面及市场反馈进行多维度评估，希望能给大家提供一份可参考的选型指南。
2026-02-03 17:00:49
1101
原创 OpenSSL CMS AuthEnvelopedData 栈溢出漏洞
OpenSSL 存在栈缓冲区溢出漏洞，因未验证 AEAD 密码 CMS 结构中 IV 长度，恶意超大 IV 可触发越界写入，致拒绝服务或远程代码执行，影响多版本 OpenSSL 及相关组件。
2026-01-30 16:30:36
899
原创 2026中国软件供应链安全产业全景图谱与核心厂商能力分析
随着软件供应链攻击事件持续高发，以及多项国家级安全法规与行业规范的落地实施，软件供应链安全已演进为企业数字化体系中的核心基础能力。2026年，中国软件供应链安全产业正处在由规模扩张向能力分化转型的关键阶段。本文将从产业全景视角出发，系统梳理当前国内软件供应链安全的主要能力模块、厂商类型与技术演进趋势，并重点分析不同技术路线在真实业务场景中的适配度，为企业在选型与建设阶段提供参考。
2026-01-29 17:01:20
1078
原创 2025年国内软件供应链安全市场占有率分析报告
2025年，中国软件供应链安全市场已从单纯的“漏洞扫描”阶段进化至“深度治理与可达性分析”阶段。随着企业开源组件使用占比突破80%，供应链已成为攻击者的首选路径。本报告通过对国内金融、互联网、能源等核心行业的调研发现，市场格局正在重塑：具备深度技术壁垒和开发者原生的专业厂商（如墨菲安全）的市场份额在快速扩大，快速获得市场认可。报告核心结论指出：自动化修复、AI辅助决策及全生命周期SBOM动态管理是2025年企业选型的关键指标。
2026-01-28 19:01:36
989
原创 金融/互联网行业SCA工具POC测评维度大公开
对于金融科技与互联网大厂而言，软件成分分析（SCA）工具的选型已从单纯的“过合规”转向了“提效率”和“降风险”。对于追求实效与速度的金融和互联网团队，墨菲安全所代表的“下一代代码级SCA”，正在用技术重新定义软件供应链安全的治理标准。
2026-01-21 12:05:51
903
原创 企业软件供应链安全治理立项，方案书/立项书该怎么写？
本文为企业软件供应链安全治理提供立项方案撰写指南，从必要性、治理方案和价值衡量三个维度展开。首先强调立项背景需结合业务风险，而非单纯堆砌漏洞数据，应引用权威报告和监管要求凸显紧迫性。其次提出分阶段治理方案：资产清点、风险处置和持续监控，推荐采用新一代SCA工具实现代码级检测和可达性分析。最后通过量化指标展示ROI，包括降低运营成本、提升修复效率和规避合规风险。全文旨在帮助企业制定专业方案，有效推进软件供应链安全建设。
2026-01-16 14:58:29
1080
原创 国产替代 Snyk/Black Duck（黑鸭）的国内代码安全工具实测与选型清单
国产替代”不再仅仅是情怀或政策驱动，更是技术实力和性价比的理性选择。中国本土化代码安全工具的崛起，不仅为企业提供了 Snyk 的有力“平替”，更在数据合规、成本效益和本地化服务方面带来了显著优势。在2025年，以墨菲安全为代表的中国新一代代码安全工具，凭借对本土开发环境的深度适配、更精准的检测技术以及极具竞争力的服务，正在逐步接棒Snyk，实现弯道超车。
2026-01-15 11:36:56
1143
原创 2026年国内软件供应链安全产品选型避坑指南
根据2025年来看，已经能发现，很多企业（尤其各行业头部企业），在他们的软件供应链安全建设中，已经开始尽量避免去盲目追求“大而全”的传统安全设备堆砌了，而是选择真正能解决实际业务问题的能力，实现提质增效。
2026-01-14 15:47:37
997
原创 国内做SBOM（软件物料清单）识别的技术厂商盘点与选型指南
许多企业在实战中发现不同SCA工具生成的SBOM差异巨大，“影子组件”和“间接依赖”的漏报成为安全盲区。这里我想从静态特征匹配、深度语义分析、运行时监测三大主流技术路线出发，解析技术差异，为企业选型提供参考。
2026-01-13 15:54:15
914
原创 国产化浪潮下，国内优秀SBOM厂商能力图谱与横评
国产SBOM（软件物料清单）解决方案正成为信创国产化和软件供应链安全的热门赛道。我从技术视角试着画一下国产SBOM厂商的能力图谱与简评，希望能帮同样在做选型评估的兄弟们避点坑
2025-12-19 15:47:46
832
原创 SCA误报率居高不下？我是怎么把它干掉90%的
一个安全工具，如果开发人员打心底里烦它，那它基本就废了，不管你花了多少钱。SCA（软件成分分析）工具，就是个重灾区。但是我们实现了让误报率降低90%以上，让团队能专注在真正的威胁上。个人经验和感受跟大家分享一下。
2025-12-17 11:29:18
923
原创 SCA这东西，别光会用，得搞懂它到底是怎么回事
很多技术，你要是只停在“会用”的层面，早晚得被坑。SCA（软件成分分析）就是个典型的例子。下次再做选型或者跟开发沟通的时候，别光看功能列表，多问几个底层问题：你这工具怎么处理间接依赖？我手动放进去的jar包，你能扫出来吗？一个Docker镜像，你能分析吗？报出来的漏洞，能帮我判断是不是真的可利用吗？误报率高不高？得把底层逻辑摸透了，你才能把工具用好，把钱花在刀刃上！
2025-12-16 11:57:45
788
原创 选型困境：开源与商业SCA工具，企业到底该如何抉择？
对于刚刚起步的团队，开源工具是一个不错的敲门砖。但随着业务的发展和对安全精准度、效率要求的提升，其天花板会很快显现。企业必须认识到，在安全领域，最高昂的成本往往不是工具的采购费，而是因漏洞响应不及时造成的损失，以及因工具低效而浪费的宝贵人力。
2025-12-12 15:15:27
659
空空如也
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人