安全产品地图：每个产品到底在解决哪个要素
这一章回答你最想要的东西：那一堆安全产品，各自解决的是安全的哪个维度。
但我不打算给你一张”产品列表 + 简介”——那种东西百度一搜一大把，背完就忘。我要给你的是一副眼镜：戴上它，以后任何产品你都能一眼看出它站在哪、管哪个要素、盲区在哪。
一、先戴上眼镜：两个轴，框住所有产品
任何安全产品，都可以放到两个轴上定位。而且你会发现，这两个轴正好就是四要素：
- 横轴 = 资产（它守什么对象）：网络层？主机？应用？数据？身份？云？
- 纵轴 = 威胁 / 脆弱性 / 影响（它解决哪个问题）：
- 管威胁：让你看见攻击（检测、情报、监控）
- 管脆弱性：让你看见漏洞（扫描、测试）
- 降影响：让你减少损失（防护、止损、加密、分段）
产品会换代、会改名、会合并，但这两个轴不变。产品是”实例”，轴是”元层面”——资产（守什么）× 威胁/脆弱性/影响（怕什么、漏在哪、疼多大），四要素全齐了。
先给你一个全景总览，后面逐个展开：
| 保护对象（资产） | 管威胁（看见攻击） | 管脆弱性（看见漏洞） | 降影响（减少损失） |
|---|---|---|---|
| 网络层 | NDR、IDS | — | 防火墙、IPS、WAF |
| 主机/端点 | EDR | — | EDR、主机加固 |
| 应用层 | WAF、RASP | SAST、SCA、DAST、IAST | WAF、RASP |
| 数据层 | DLP、数据库审计 | — | 加密、DLP、KMS、备份 |
| 身份层 | 登录日志分析 | — | IAM、PAM、MFA |
| 云/容器 | CWPP | CSPM、镜像扫描 | CWPP、云防火墙 |
| 运营中枢 | SIEM、TIP、蜜罐 | 漏洞管理平台 | SOAR |
注意看这张表：“看见威胁”和”看见漏洞”这两列，产品很成熟（检测、扫描都被自动化了）；但”综合研判”——把这个脆弱性 × 这个威胁 × 这个影响，判断成”今晚修不修”——却没有一格产品能装下它。 这不是我偷懒，这是安全行业的一个真相：“研判”至今高度依赖人。 你干应用安全，定级这事大概率要靠你自己，而不是某个软件替你一键定好。这点先埋个伏笔，结尾展开。
二、按保护对象逐个拆：它管哪个要素、盲区在哪
1. 网络层 —— 在”大门口”设卡
| 产品 | 解决哪个要素 | 干什么 | 盲区 |
|---|---|---|---|
| 防火墙（传统 / NGFW） | 降影响 | 按 IP/端口/协议放行或阻断流量 | 看不见应用层内容；只认”谁连谁”，不认”连过来干了啥” |
| IDS / IPS（入侵检测/防御） | 管威胁 + 降影响 | 按流量特征库（签名）识别并拦已知攻击 | 只认已知签名，0day 拦不住；加密流量看不穿 |
| NDR（网络检测与响应） | 管威胁 | 全流量留存 + 分析，找异常和横向移动 | 只覆盖网络层，主机/应用内的行为看不到 |
一句话总结网络层产品： 它们都在”大门口”工作，优点是覆盖面广、一次保护所有流量；缺点是只看得到”流量”，看不到”流量进到应用里之后发生了什么”。这就像门卫：他能拦下形迹可疑的人，但拦不住一个拿着合法工牌、进门后却偷东西的内鬼。
2. 主机 / 端点层 —— 在”每台机器”里装哨兵
| 产品 | 解决哪个要素 | 干什么 | 盲区 |
|---|---|---|---|
| EDR（端点检测与响应） | 管威胁 + 降影响 | 装在每台主机上，监控进程、文件、网络行为，能隔离、杀进程 | 需要装 agent，覆盖不到没装的主机；应用层业务逻辑看不懂 |
| 主机加固 / CIS 基线 | 管脆弱性 | 按安全基线配置系统（关服务、改权限、打补丁） | 只管”配置对不对”，不管”业务有没有洞” |
3. 应用层 —— 你的主战场（重点看）
应用安全的产品，核心是这一串测试工具 + 运行时防护。这四个测试工具字母 SAST / DAST / IAST / SCA，你必须分清楚，因为它们是”管脆弱性”这一格的四件套。
| 产品 | 解决哪个要素 | 什么时候用 | 干什么 | 盲区 |
|---|---|---|---|---|
| SAST（静态应用安全测试） | 管脆弱性 | 开发期，看源码 | 白盒，读源码找漏洞（注入、XSS、硬编码密钥） | 误报多；看不到运行时配置、环境、业务逻辑；跑不了依赖组件 |
| SCA（软件成分分析） | 管脆弱性 | 开发期，看依赖 | 扫开源组件和库的已知 CVE、许可证 | 只报”组件有洞”，不知道”可达不可达”（上章讲过） |
| DAST（动态应用安全测试） | 管脆弱性 | 测试期，跑起来打 | 黑盒，对运行中的应用发攻击，看响应 | 覆盖不全；难测业务逻辑漏洞；像盲人摸象 |
| IAST（交互式应用安全测试） | 管脆弱性 | 测试期，插桩 | 在应用里埋探针，边跑边检测，SAST+DAST 结合 | 依赖测试流量覆盖；有性能开销 |
这四个怎么选、怎么组合，我给你一个判断句：
SAST 和 SCA 是”左移”的（开发期就上），DAST 是”补盲”的（跑起来打），IAST 是”想既准又全”时的选择。 它们都是”管脆弱性”——帮你在漏洞上线前看到它。没有一个能保证”零漏报”，所以通常是组合用。
再看运行时防护（“降影响”这一格的应用层选手）：
| 产品 | 解决哪个要素 | 干什么 | 盲区 |
|---|---|---|---|
| WAF（Web 应用防火墙） | 降影响 | 在应用前面拦 HTTP 层攻击，靠规则/语义/学习 | 加密流量看不穿；业务逻辑漏洞拦不住；可被绕过（编码、分块、畸形请求） |
| RASP（运行时应用自保护） | 降影响 | 嵌在应用进程里，运行时实时检测并阻断 | 绑定语言；有性能开销；要在应用里部署 agent |
WAF 和 RASP 的区别，是应用安全里最经典的对比，必须吃透：
| WAF | RASP | |
|---|---|---|
| 站在哪 | 应用外面（旁路/网关） | 应用里面（进程内） |
| 靠什么判断 | 请求的”长相”（特征、规则） | 请求在应用里实际触发的行为 |
| 优势 | 不侵入应用，一次保护多应用 | 能感知上下文，误报低，能拦逻辑类 |
| 弱点 | 看不到应用内部状态，易绕过 | 要部署 agent，有性能/兼容成本 |
一个直觉化的比喻：WAF 是保安在门口查身份证，RASP 是给每个人身上装了执法记录仪。 保安只能看”你像不像坏人”，记录仪能看”你进门后到底干了什么”。所以 RASP 能拦住 WAF 拦不住的东西，但代价是它得”进到每个人身体里”，成本更高。
4. 数据层 —— 管”值钱的东西”本身
| 产品 | 解决哪个要素 | 干什么 | 盲区 |
|---|---|---|---|
| DLP（数据防泄漏） | 管威胁 + 降影响 | 识别敏感数据，监控/阻断外泄（外发、拷贝、上传） | 配置复杂；误报高；加密后内容看不穿 |
| 加密 / KMS（密钥管理） | 降影响 | 数据加密、密钥托管、轮换 | 只管”加密”，不管”谁有权限解密” |
| 数据库审计 / 防火墙（DAM） | 管威胁 | 记录/拦截对数据库的访问和 SQL | 覆盖数据库，应用层逻辑看不到 |
5. 身份层 —— 管”你是谁、你能干啥”
| 产品 | 解决哪个要素 | 干什么 | 盲区 |
|---|---|---|---|
| IAM（身份与访问管理） | 降影响 | 认证、授权、单点登录（SSO） | 只管”身份”，管不了”账号被盗用后的行为” |
| PAM（特权账号管理） | 降影响 | 管高权限账号，密码托管、会话审计、临时授权 | 只覆盖特权账号 |
| MFA（多因素认证） | 降影响 | 口令之外再加一道验证 | 是加一道锁，不是根治 |
6. 云 / 容器层 —— 管”新战场”
| 产品 | 解决哪个要素 | 干什么 | 盲区 |
|---|---|---|---|
| CSPM（云安全态势管理） | 管脆弱性 | 查云资源配置错误（存储桶公开、端口暴露） | 只管配置，不管运行时 |
| CWPP（云工作负载保护） | 管威胁 + 降影响 | 保护云主机、容器、K8s 工作负载 | 与 EDR 边界模糊 |
| 容器镜像扫描（Trivy 等） | 管脆弱性 | 扫镜像里的组件漏洞、配置 | 只扫”镜像”，不扫”运行起来之后” |
7. 运营中枢 —— 把所有”看见”汇到一处，再驱动”降影响”
| 产品 | 解决哪个要素 | 干什么 | 盲区 |
|---|---|---|---|
| SIEM（安全信息与事件管理） | 管威胁 | 汇聚所有日志，做关联分析，出告警 | 告警海量、误报多；依赖规则写得好不好 |
| SOAR（安全编排自动化响应） | 降影响 | 把处置流程自动化（playbook） | 依赖 SIEM 告警质量；自动化错了会误伤 |
| TIP（威胁情报平台） | 管威胁 | 汇聚外部情报（恶意 IP、域名、IOC） | 情报质量参差；要能落地到检测规则 |
| XDR（扩展检测响应） | 管威胁 + 降影响 | 把 EDR+NDR+SIEM 的数据打通，统一检测响应 | 本质是”组合拳”，要看各组件质量 |
| 蜜罐 / 欺骗防御 | 管威胁 | 放诱饵，诱捕攻击者，看他的手法 | 只能看”上钩的”，看不到没上钩的 |
SOC（安全运营中心） 要单独说一句：它不是产品，是组织——是把 SIEM、SOAR、威胁情报、加上一帮安全工程师揉在一起，承担”管威胁 + 降影响”两个动作的实体。很多人把 SOC 当成”买了个大软件”，这是误解。SOC 的核心是人 + 流程，软件只是工具。
三、一层更深的洞察：所有检测产品，本质就三种范式
上面按”守什么资产”分类，你看到一堆产品。现在换个角度，按”靠什么判断好坏”分类，你会发现——所有检测产品（不管 WAF、EDR、NDR、SIEM），判断逻辑只有三种：
| 范式 | 原理 | 举例 | 能抓什么 / 抓不住什么 |
|---|---|---|---|
| 签名（Signature） | 匹配”已知的坏” | 病毒特征库、WAF 规则、IOC 黑名单 | 能抓已知；抓不住 0day 和变形 |
| 异常（Anomaly） | 找”偏离基线的” | 流量突增、登录地点异常、机器学习 | 能抓没见过但”不正常”的；误报高 |
| 行为（Behavior） | 找”可疑的动作序列” | ATT&CK 手法匹配、UEBA 用户行为 | 能抓”组合动作”；依赖建模质量 |
这个三范式，和”四要素”是两根不同的轴，但同样好用。
- 当别人跟你说”我们上了个 AI 安全产品”，你心里可以自动翻译：它是把异常范式用机器学习重做了一遍。
- 当别人说”这个规则库很强”，你翻译：这是签名范式做得好。
- 当别人说”我们做行为分析”，你翻译：这是行为范式。
两根轴一起用，任何产品在你眼里就是”守住 X 资产、用 Y 范式、解决 Z 要素”——三个坐标一填，产品就定型了，不会被营销话术忽悠。
四、回到开头那个伏笔：为什么”研判”这一格是空的
现在揭底。你有没有注意，全景表里”看见威胁""看见漏洞""降影响”这三格都有成熟产品，但**“综合研判”——把脆弱性 × 威胁 × 影响合起来，判断”这个洞在你们环境里到底值不值得今晚修”——这一格，几乎没有产品。**
原因是：“研判”需要理解业务、理解上下文、做判断，这些东西机器到今天还做不好。 产品可以把”看见威胁”（检测）自动化，可以把”看见漏洞”（扫描）自动化，可以把”降影响”（拦截）部分自动化，但”这个 9.8 分的洞，打不打得中我们、打中了疼不疼、今晚值不值得爬起来”——这个判断，至今是人的活儿，也就是你的活儿。
所以我要给你一个重要定位：
应用安全工程师的核心价值，不在”会跑扫描器”（那是”看见漏洞”，迟早被自动化），而在”会研判、会定级、会判断”（那是”综合研判”）。 扫描器谁都会跑，但”这个洞到底要不要今晚爬起来修”这个决策，是机器替不了你的。你在上一章学的定级决策链，才是你吃饭的本事。
思考题（先想，再看答案）
题目一： 公司说”我们上了 XDR，就安全了”。用这一章的两个轴（守什么资产 / 解决哪个要素 / 什么范式），说说这句话有什么问题。
题目二： 一个应用被攻破了，事后复盘发现：WAF 没告警、也没拦。用”WAF 和 RASP 的区别”，解释为什么会出现这种情况，以及你会补什么产品来堵这个盲区。
题目三（延伸）： 现在流行”AI 安全产品”。按”签名 / 异常 / 行为”三范式，你说说所谓的”AI 安全”，主要落在哪个范式？它最可能的短板是什么？
参考答案
题目一： 这句话至少有三个问题。第一，XDR 本质是”管威胁 + 降影响”，它不覆盖”管脆弱性”（找漏洞）和”综合研判”——没有漏洞管理，没有定级研判，上了 XDR 不等于安全。第二，XDR 是”组合拳”（EDR+NDR+SIEM 打通），它好不好取决于每个组件质量，买了不等于配好、用好。第三，从范式看，XDR 里大量检测仍靠签名和异常，0day 和业务逻辑漏洞照样可能漏。结论：产品解决的是某个要素的某一段，没有任何产品能单独兑现”安全”这个词。
题目二： 因为 WAF 站在应用外面，它只能看”请求长什么样”，看不到”请求进到应用里实际触发了什么”。如果攻击者用的是业务逻辑漏洞（比如越权、逻辑绕过），请求本身长得完全正常，WAF 自然既没告警也没拦。要堵这个盲区，应该补 RASP（站在应用里面，看运行时行为）或 IAST/DAST（测试期先发现这类逻辑漏洞）。这也解释了为什么”WAF 不是万能的”——它的盲区，本质是它的位置决定的。
题目三： 所谓的”AI 安全”，绝大多数落在异常范式——用机器学习去发现”偏离基线”的流量、行为、登录模式。它最大的短板也正是异常范式的老毛病：误报高、可解释性差、依赖大量高质量训练数据。此外，AI 通常补不上”签名”范式漏掉的 0day，也没法真正做好”行为”范式的上下文理解。所以务实地说，AI 是给”异常检测”这一格升级了工具，但它没有改变”资产/威胁/脆弱性/影响”的框架，也没有解决”综合研判”这一格依赖人的问题。