相关报告：《全球及中国破坏和攻击模拟软件行业研究及十四五规划分析报告》

2017年，gartner炒作周期中首次出现了一个名为“破坏和攻击模拟软件（bas）”的类别，定位为一种正在崛起的威胁防御技术。作为新兴技术，有望在未来十年成为主流。

突破与攻击模拟（bas）是it安全技术中比较新的一种。能够自动检测出公司在网络防御方面的漏洞，BAS技术通过使用软件代理，虚拟机，云平台等手段运行模拟，测试威胁向量，模仿可以被网络犯罪分子使用的攻击，可以使公司不断为企业资源模拟各种攻击媒介，更好的保护企业的网络安全。大型企业目前大多采用审计、漏洞管理、应用安全检测、渗透检测等方式对自身网络的安全进行验证。与以前的方法相比，BAS可以更好地保证用户的网络安全。

突破与攻击模拟（bas）优势

通过对外部和内部、横向移动和数据泄露等威胁向量进行自动模拟，组织能够对其安全漏洞有更好的了解。bas是红队或渗透测试的补充，但不能完全取代二者。bas技术通过使用软件代理、虚拟机、云平台等方法对模拟威胁进行执行，从而为验证组织安全防御系统提供模拟攻击组合。

1、BAS可用于确保跨时间和空间对安全状况进行一致的测量。

2、在生产环境中运行时，BAS 不会影响数据，也不会对操作造成任何中断。

3、授权的BAS可以快速执行，并提供对现有安全控制有效性的更直观的理解。

4、bas可以将可能的攻击路径全部显示出来，是红队测试和渗透测试的有效补充。

5、BAS使组织能够根据现有的渗透测试和红队进行定期演习和安全评估，帮助组织识别安全系统中的漏洞，并为安全构建优先级提供输入。

6、BAS可以在进行进攻和防御演习之前识别可能的威胁和攻击路径，以便在国家层面进行主动防御。

突破与攻击模拟（bas）规模

全球破坏和攻击模拟软件市场在2019年达到2亿美元，预计到2027年将达到45.54亿美元，在预测期内的复合年增长率（CAGR）为44.09%。就地区而言，北美和欧洲目前是快速增长的市场，并主导着市场。2019年，北美破坏和攻击模拟软件市场价值1.33亿美元。破坏和攻击模拟软件的欧洲市场总规模估计为5100万美元。亚太地区将在一段时间内成为增长最快的市场，尤其是日本、中国和印度等快速增长的市场。

1.17-22市场规模数据图表:

统计数据显示，2017年中国破坏和攻击模拟软件行业市场规模16百万美元，2022年中国破坏和攻击模拟软件行业市场规模187百万美元。2017-2022年中国破坏和攻击模拟软件行业市场规模如下：

图表：2017-2022年中国破坏和攻击模拟软件行业市场规模

数据来源：智研瞻产业研究院

2. 23-29市场规模数据

预测，2029年中国破坏和攻击模拟软件行业市场规模1347.9百万美元。2023-2029年中国破坏和攻击模拟软件行业市场规模预测如下：

图表：2023-2029年中国破坏和攻击模拟软件行业市场规模预测

数据来源：智研瞻产业研究院

Core Security，AttackIQ，Verodin，Guardicore和SafeBreach是破坏和攻击模拟软件全球市场的领导者。其他领先的供应商包括XM Cyber，Cronus Cyber Technologies等。该服务的性质决定了市场上存在众多的小供应商，破坏和攻击模拟软件在全球范围内的竞争十分激烈。为了保持其市场地位，供货商根据定价、产品功能和类型、易用性等进行竞争。为扩大覆盖面和市场占有率，需要开发新的创意和技术，从而保持市场竞争力。

突破与攻击模拟（bas）应用格局

根据最终用户，市场分为经商公司、政府机构和网络运营商。2019年，经商公司以72.58%的市场份额占据最大份额，其次是政府机构（19.25%）和网络运营商（8.17%）。

根据产品类型，市场分为SaaS，云模型和本地部署。2019年，SaaS和云模式共占市场份额的90.57%，内部部署占剩余的9.43%。

突破与攻击模拟（bas）发展障碍

1、目前，大部分bas技术都是采用软件代理来进行安全测试，并根据用户的网络和业务环境进行部署。安全测试不影响用户正常业务运营，难度越来越大。

2、中国企业拥有多种安全检测方法，如合规、审计、漏洞管理、应用安全测试、渗透测试等，因此不应简单粗略地增加bas工具的数量，而应通过bas对现有安全评估措施进行引导和补充，并根据实际情况进行完善。

3、bas还处于成熟初期，中国企业还没有完全认识到bas方案的价值。此外，向用户解释BAS的具体应用价值和重要性也是一个难题。

4、BAS 无法检测利用业务流程中漏洞的威胁和攻击。

5、破坏和攻击模拟 （BAS） 通过模拟攻击者可能使用的潜在攻击媒介来帮助识别漏洞。这允许动态控件验证，但仅基于代理且难以实现。此外，模拟仅限于预定义的剧本，这意味着攻击范围不完整。

突破与攻击模拟（bas）相关政策

2021年，国务院发布《关键信息基础设施安全保护条例》，要求运营商为应对网络安全事件、防范网络攻击和违法犯罪活动，保障关键信息基础设施安全稳定运行，采取必要的技术保护措施。按照有关法律、行政法规和国家标准的强制性要求，保障信息基础设施建设，维护数据的完整性、保密性和可用性。

突破与攻击模拟（bas）发展前景

作为一个新兴的网络安全热点赛道，BAS仍然是一个相对较新的市场。随着企业攻击面的快速增长和网络攻击技术复杂性的日益增加，企业安全运营中心（SOC）面临着巨大的压力和高昂的技术安全债务。很多soc人手不足，无法投入足够的时间和资源对日益增多的安全工具进行有效管理，导致能源效率下降甚至成为“负资产”，为改进保护策略，亟需评估安全保护的有效性。随着BAS市场的不断发展以及国际国内市场需求的不断增加，我们有望看到BAS产品在定制方面的不断创新，行业发展前景广阔。