提到企業(yè)信息安全基礎架構，我們通常會按縱深防御體系將其劃分為五層：物理層，網絡層，主機層，應用層和數據層。在傳統(tǒng)IT架構下，企業(yè)在信息安全方面的工作重點往往聚焦于網絡層與主機層，例如在服務器外加裝防火墻，在各個終端部署安全監(jiān)控軟件等。
現(xiàn)如今，隨著云計算的發(fā)展和普及，越來越多的企業(yè)開始面臨著全新的信息安全問題。一方面由于云計算的技術特性，使得傳統(tǒng)安全方案已無法滿足企業(yè)的安全需求。
另一方面，以往針對網絡層與主機層的攻擊，開始大量向應用層轉移。據Gartner的報告顯示，如今已有超過80%的網絡攻擊都發(fā)生在應用層。而應用的封閉化，以及國內在應用防護方面的專業(yè)人才缺失，都使得企業(yè)迫切需要采用新型應用防護技術解決這些問題。
作為一位在信息安全領域深耕20余年的大咖，何迪生認為，應用層防護無疑是未來信息安全發(fā)展的必然趨勢，但國內尚沒有成型的產品為企業(yè)提供。于是2015年中期，何迪生應朋友之邀加入藍海訊通，作為創(chuàng)始人負責OneASP項目，并于2016年中期拆分成獨立子公司。
何迪生曾畢業(yè)于加拿大滑鐵盧大學。在20多年的安全生涯中，他曾任職微軟大中華區(qū)信息安全總監(jiān)、微軟香港區(qū)首席安全信息官、WTO第六次部長會議首席安全咨詢師、北京奧運會奧運城市運行指揮平臺安全顧問等。
據獵云網了解，OneASP主要為企業(yè)提供應用層安全解決方案。
何迪生介紹，過去在應用層防護方面，常見的解決方案是WAF（Web應用防火墻）過濾技術。這種技術從架構邏輯上類似網絡防火墻，通常設立在應用入口，提前攔截并分析所有用戶請求。若其中存在與某種攻擊模式相匹配的內容，就會禁止請求進入應用程序中。
但例如SQL注入攻擊，WAF無法簡單進行二次解碼。也就是說，WAF會漏過許多只能在應用程序內部才能看到的攻擊。另外，當攻擊者通過偽裝或其他形式繞過WAF防護，應用程序被攻擊也無法避免。當然，WAF也需要專業(yè)的人才進行配置和管理。
而OneASP采用的是RASP（運行時應用程序自我保護）方案。何迪生介紹，與WAF最大的不同在于，RASP是將檢測探針（agent）安裝在應用程序和其他系統(tǒng)的交互節(jié)點上（并非直接嵌入應用內部），包括用戶、數據庫、網絡以及文件系統(tǒng)的連接點。當有請求要調用應用程序時，agent便可對請求進行監(jiān)控分析，第一時間對惡意請求進行告警和攔截。
OneRASP管理后臺
以JAVA應用為例，RASP將agent安裝在應用服務器的JVM（JAVA虛擬機）中。這樣一來，該應用服務器下的所有JAVA應用都可實時實現(xiàn)應用安全防護。簡單來說，它工作在運行時環(huán)境，像疫苗一樣和應用程序融為一體，第一時間發(fā)現(xiàn)攻擊性請求，實時保護應用程序，并且這些操作大部分都是全自動化的，無需過多人工操作。
雖然能夠更好實現(xiàn)應用層防護，但何迪生直言，RASP并不會完全取代WAF方案，而這也涉及到企業(yè)自身在應用防護方面的具體需求。在一些關鍵應用上，將應用周邊的WAF與應用內部的RASP結合使用，甚至結合此前獵云網曾報道過的杰思安全產品（主機層防護），無疑將會獲得更好的應用防護效果。
據悉，OneASP的RASP方案主要針對的是云計算與數據中心的安全防護。對于如今更多采用公有云的互聯(lián)網企業(yè)，OneASP提供SaaS版產品，將agent直接安裝到其云端應用服務器實現(xiàn)監(jiān)控；而對于一些大型傳統(tǒng)企業(yè)的私有云環(huán)境，OneASP也可提供私有化部署方案。
自2016年3月產品正式上線以來，目前已有100多家企業(yè)客戶開始使用，客戶主要集中在互聯(lián)網金融、電商以及大型傳統(tǒng)企業(yè)，去年已實現(xiàn)近千萬元的營收。
提及2017年的計劃，何迪生表示，公司將會繼續(xù)加大產品研發(fā)、優(yōu)化提升的力度，同時大力進行市場拓展，讓更多缺乏安全專業(yè)人才的企業(yè)，滿足自身應用安全需求。
