入侵与攻击模拟（BAS）市场分析总结
一、市场定义
- 市场定义：BAS（入侵与攻击模拟）市场聚焦于通过“主动验证 +（半）自动化”方式，模拟攻击者TTP攻击手段，持续测试和验证网络安全机制有效性，包括安全节点设施、策略配置、检测/防护手段等。市场称谓多样（如安全有效性验证），但不含自动化渗透测试产品及服务。
- 发展历程：安全验证思想源于20世纪80年代，历经漏洞评估、渗透测试、安全审计等阶段，BAS是安全验证理念的最新演进，契合网络安全主动防御趋势。
二、核心技术
- 核心技术：攻击模拟、自动化技术（基于ATT&CK框架）、场景布防拓扑、基于业务风险的验证、安全知识库、集成与对接技术。
- 其他技术：多维度有效性验证、云原生技术、分析报告的可读性与可解释性。
三、市场现状
- 市场阶段：国内BAS市场2017年提出，2021-2022年起步，目前处于起步阶段。
- 需求侧：以金融和运营商头部客户为主，需较高安全成熟度和持续投入，项目规模普遍百万级以上。
- 供给侧：以初创厂商为主（约10家），专业型突出，传统安全大厂涉足较少。
- 交付模式：项目型交付为主，私有化部署为主，SaaS模式暂未成为主流。
四、市场规模与发展趋势
- 市场规模：2024年甲方口径市场规模约2亿元。
- 项目数量：2021年以来公开采购BAS项目近2000个，逐年增长，专项采购占比提升。
- 发展趋势：
- 短期内（5年）市场保持上升趋势，因安全验证体系认可度提升，BAS填补核心空白。
- 多类安全验证产品整合趋势明显（BAS、PTE、VA/VPT、ASM等）。
- BAS产品具备SaaS化潜力，利于简化交付和吸引客户。
五、厂商分析
- 明星供应商：知其安、墨云科技、灰度安全等。
- 产品基础能力：调研显示金融、能源化工、运营商等行业BAS收入占比较高。
- 技术创新能力：各厂商基于ATT&CK框架、自动化闭环验证、AI增强等技术。
- 服务能力：项目制交付，覆盖重保、防御态势评估、日常运营等场景。
- 标杆客户案例：金融、运营商、央国企等头部企业。
- 重点供应商推荐：
- 知其安：离朱安全有效性验证平台，擅长常态化策略巡检和自动化闭环验证，适合多分支、多场景企业。
- 墨云科技：VackBAS系列产品，覆盖全攻击链，自动化闭环验证，适合高频安全验证需求企业。
- 灰度安全：先知智能风险评估系统，实战化攻击模拟，AI智能体增强，适合重保、防御态势评估和日常运营。
