2025中国网络安全BAS市场销量明星品牌
注：销量明星推荐基于本报告所采用的测算方法，结合营业收入与市场数据两个维度得出。
一、BAS市场定义
1、市场定义
该市场聚焦于一类产品及解决方案：以 “主动验证 +（半）自动化” 为核心方式，借鉴攻击者的战术、技术与程序（TTP），模拟杀伤链不同阶段，持续测试并验证现有网络整体安全机制的有效性 —— 包括各安全节点设施运行状态、安全策略配置有效性、检测 / 防护手段预期落地效果等。
市场中对这类方案有多种称谓，如入侵与攻击模拟、安全有效性验证、安全度量等，同时也存在服务形态的 BAS 解决方案。需特别说明的是，尽管 BAS 会应用部分自动化渗透测试技术，但该市场范畴并不包含自动化渗透测试产品及服务。
Gartner对BAS技术定义如下：BAS是通过不断模拟针对不同资产的攻击，来验证安全防御体系有效性的一种技术。
尽管在许多人看来，BAS（自动化安全验证系统）是一项全新的网络安全技术，但实际上，它是安全验证理念在网络安全不同发展阶段下的产物。安全验证思想最早可以追溯到20世纪80年代计算机网络的兴起。最初，安全验证的目的是保护计算机系统免受未授权访问和破坏，相关技术主要集中在身份认证和访问控制上。进入90年代，随着互联网的普及，安全验证的重点逐渐转向漏洞评估，漏洞扫描工具应运而生。到了90年代中期，渗透测试作为一种评估安全性的手段开始广泛应用。
随着ISO 27001、PCI DSS等法规和标准的出台，企业需要证明自身安全措施的合规性，安全审计也因此成为企业进行安全验证的重要方式。国内网络安全行业起步后，随着等保1.0的发布，安全验证逐步演变为以满足等保要求为核心。进一步发展至2016年，HW出现，在头部企业中，安全验证的形式又从合规检查升级为实战攻防对抗。
综上所述，安全验证是一种宏观理念和思想，在不同发展阶段和网络安全形势下，呈现出多样化的表现形式，并采用不同的产品和技术。从技术特征上来看，传统安全验证技术的目的是为了保障IT与网络资产的安全性，而BAS的主要价值是验证保护这些IT与网络资产的防护设备的有效性。
2、主流安全验证技术
作为一个创新的安全验证技术，BAS出现有两个客观因素：
首先，随着国内网络安全产业从建设期迈入运营期，BAS为安全运营提供了契合的工具，具备明确的应用场景和潜在的市场需求。
其次，BAS作为积极防御技术，具备风险预测与识别等前置能力，这与当前网络安全领域主动防御和动态防御的总体发展趋势高度契合，因此更容易被客户接受和认可。
二、核心技术
三、市场现状
BAS目前在国内属于起步阶段：BAS技术2017年由Gartner提出，但国内真正起步是2021-2022年的时间，市场中陆续出现了商业化的产品。
需求侧主要以金融和运营商头部客户为主：BAS 的客户群体并非聚焦于合规驱动型市场。作为一类具备技术前瞻性的进阶安全方案，其落地应用需以客户较高的安全成熟度、稳定持续的安全投入为前提，且在顶层规划、技术储备等客观条件上，需具备部署 BAS 的基础支撑。因此，当前市场中的核心客户主要集中在两大领域：一是金融领域，具体涵盖国有大行、全国性股份制银行、头部城市商业银行，以及证券、基金、保险行业的头部机构；二是运营商、能源行业的核心央企。从项目规模来看，这类客户的 BAS 相关项目，成交额普遍达到百万级及以上。
供给侧主要以初创厂商为主，安全大厂目前很少涉及：目前国内该赛道厂商数量10家左右，以初创、专业型的BAS厂商为主，这些厂商大多具备攻防对抗、漏洞研究、自动化渗透测试及企业安全运营等核心技术背景，在 BAS 领域的技术深耕与场景适配能力较为突出。与初创及专业厂商的集中布局不同，目前仅有少部分传统安全大厂涉足该领域，尚未形成大规模入局的态势，整体市场仍以专业型玩家为主导。
国内BAS以项目型交付和私有化部署为主：BAS 以积极防御为核心目标，以实战对抗为核心手段，其落地需与客户的网络环境、业务需求及安全策略深度融合 —— 这一特性也催生了行业内的关键现状：尽管厂商普遍在推进产品标准化研发，试图降低落地门槛，但在实际项目交付中，很难实现高度标准化的落地效果。究其原因，仅提供产品无法确保 BAS 真正发挥价值，必须配套从前期咨询规划、方案定制，到中期实施落地、后期持续运营的全流程服务，才能让技术与客户实际场景深度适配。因此，当前 BAS 多以项目制形态交付，整体实施周期相对较长。在部署模式上，尽管部分 BAS 技术（如边界安全验证）已具备 SaaS 化部署能力，但结合核心客户（如金融、能源领域企业）对数据私密性、业务可控性的高要求，多数客户仍优先选择私有化部署，SaaS 模式暂未成为市场主流。
四、市场规模与发展趋势
1、市场规模：2亿（2024年，甲方口径）
2、项目数量分析
整体来看，自2021年以来，公开采购的BAS项目数量累计近2000个，整体项目总量有限，但采购需求呈现逐年增长态势。值得关注的是，BAS专项采购的占比逐年提升，反映出用户对BAS项目的专业化和定制化需求不断增强，也说明BAS技术在网络安全体系中的重要性和应用深度持续提升。
图：2021-2025年8月BAS项目数量
3、市场发展趋势
BAS市场短期内（5年）仍会保持上升趋势：过去三十年，企业安全体系历经 “安全防护 - 安全运维 - 安全运营” 三步演进，安全验证体系的认可度与关注度逐步提升。BAS 作为从零起步的技术，精准填补安全验证体系的核心空白 —— 验证安全产品实际有效性，且能有效识别安全产品默认配置、SOC 告警遗漏等防御失效点，是未来网安领域的潜力方向。结合国内网安关键客户规模（年持续稳定投入的头部客户约 1200 家）及现有 BAS 市场的客户基数与增速，预计未来 5 年 BAS 市场将持续上升。
多类安全验证产品的整合：网安技术发展中，整合是显著趋势，无论是平台型产品，还是 XDR、SASE、零信任等新技术，多为多产品 / 技术整合，本质创新较少。安全验证领域也可能延续这一融合趋势，集成 BAS、PTE、VA/VPT、ASM 等多维度有效性验证 —— 这契合相关厂商的背景能力与技术发展路径。Gartner近期提出的持续威胁暴露管理（CTEM）概念，也正体现这一方向。
BAS 产品具备SaaS化的基础：目前大多数 BAS 产品仅在边界场景支持 SaaS 化安全验证，其他场景仍以私有化部署为主，核心取决于部署位置、应用场景及数据安全敏感性要求。相较于转发或检测网络流量的方案（这类方案较难 SaaS 化），BAS 作为交互攻防流量的方案，在更多场景（如互联网、云场景的有效性验证）中具备 SaaS 化潜力。而 BAS 产品的SaaS 化订阅，不仅利于简化交付、维护及更新扩展，还可能吸引面临经济压力的潜在客户。
五、供给侧分析
2、部分厂商BAS产品现状
本次调研共收到7份来自BAS供应商有效问卷，围绕产品基础能力、技术创新能力和服务能力等多个维度，全面了解了各厂商的产品现状。受调研厂商的主要服务对象包金融、能源化工、运营商等客户，调研企业2025年的BAS收入在各行业分布如下：
2.1产品基础能力
（本部分能力评估等结果均来自调研问卷所收集到的信息，数说安全并未进行实地测评，仅供参考。）
2.2 技术创新能力
2.3服务能力
2.4 标杆客户案例词云
重点供应商产品推荐
3.1 知其安
【分析师推荐语：】
知其安“离朱安全有效性验证平台”在国内BAS市场具备较高的市场占有率，广泛应用于金融、运营商、央国企等行业。平台核心能力在于常态化策略巡检和自动化闭环验证，可持续检测安全设备与策略有效性，降低人工干预，提高安全运营效率。其7×24小时自动化验证机制有助于及时发现安全策略失效点，缩短风险暴露周期，为企业防护体系优化提供数据支持。
平台可自动生成防御态势和量化指标，辅助安全团队进行资源投入和策略调整，提升安全建设回报率。针对多分支机构，平台支持多维度量化评估，便于管理层快速掌握各分支防护水平，满足合规和监管需求。
产品设计覆盖“点-线-面”多层次验证，支持自动化报告生成和与主流安全设备日志自动对接，并能联动SOC/态感平台，实现验证、处置、复验的一体化流程。验证用例覆盖主流攻击手法，响应速度快，具备一定前瞻性和灵活性。
总体来看，离朱平台在自动化验证覆盖面、运营闭环能力和用例响应等方面表现突出，适合有多分支、多场景需求的企业。建议用户结合自身安全架构，评估产品集成能力和实际效果，以实现安全防护水平的持续提升。
3.2墨云科技
【分析师推荐语】：
墨云科技智能攻击模拟验证系统（VackBAS）系列产品，覆盖VackBAS-SC、AC、XC、VM等多种型号，广泛应用于网站、端点、数据、容器、邮件、网络、云平台等安全防护场景。系统基于MITRE ATT&CK框架，能够模拟各类APT攻击的完整杀伤链，进行全链条测试，评估纵深防御能力，精准关联潜在攻击路径，透视全局关键风险。
VackBAS具备自动化闭环验证能力，自动分析攻击结果并匹配安全设备日志，判定阻断与告警行为，生成可视化报告与修复建议，实现安全运营闭环。平台支持从防御、业务、攻击战术多视角展示安全态势，帮助团队快速定位关键风险，优化安全策略。依托墨云安全实验室持续更新的攻击用例库，覆盖HVV高频攻击、TOP100漏洞利用和最新威胁情报，确保验证与实战同步。
产品亮点包括基于ATT&CK量化安全效能、风险评分与修复优先级，助力安全投资决策。AI智能体增强功能，可自动生成多样化攻击载荷，智能研判攻击流量，显著提升测试真实性、覆盖率及自动化水平。典型应用场景涵盖重保专项测试、防御态势评估和日常安全运营，适用于有高频安全验证、持续防御评估需求的企业。
总体来看，VackBAS产品在全方位安全验证、自动化闭环和智能化测试方面表现突出，能够有效提升企业安全防护能力和运营效率，建议有相关需求的用户重点关注。
3.3 灰度安全
【分析师推荐语】：
灰度安全-先知智能风险评估系统是一款面向企业级用户的智能化安全评估平台，具备实战化攻击模拟、自动化风险评估和纵深防御体系验证等多项核心能力。该系统采用先进的攻击编排技术，能够依据丰富的知识库自动生成多维度攻击向量，对网络安全设备、数据安全产品及AI大模型进行全面的防护效果检验。
产品支持网络、邮件、端点、容器、数据库等多种场景，覆盖企业实际运营中常见的安全需求。相较于传统渗透测试，先知系统创新性地采用无损伤评估技术，保障业务连续性，在发现安全短板的同时不会对生产环境造成影响。系统内置自研BAS垂直领域大模型，结合RAG和微调技术，能够自动生成攻击向量并智能转换，显著降低使用门槛，提升安全评估的智能化和自动化水平。常态化安全运营功能，支持周期性自动验证，帮助企业持续发现防护不足和策略缺陷，辅助安全建设和设备选型。针对新上线资产，系统可提供安全入网测试，从源头杜绝“带病上线”风险。产品还特别适用于攻防演练和重保场景，能够动态验证防护措施的实战效能，提升整体安全防护能力。
通过全场景覆盖和创新技术，灰度安全-先知智能风险评估系统为企业构建了科学、智能、持续的安全评估与风险管理体系，是中大型企业、关键信息基础设施单位和AI创新型企业提升安全水平的理想选择。
关注“数说安全”公众号，私信回复“BAS明星”获取pdf版本报告
声明：本文来自数说安全，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
