云与基础设施态势
无代理 CSPM——以 CVSS 评分，按可达性排序。
你的应用可以毫无缺陷，却仍可能通过其运行所依赖的基础设施被攻破。
Redthread 会在 AWS、Azure、GCP 和 Kubernetes 上检查你的云环境，找出攻击者真正紧盯的暴露点——公开的存储桶、过宽的 IAM 权限、对全网开放的端口、未加密的数据、缺失的审计日志。无代理，可安全地持续运行。
无代理
无代理——无需密钥，无需写权限，可安全地持续运行
3 大云平台
AWS、Azure 和 GCP 自动连接，并支持导入 Kubernetes 和 Prowler 数据
CVSS 评分
确定性检查——只有当资源确实未通过检查时才会产生发现
态势检查
无代理 · CVSS 评分 · 确定性
只有真实失败才会产生发现
S3 存储桶公开访问严重 · 9.8
IAM 通配符策略 (
Action:* / Resource:*)严重 · 9.1SSH / RDP 对 0.0.0.0/0 开放高 · 8.1
RDS 可公开访问高 · 7.5
Lambda 函数 URL，无身份验证严重 · 9.1
RDS / S3 静态数据未加密中 · 5.3
在 Redthread 中按可达性排序—— 17 项发现收敛为 1 个真实风险 （基于一个真实运行的 AWS 账户）。
你将获得什么
可以每天安全运行的态势检查，而不是每季度一次。
无代理
连接一个无代理角色后，我们会代入该角色、以无代理方式进行枚举，并运行确定性检查——无需密钥，无需写权限，无需安装任何东西。它无法更改你的云环境，因此可以安全地持续运行。
CVSS 评分，无误报
每一项检查都是确定性的且附有 CVSS 评分——公开存储桶、通配符 IAM、开放的安全组、公开数据库、未加密数据、已禁用的审计日志。只有当资源确实未通过检查时才会产生发现。
三大云平台，自动连接
AWS 通过 Terraform 生成的无代理角色接入，并以你自己的外部 ID 加以限制；Azure 通过应用注册（Reader + Security Reader）接入；GCP 通过服务账号（Viewer + Security Reviewer）接入。每一份凭据在存储前都会通过一次真实的读取调用进行验证。
Kubernetes 与 Prowler 数据导入
导入 Kubernetes 清单或任何 Prowler 格式的导出数据，同样的确定性、CVSS 评分检查就会对其运行——无需单独的工具，一个统一的规范化视图。
按可达性排序
态势数据会流入 Redthread 图引擎。一个公开存储桶只是一项发现；而一个 已知存放个人数据的 公开存储桶才是风险。在一个真实 AWS 账户上，这把 17 项发现变成了 1 个真正重要的风险。
密钥只写不读——任何界面或 API 都不会返回它们——覆盖范围严格等于你所枚举的内容，绝不声称其他一切都没有问题。
阅读覆盖范围说明
工作原理
连接、枚举、检查，并按攻击者实际能触及的范围排序。
01
连接
授予一个无代理角色——AWS 使用 Terraform，Azure 使用应用注册，GCP 使用服务账号。存储前通过一次真实的读取调用进行验证；任何密钥都不会离开你的账户。
02
枚举
我们代入该角色，以无代理方式枚举你各账户和服务中的资源——存储桶、IAM、安全组、数据库、函数、集群、审计日志。
03
检查
在清单上运行确定性、CVSS 评分的检查。只有当资源确实未通过某项检查时才会产生发现——绝不基于猜测打分。
04
排序
发现结果成为 Redthread 中的节点，因此会按可达性排序——互联网是否真的存在通往该资源的路径？它是否能触及敏感数据？路径即优先级。
如实的覆盖范围
观测到的事实，绝不给出虚假的“一切正常”。
发现结果是观测到的配置事实。覆盖范围严格等于你所枚举的服务——绝不声称其他一切都没有配置错误。你的应用可以毫无缺陷，却仍可能通过其运行所依赖的基础设施被攻破；而每当团队发布新内容，态势都会发生漂移——这正是无代理的意义所在：它可以每天安全运行。
真正重要的数字
在一个真实 AWS 账户上，这产生了 17 项发现，但只有 1 个风险 ——因为一个公开存储桶只是一项发现，而一个已知存放个人数据的公开存储桶才是风险。排序依次依据严重级别、已证实优先于潜在，以及路径的直接程度。
常见问题