2023 年回顾

2023 年已经结束，是时候回顾过去，并以乐观的心态迎接 2024 年了。

2023 年是充满挑战的一年，经济、政治和全球局势都充满不确定性。在我们小得多的范围内，Ostorlab 也面临着各种挑战：既要在团队扩张的同时不失敏捷，又要在客户需求不断增长的同时不降低卓越的支持水平，还要投入大量工程时间和精力来解决全新的、非常困难的技术问题。

这一年，Ostorlab 取得的成绩依然令人瞩目。我们的团队规模扩大了一倍，迁入了更大的办公室以支持业务增长，完成了 SOC 2 Type II 审计，赢得了 Swiss Cyber Challenge，并拿下了多家重要客户，既有科技巨头，也有多个国家中规模最大的银行。

外界对我们的要求越来越高，而我们也将继续全力以赴，兑现承诺。

我们 2023 年的北极星目标很简单：检测、检测、还是检测。

这一点体现在多个方面。我们发表了多个主题的研究，例如 Flutter 逆向工程和生物识别身份验证绕过；在最流行的 zip 软件包中报告了多个 CVE 漏洞；还发布了通过应用冒充实现 OAuth 账户接管的研究。我们还发现了更多严重漏洞，从远程代码执行到账户接管不一而足。

在产品方面，我们新增了多项增强功能和能力，仅举几例：

• 移动攻击面扩展：我们扩展了移动攻击面跟踪功能，以监控移动应用的暴露情况、变更和新增内容。
• 后端跟踪与 TLS 流量拦截：新增了拦截并列出基于 TLS 的后端活动的功能。
• 密钥检测改进：我们增强了敏感信息检测，新增了更多类型的密钥，并且查找速度大幅提升。
• 新手引导与用户体验：推出了新的新手引导菜单，并重做了平台界面的多个部分，以改进用户界面和体验。
• 自动化与查询：我们实现了新的自动化规则，用于自动执行攻击面发现任务、工单管理和资产清单处理。
• Flutter 检测：在检测 Flutter 应用漏洞方面取得重大进展，涵盖依赖项列举、准确的堆栈跟踪提取，并新增了超过 870 条漏洞规则。
• 通知系统：升级了通知处理机制和用户体验。
• 周报与审计：推出了新的周报和操作审计功能，提供漏洞、修复和攻击面的趋势报告。
• AI 集成：引入 AI 来总结报告并提供量身定制的修复建议。
• 身份验证与集成：新增使用 Google 和 GitHub 的社交账号登录，以及 AppCenter 和 CircleCI 等新的集成。
• SBOM 与锁文件扫描：增强了软件物料清单和锁文件分析能力，支持十余种文件格式。
• 自定义配置扫描：支持本地部署和自定义扫描配置，随时随地扫描任何对象。
• 网站改版：全面改版了 Ostorlab 的博客和文档，并将所有文档内容重新制作为视频格式。
• 扫描日志改进：增强了扫描日志的汇总与分析，以便即时发现问题和跟踪缺陷。这同时提升了平台的检测能力和稳健性。
• 旧版检测：从旧版检测 Agent 过渡到更高效、更模块化的新 Agent。新 Agent 带来了明显更快、更顺畅的开发者体验。
• 动态分析：改进了动态分析，在 Java、Swift、Dart 和 C 中提供强大的漏洞规则检测和堆栈提取能力；得益于规则生成方面的大量工作，新增了超过 24000 条检测规则。

2024 年，我们的重点是增加更强大的检测能力，以发现更复杂、更严重的漏洞。

如果没有团队的辛勤工作、全情投入和坚持不懈，我们就无法实现这些里程碑。这也直接得益于用户持续分享的宝贵反馈。

感谢大家陪伴我们度过充实的 2023 年，期待 2024 年会更加美好。