Microsoft 在 Frost Radar 云与应用运行时安全报告中被评为领导者

导语：本文基于 Frost & Sullivan 2026 年 Frost Radar™ 云/应用运行时安全（CARS）报告，介绍 Microsoft 在该领域被评为领导者，并阐述 Defender for Cloud 与 Defender XDR 协同实现全栈运行时风险降低的思路。

云安全正在从单纯的可见性向上下文感知的风险降低转变，并延伸至攻击实际发生的应用、API 与工作负载。由于现代工作负载构建并运行在云端，安全团队必须理解哪些暴露面最为关键，优先处理真正可被利用的风险，并在从基础设施到应用运行时的整个技术栈中降低风险。

随着组织在多云与混合环境中不断扩张，他们普遍采用基于容器、Kubernetes、微服务、API 以及 AI 驱动工作负载的现代架构。这使得安全信号的数量与互联程度同步增加。挑战已不再是识别孤立的风险点，而是判断漏洞、身份与数据暴露如何在基础设施及其上运行的应用之间相互组合，形成真实的攻击路径，并确定其中哪些最需要在源头进行修复。有效的风险降低取决于理解哪些路径在真实运行环境中真正可达且可被利用。

Frost & Sullivan 于 2026 年发布的 Frost Radar™ 云/应用运行时安全（CARS）报告反映了这一转变。报告指出，云安全正在从一系列态势和工作负载能力的集合，进化为统一的运行时风险运营模型，将代码、云、运行时、应用以及安全运营中心（SOC）工作流中的信号相互关联，从而持续地识别优先级并降低风险。

在这一持续演进的市场中，Microsoft 因其超大规模生态系统的体量、Microsoft Defender for Cloud 与 Microsoft Defender XDR 集成后所展现的运营广度以及庞大的客户基础，被定位为具有远见的领导者。这一认可也反映了该品类未来的发展方向——即云安全与应用安全融合为统一的、可操作的风险视图。

Frost Radar 明确传达了一个观点：云安全不再仅仅关乎可见性或合规性，而是正在成为一门在完整运行时（从云基础设施到运行其上的应用代码）降低风险的运营学科。这种复杂性暴露了传统孤立工具的局限——云态势、工作负载保护与应用安全往往分散在各自独立的控制台中。组织如今需要能够跨越开发、运行时和运营，并在应用及其所运行的云环境之间持续工作的平台。

Frost & Sullivan 不仅从增长与创新维度评估供应商，更看重其帮助组织管理真实风险的有效性。下一代平台由五大主题定义：连通代码与云的运行时风险上下文、跨云检测与响应（CDR）与应用检测与响应（ADR）的融合、从孤立发现到攻击路径关联的优先级排序、跨开发与运营的持续风险验证，以及将所有信号整合到统一调查流程的能力。综合来看，这些能力代表着从碎片化的可见性向连通且具备上下文的风险管理的演进。

大多数安全工具会在云基础设施与应用中呈现大量发现，但孤立的发现无法反映网络攻击的真实发生方式。攻击者往往会利用错误配置、过度权限与数据暴露相互结合所形成的通往关键资产的路径。Microsoft Defender for Cloud 将态势、身份、数据与运行时信号相互关联，识别真正可被利用的风险。一个孤立存在的错误配置存储资源看似优先级较低，但当其暴露于互联网、叠加过度访问权限，并连接到敏感数据时，就会成为一条明确的、可用于入侵环境的攻击路径。其意义在于：安全团队可以优先处理真实的攻击路径，而非孤立的发现项，从而降低告警疲劳并提升修复的速度与精度。

安全需要在开发、运行时与运营之间持续运行，跨越应用及其所在的云环境。Defender for Cloud 将代码与基础设施定义、云配置与运行时上下文、应用与 API 层、以及通过 Defender XDR 实现的安全运营工作流相互打通。在部署前识别的漏洞可以被一路跟踪至运行时，在运行环境的上下文中进行评估，并在被判定为可利用时呈现在安全运营流程中。其意义在于：组织能够通过将开发、云环境与安全运营相连，持续验证风险并更有效地做出响应。

随着环境规模不断扩大，碎片化的工具与工作流程使得理解风险如何相互关联以及首先聚焦何处变得困难。当云基础设施与应用安全彼此割裂时，调查过程会变得更加缓慢且依赖人工。Defender for Cloud 帮助将这些信号汇集到统一的调查流程中，使安全团队能够在配置、运行时上下文、应用行为与身份暴露之间进行关联分析。安全团队无需在不同工具之间反复切换，即可针对单一事件从初始错误配置、运行时影响、应用行为到身份暴露进行端到端调查，获得更加连贯的体验。