近年來，隨著移動互聯(lián)網(wǎng)的快速發(fā)展，誕生了APP、H5、小程序等多種應(yīng)用形式，更多的企業(yè)核心業(yè)務(wù)、交易平臺都越來越依賴這些新型應(yīng)用程序。與此同時，越來越多的第三方API接口被調(diào)用，API業(yè)務(wù)帶來的Web敞口風(fēng)險和風(fēng)險管控鏈條的不斷擴大，已非傳統(tǒng)WAF的防護范疇。雖然WAF產(chǎn)品通過多年的發(fā)展已經(jīng)相對成熟，但其對復(fù)雜威脅的檢測和響應(yīng)能力仍有待進一步提升，新一代WAF的產(chǎn)品理念開始被提出。
為了更好探尋新一代WAF的應(yīng)用價值與發(fā)展方向，安全牛聯(lián)合瑞數(shù)信息等7家國內(nèi)WAF產(chǎn)品研發(fā)與應(yīng)用領(lǐng)域代表廠商，啟動《新一代WAF技術(shù)應(yīng)用指南》報告研究工作 ，從企業(yè)當前的Web應(yīng)用防護需求入手，并圍繞用戶的系統(tǒng)應(yīng)用特征，給出新一代WAF產(chǎn)品的部署和選型建議。12月19日，報告正式發(fā)布。瑞數(shù)信息技術(shù)總監(jiān)吳劍剛受邀參與當天舉行的線上發(fā)布會，并結(jié)合“多元防護 動態(tài)融合”主題，分享了瑞數(shù)信息在構(gòu)建WAAP解決方案過程中的實踐與探索。
多元防護 動態(tài)融合——瑞數(shù)WAAP解決方案
吳劍剛
瑞數(shù)信息技術(shù)總監(jiān)
相關(guān)閱讀：新一代WAF代表廠商|《新一代WAF技術(shù)應(yīng)用指南》報告發(fā)布
https://mp.weixin.qq.com/s/pxXigaiZg70dCvgC0q9ZRQ
Web安全面臨新挑戰(zhàn)，傳統(tǒng)應(yīng)用安全技術(shù)失效
據(jù)吳劍剛介紹，今年以來，越來越多的企業(yè)遭遇到零日漏洞 的高頻攻擊，攻擊者通過利用軟件中的漏洞對企業(yè)服務(wù)器進行未經(jīng)授權(quán)的訪問、加密和操控，并以此作為勒索籌碼，為企業(yè)造成巨大損失和業(yè)務(wù)中斷。
根據(jù)身份盜竊資源中心(ITRC)的統(tǒng)計數(shù)據(jù)顯示，零日漏洞攻擊尤其呈上升趨勢，與去年相比，2023年前三個季度的攻擊數(shù)量增長了1620%。一系列因零日漏洞所引起的安全事件引發(fā)了企業(yè)的廣泛關(guān)注和恐慌，也暴露出網(wǎng)絡(luò)安全的脆弱性和企業(yè)在面對新興威脅時的不足之處。
與此同時，隨著企業(yè)業(yè)務(wù)朝向多態(tài)方向發(fā)展，除了傳統(tǒng)網(wǎng)站業(yè)務(wù)之外，APP、小程序、H5、API等各類端口進一步豐富，也持續(xù)增大了風(fēng)險的暴露面。特別是APP和小程序 的普及應(yīng)用，由于開發(fā)相對簡單快速，其安全防護并不像傳統(tǒng)安全防護那么細致，因此成為主要的攻擊目標之一。
吳劍剛介紹，攻擊者往往為了降低攻擊成本，會嘗試繞過APP和小程序?qū)蛻舳说南拗?，直接對API接口發(fā)起攻擊，由于脫離了設(shè)備限制，攻擊門檻大幅降低，這對初級黑灰產(chǎn)組織而言，也可以非常輕易地實施規(guī)?；?。
對于傳統(tǒng)Web安全而言，防御手段追求靜態(tài)的“絕對安全”，在全生命周期內(nèi)很難經(jīng)受的住惡意攻擊的考驗。隨著應(yīng)用安全架構(gòu)的持續(xù)升級，一系列新的安全挑戰(zhàn)隨之而來。
其中，業(yè)務(wù)和數(shù)據(jù) 正在成為網(wǎng)絡(luò)攻擊的主要目標。比如企業(yè)在為客戶提供服務(wù)時，通常會提供注冊和登錄接口，這些接口會面臨批量注冊、撞庫和暴力破解的風(fēng)險;當網(wǎng)站提供服務(wù)時，將面臨被惡意爬取網(wǎng)站信息、敏感數(shù)據(jù)等風(fēng)險;在進行在線交易時，會面臨虛假交易和交易被篡改的風(fēng)險;在開展線上營銷活動時，也會面臨營銷資源惡意搶占、薅羊毛等危害程度不一的風(fēng)險。
隨著新技術(shù)的不斷發(fā)展，攻擊手段也會隨之動態(tài)升級，以上這些風(fēng)險往往都批著“合法”的外衣，利用工具模擬合法的業(yè)務(wù)操作，具有更強的隱蔽性。同時，通過大量使用自動化工具，使網(wǎng)絡(luò)攻擊更加高效、更具規(guī)?；偌由隙嘣吹皖l的特征，讓防火墻等傳統(tǒng)安全很難識別和防護。
據(jù)吳劍剛介紹，全球范圍內(nèi)超過90%的安全攻擊是由自動化攻擊 發(fā)起的，攻擊流量中超過90%的流量是由自動化工具發(fā)起的，網(wǎng)絡(luò)流量中超過50%的是自動化工具發(fā)起的流量。隨著網(wǎng)絡(luò)攻擊的技術(shù)水平不斷提高，攻擊特征也愈發(fā)隱蔽，其已經(jīng)由最初對已知漏洞進行攻擊，通過高級自動化攻擊、自動化+黑產(chǎn)資源庫等多種技術(shù)手段加持，進化為可以隱藏機器特征和惡意特征。另外，通過智能化的AI技術(shù)，可以繞過基于規(guī)則庫、特征庫、流量學(xué)習(xí)、信譽庫、威脅情報等傳統(tǒng)防護手段，讓被動防御面臨“失效”境地。
變被動響應(yīng)為主動防御，構(gòu)建多元防護、動態(tài)融合的WAAP安全防御系統(tǒng)
針對日趨嚴峻的網(wǎng)絡(luò)安全形勢，吳劍剛認為，更需要變被動響應(yīng)為主動防御，實施積極防御，這就需要以更加全面的視角看待網(wǎng)絡(luò)安全問題，并依靠各技術(shù)之間的相互配合，對應(yīng)用和系統(tǒng)安全做到心中有數(shù)、防護有方。
Gartner預(yù)測，2026年，40%的企業(yè)會基于更高級的API防護能力選擇WAAP解決方案，而更加自動化的風(fēng)險發(fā)現(xiàn)能力和異常檢測能力將備受行業(yè)關(guān)注。
伴隨下一代應(yīng)用安全WAAP能力的不斷演進，未來的應(yīng)用安全趨勢將是WAAP應(yīng)用安全融合平臺。對此，吳劍剛表示，瑞數(shù)信息WAAP解決方案構(gòu)建起全業(yè)務(wù)渠道統(tǒng)一防護的能力，不僅實現(xiàn)Web應(yīng)用程序和API的統(tǒng)一管理，還能進行多維度統(tǒng)一防護，從Web應(yīng)用安全防護、DDoS攻擊防御、Bot管理到API安全防護等多維度構(gòu)建應(yīng)用安全防御體系，為企業(yè)業(yè)務(wù)連續(xù)性和數(shù)據(jù)安全保駕護航。
綜合來看，瑞數(shù)信息WAAP解決方案將全渠道業(yè)務(wù)進行歸集融合統(tǒng)一防護，通過設(shè)備指紋、全訪問記錄、客戶端采集、行為分析對攻擊進行精準溯源，并利用漏洞隱藏、攻擊阻斷等方式，為Web、H5、APP、小程序、API提供全面防護，實現(xiàn)資產(chǎn)暴露面收斂。同時對WAF、Bot、DDoS、API等多元攻擊進行充分防護，最終實現(xiàn)不同業(yè)務(wù)渠道之間、與其他安全產(chǎn)品的聯(lián)防聯(lián)控。
針對愈演愈烈的自動化攻擊，瑞數(shù)信息通過一系列動態(tài)安全技術(shù)，包括動態(tài)驗證、動態(tài)封裝、動態(tài)令牌和動態(tài)混淆等，不斷改變目標系統(tǒng)反應(yīng)的內(nèi)容和行為，防止攻擊者找到突破口，并預(yù)測目標系統(tǒng)的行為，從而增加攻擊難度，讓攻擊者無從下手。
此外，瑞數(shù)信息還將動態(tài)安全技術(shù)和AI技術(shù)融合起來，涵蓋了機器學(xué)習(xí)、智能人機識別、智能威脅檢測、全息設(shè)備指紋、智能響應(yīng)等AI技術(shù)，對客戶端到服務(wù)器端所有的請求日志進行全訪問記錄，持續(xù)監(jiān)控并分析流量行為，實現(xiàn)精準攻擊定位和追蹤溯源，并對潛在和更加隱蔽的攻擊行為進行更深層次的分析和挖掘，更加精準、持續(xù)地對抗惡意爬蟲帶來的自動化攻擊。
目前，瑞數(shù)WAAP解決方案支持本地、云及SaaS等多形態(tài)部署，也支持Web、APP、API、微信、小程序等多種業(yè)務(wù)接入渠道，已擁有超過1000家頭部標桿和關(guān)鍵基礎(chǔ)設(shè)施企業(yè)客戶，用戶群廣泛覆蓋政府、電信、金融、醫(yī)療、教育、電力能源、互聯(lián)網(wǎng)等眾多行業(yè)和領(lǐng)域。
近兩年，瑞數(shù)信息憑借近年來API領(lǐng)域和數(shù)據(jù)安全領(lǐng)域所取得的突出成績，其技術(shù)實力和市場表現(xiàn)受到國際權(quán)威機構(gòu)認可。今年9月，瑞數(shù)信息入選Gartner中國API領(lǐng)域代表廠商;11月，瑞數(shù)信息被IDC列為中國數(shù)據(jù)安全市場代表廠商，并作為防勒索+防爬蟲兩大熱點領(lǐng)域的代表性技術(shù)提供商被收錄其中。
同時，瑞數(shù)信息成為國內(nèi)首批“云原生API安全能力”和“WAAP能力”認證的安全廠商，深度參與中國信通院發(fā)起的《云原生安全能力要求 第1部分：API安全治理》標準編制，為云服務(wù)商及企業(yè)用戶構(gòu)建云原生API安全治理能力提供參考。今年8月，瑞數(shù)信息還與中國信通院云計算與大數(shù)據(jù)研究所聯(lián)合撰寫并發(fā)布《云上WAAP發(fā)展洞察報告(2023)》，足見瑞數(shù)信息在API、WAAP等綜合領(lǐng)域的強勁實力。
在AI和大模型時代，網(wǎng)絡(luò)安全攻防的對抗不斷升級。對于瑞數(shù)信息的未來，吳劍剛表示：“瑞數(shù)信息將以技術(shù)前瞻的視角，持續(xù)進行安全科技創(chuàng)新，鞏固應(yīng)用和數(shù)據(jù)安全的基礎(chǔ)，為企業(yè)用戶構(gòu)建面向智能時代的新一代主動防御安全體系。”
申請創(chuàng)業(yè)報道，分享創(chuàng)業(yè)好點子。點擊此處，共同探討創(chuàng)業(yè)新機遇！
