這使得解決Web安全的主流技術(shù)--WAF傳統(tǒng)技術(shù)面臨各種挑戰(zhàn)。越來越多的企業(yè)對WAF的防御有效性、業(yè)務(wù)性能影響性以及高昂的維護(hù)成本等問題產(chǎn)生不滿和質(zhì)疑。
Web安全的四大類“新難題”
- 難管理，Web安全到底怎么管？
各類應(yīng)用層安全系統(tǒng)各自為政，缺乏有效的聯(lián)動和統(tǒng)一編排，切實的安全風(fēng)險應(yīng)對能力難以真正得到提升，業(yè)務(wù)的不斷變化使得安全防護(hù)是一個體系化工作，管理員和安全團(tuán)隊很難及時掌握最新的攻擊和保護(hù)措施，如何保障業(yè)務(wù)關(guān)鍵型Web應(yīng)用程序免受常見攻擊，才能滿足更加嚴(yán)格的合規(guī)性要求？
- 難融合，各類Web安全服務(wù)能否統(tǒng)一形成閉環(huán)？
不同應(yīng)用安全層的各類設(shè)備及系統(tǒng)，在使用時也由不同廠商提供服務(wù)，這就對安全產(chǎn)品的多形態(tài)部署能力、協(xié)同聯(lián)動能力提出了很高要求，然而實際上，現(xiàn)有的Web安全服務(wù)彼此之間常常出現(xiàn)難以融合的局面，無法實現(xiàn)統(tǒng)一的安全服務(wù)閉環(huán)。
- 難適應(yīng)，業(yè)務(wù)三天一調(diào)整，政策半年一變化？
當(dāng)前，隨著業(yè)務(wù)和監(jiān)管要求的不斷變化，新的安全建設(shè)在完成之后，仍需不斷調(diào)整Web安全策略，API業(yè)務(wù)的調(diào)整周期甚至以天為單位。但當(dāng)那些專注API或是更復(fù)雜的業(yè)務(wù)威脅，比如證書填充、應(yīng)用邏輯漏洞利用、Bots泛濫導(dǎo)致的API接口被濫用及0day利用來臨時，運維管理卻復(fù)雜低效，乃至束手無策。
- 難上線，誤報、漏報怎么辦？
基于特征匹配和靜態(tài)簽名/規(guī)則的傳統(tǒng)Web安全檢測技術(shù)，誤報和漏報是一對較難調(diào)和的矛盾，通常在應(yīng)用變更時花費大量時間進(jìn)行規(guī)則調(diào)優(yōu)。而由于誤報問題，在生產(chǎn)環(huán)境中可能僅啟用相對有限的檢測規(guī)則，這導(dǎo)致Web安全技術(shù)被繞過的概率增加。
嘗試解決上述難點，需要認(rèn)真考慮以下三個基本點：
基于業(yè)務(wù)發(fā)展的“一個中心，三個基本點”，安全需要以業(yè)務(wù)為中心，通過協(xié)作為業(yè)務(wù)提供可持續(xù)性保障，當(dāng)業(yè)務(wù)不斷發(fā)展時，安全架構(gòu)應(yīng)該是持續(xù)動態(tài)變化相適應(yīng)的。
- 基本點一：Web應(yīng)用架構(gòu)向服務(wù)化架構(gòu)變遷
Web應(yīng)用架構(gòu)正從傳統(tǒng)的三層架構(gòu)（Web服務(wù)器-應(yīng)用服務(wù)器-數(shù)據(jù)庫）向服務(wù)化（API、可編程）架構(gòu)變遷。基礎(chǔ)架構(gòu)的變化，應(yīng)用異構(gòu)混合運行于傳統(tǒng)機架服務(wù)器上、云上。軟件開發(fā)模式在DevOps基礎(chǔ)上迭代越來越快，業(yè)務(wù)上線頻次從月到周，也可能是天，對Web安全服務(wù)提出了更靈活、適配性更強的高要求。
- 基本點二：AI、機器學(xué)習(xí)、行為分析、可編程對抗等新技術(shù)突破傳統(tǒng)WAF局限
投入相當(dāng)多資金購買的傳統(tǒng)WAF產(chǎn)品，雖然可以順利通過合規(guī)性檢查，然而在技術(shù)上卻有其局限。通過應(yīng)用學(xué)習(xí)的WAF，根本無法自適應(yīng)業(yè)務(wù)的更改，常常觸發(fā)基于異常的規(guī)則防護(hù)；而基于語義分析的 WAF，則仍然不具備對未知威脅的進(jìn)化適應(yīng)能力，只能處于被動應(yīng)對狀態(tài)，人工添加黑白名單對 WAF 進(jìn)行防護(hù)策略調(diào)整。這類WAF 產(chǎn)品安全防護(hù)的誤報率和漏報率，影響業(yè)務(wù)使用遲遲不能上線。因此從技術(shù)發(fā)展趨勢上看，人工智能、機器學(xué)習(xí)、行為分析、可編程對抗等技術(shù)的融入必然成為WAF產(chǎn)品升級的新要求。
- 基本點三：提升對Bots自動化威脅的防護(hù)
隨著自動化攻擊手段的發(fā)展，業(yè)務(wù)系統(tǒng)面臨的攻擊類型也越來越多，OWASP最新發(fā)布的《Automated Threat Handbook》中提到的自動化威脅已達(dá)到21種之多。有咨詢機構(gòu)稱，“到2023年，網(wǎng)絡(luò)中Bot流量的比例將會超過‘人的請求流量’。”
但與此同時，相對于傳統(tǒng)安全攻防，企業(yè)普遍缺乏對于Bots攻擊的認(rèn)知和防護(hù)。Bots流量完全異于之前面對的SQL注入、XSS、漏洞掃描等行為，特別是To B業(yè)務(wù)中，Bots流量大量存在于第三方接口調(diào)用的業(yè)務(wù)之中，無法依靠簡單的阻斷來阻止威脅，如何將Bots管理納入到企業(yè)應(yīng)用和業(yè)務(wù)威脅管理架構(gòu)中是各大客戶急需解決的一個問題。
Web安全問題的“新高度”：WAAP安全框架
Gartner指出，到2023年，30%以上面向公眾的Web應(yīng)用程序和API將受到云Web應(yīng)用程序和API保護(hù)（WAAP）服務(wù)的保護(hù)，WAAP服務(wù)結(jié)合了分布式拒絕服務(wù)（DDoS）防御、機器人程序緩解（Bot Mitigation）、API保護(hù)和WAF。
瑞數(shù)ALL IN ONE 一站式WAAP解決方案
以瑞數(shù)信息顛覆性的“動態(tài)防御”+“AI智能雙引擎”為技術(shù)基石，可以與本地、各類云端充分整合，支持WAF、Bots管理、API防護(hù)獨立或聯(lián)合部署，提供多層級的聯(lián)動防御機制，令企業(yè)安全地將各類Web業(yè)務(wù)和應(yīng)用交付在混合架構(gòu)中，實現(xiàn)Web安全一體化防御：
- 動態(tài)防御，主動應(yīng)對已知和未知威脅；
- AI智能檢測，深度識別，精準(zhǔn)檢測低誤報；
- Bot防護(hù)，區(qū)分自動化與人類流量；
- 應(yīng)用層DDOS保護(hù)，運維效率顯著提升；
- 快速部署，易于使用，自動化響應(yīng)流程；
- 同時支持內(nèi)部使用及面向公眾的Web應(yīng)用和API。
瑞數(shù)信息利用動態(tài)技術(shù)隱藏攻擊入口，主動識別和阻擋傳統(tǒng)防護(hù)手段乏力的Bots自動化攻擊，同時利用AI人工智能技術(shù)，將安全數(shù)據(jù)與海量威脅情報分析相結(jié)合，為用戶提供全景的安全威脅可視、攻擊溯源定位等功能，為企業(yè)客戶提供從基礎(chǔ)設(shè)施到業(yè)務(wù)的全方位安全保護(hù)。
瑞數(shù)WAAP解決方案四大變革
- Web應(yīng)用協(xié)同防護(hù)
融合傳統(tǒng)架構(gòu)及云上應(yīng)用多場景的適配和可擴展性，從傳統(tǒng)網(wǎng)絡(luò)邊界，遷移到各種 Web應(yīng)用、APP應(yīng)用和API云服務(wù)，構(gòu)建集中于業(yè)務(wù)邏輯、用戶、數(shù)據(jù)和應(yīng)用的可信安全架構(gòu)，全面抵擋新的安全威脅。
- 安全技術(shù)變革，化被動為“主動防御”
瑞數(shù)專利的動態(tài)安全技術(shù)，無需依賴規(guī)則和補丁，為網(wǎng)站安全提供主動式安全防護(hù)。以“動態(tài)防護(hù)”技術(shù)為核心，增加服務(wù)器行為的“不可預(yù)測性”；提供面向業(yè)務(wù)層的主動防御，高效甄別偽裝和假冒正常行為的已知和未知自動化攻擊，攔截未知威脅，幫助企業(yè)安全團(tuán)隊從被動防護(hù)的困局中突破出來。
- 基于AI技術(shù)的新思路
瑞數(shù)信息AI智能威脅引擎，通過使用機器學(xué)習(xí)的多種威脅模型來確定異常攻擊，并阻攔確定的攻擊請求。每個威脅模型都代表特定的攻擊類別（SQL注入，跨站點腳本，OS命令注入等）。這些威脅模型經(jīng)過瑞數(shù)研發(fā)團(tuán)隊使用來自各種來源的數(shù)十萬個真實攻擊樣本，包括眾所周知的第三方數(shù)據(jù)庫，如CVE和Exploit DB以及威脅情報，及第三方漏洞掃描程序收集的數(shù)據(jù)，進(jìn)行了廣泛訓(xùn)練和測試，從而發(fā)現(xiàn)高度隱蔽的攻擊，有效提高檢測速率，降低誤報、錯報率。
- 強化對新興Bots威脅防護(hù)
針對Bots自動化工具的識別與防御是瑞數(shù)信息產(chǎn)品中所反應(yīng)出的最突出的能力之一。目前復(fù)雜Bots機器人程序攻擊的手段和覆蓋范圍正在不斷增加，安全攻擊變得更具侵略性，瑞數(shù)信息的Bots防護(hù)能力可以高效抵御由自動化工具發(fā)起的高效大規(guī)模攻擊，如惡意爬蟲、撞庫、虛假注冊、交易篡改、內(nèi)網(wǎng)安全、API濫用、零日攻擊等，保障企業(yè)和政府機構(gòu)在業(yè)務(wù)、應(yīng)用和數(shù)據(jù)層面的安全升級。
瑞數(shù)WAAP解決方案優(yōu)勢
- 多渠道、易管理
滿足用戶在任何Web場景的需要，構(gòu)建全應(yīng)用安全防護(hù)體系，為用戶提供多種業(yè)務(wù)接入的方式，包括API接入、APP客戶端、網(wǎng)頁端、微信小程序和H5頁面等，提供可視化和報告管理，實現(xiàn)Web安全一體化統(tǒng)一管理。
- 多維度、易適應(yīng)
瑞數(shù)WAAP一站式解決方案，以動態(tài)安全技術(shù)為核心，從感知、發(fā)現(xiàn)、監(jiān)控、保護(hù)等多緯度彌補應(yīng)用安全防御，自適應(yīng)業(yè)務(wù)快速變化，有效識別與阻擋多源低頻、模擬業(yè)務(wù)邏輯、網(wǎng)頁零日漏洞等業(yè)務(wù)及應(yīng)用的攻擊行為。獨有的全程式業(yè)務(wù)威脅感知和AI智能分析技術(shù)，以內(nèi)置的通用自動化威脅模型，輕松解決業(yè)務(wù)面臨的撞庫、惡意注冊、惡意爬蟲、拖庫、應(yīng)用DDoS等欺詐行為。
- 聯(lián)防、易融合
對抗手段動態(tài)變化，聯(lián)合各個安全模塊統(tǒng)一防護(hù)，通過圖形化界面，簡答點擊配置，即可全面對抗Web、APP、API等業(yè)務(wù)面臨的Bots威脅、應(yīng)用層CC攻擊、OWASP TOP10威脅、API管理/防護(hù)等，通過數(shù)據(jù)融合分析，威脅可視，從而實現(xiàn)可阻斷、可延遲、可隨機處理等的細(xì)粒度軟攔截。
- 協(xié)同、易上線
自動化流程，最大限度地減少配置失誤。封裝為虛擬設(shè)備運行在虛擬環(huán)境和云基礎(chǔ)架構(gòu)上，為使用該設(shè)備的IT企業(yè)和應(yīng)用提供了前所未有的靈活性。快速部署，無需對業(yè)務(wù)服務(wù)器做任何調(diào)整，大幅減少人工維護(hù)量和資源消耗，讓整體安全防護(hù)更加輕量高效。
總結(jié)
萬物互聯(lián)的時代下，愈加復(fù)雜的Web環(huán)境、不斷增多的應(yīng)用和層出不窮的攻擊類型，都在推動WAF市場的升級和變革，除了Web應(yīng)用安全防護(hù)，DDoS防御、Bots管理、API安全維護(hù)都將成為未來WAF評估所注重的核心功能。
瑞數(shù)ALL IN ONE 一站式WAAP解決方案，以創(chuàng)新的“動態(tài)安全”技術(shù)為核心，結(jié)合規(guī)則匹配及行為分析技術(shù)，打造出“動態(tài)安全”+ “AI智能威脅檢測”雙引擎協(xié)同工作機制，提供傳統(tǒng)Web安全防御能力的同時，更能將威脅提前止于攻擊的漏洞探測和踩點階段，輕松應(yīng)對新興和快速變化的Bots攻擊，0day攻擊和應(yīng)用DDoS攻擊，同時具備業(yè)界首創(chuàng)的API攔截能力，結(jié)合瑞數(shù)可編程對抗系統(tǒng)，賦予企業(yè)Web業(yè)務(wù)高強度對抗能力，為企業(yè)的安全穩(wěn)定運行保駕護(hù)航。
