既然黑客不會(huì)循規(guī)蹈矩，為什么安全防護(hù)要按常理出牌？有規(guī)則就容易被捕捉利用，有規(guī)則就意味著呆板繁復(fù)，而“不靠”規(guī)則和特征庫防攻擊既是一項(xiàng)技術(shù)能力，也是一種理念。
傳統(tǒng)WAF設(shè)備真的有效嗎？
中肯的評(píng)價(jià)，其殫精竭慮，但又力不從心。Web應(yīng)用除了要應(yīng)對(duì)OWASP TOP10穩(wěn)居前列的SQL注入、跨站腳本XSS、認(rèn)證和Webshell木馬上傳等傳統(tǒng)攻擊，還要應(yīng)對(duì)大量新興安全威脅及漏洞，例如Bots攻擊、API數(shù)據(jù)泄露、零日漏洞等。
這些新興安全威脅可以輕松繞過傳統(tǒng)驗(yàn)證碼的人機(jī)識(shí)別技術(shù)，也使傳統(tǒng)WAF的防護(hù)瓶頸愈加凸顯。 “中國(guó)菜刀”是一種相當(dāng)簡(jiǎn)潔的“一句話木馬”，它有非常明顯的特征字符，傳統(tǒng)WAF設(shè)備可以通過特征匹配進(jìn)行防御，但黑客通過動(dòng)態(tài)加密技術(shù)，“一句話木馬”可以輕松通過安檢，原有特征字符被加密隱藏，傳統(tǒng)WAF設(shè)備也無可奈何。
傳統(tǒng)WAF類似的漏洞還有很多，例如只能通過規(guī)則更新阻攔零日漏洞，過于滯后和被動(dòng)；只能通過信譽(yù)庫、黑名單、限頻規(guī)則設(shè)定等手段防御應(yīng)用DDoS；只能通過策略規(guī)則識(shí)別和阻攔OWASP Top10 Web安全威脅，誤報(bào)多，運(yùn)維工作量大。
既然網(wǎng)絡(luò)威脅始終處于動(dòng)態(tài)變化，則必須由動(dòng)態(tài)安全予以應(yīng)對(duì)。由此，動(dòng)態(tài)封裝、動(dòng)態(tài)驗(yàn)證、動(dòng)態(tài)混淆、動(dòng)態(tài)令牌等 “動(dòng)態(tài)防護(hù)”核心技術(shù)實(shí)現(xiàn)了從用戶端到服務(wù)器端的全方位“主動(dòng)防護(hù)”，為各類Web、HTML5提供強(qiáng)大的安全保護(hù)。讓攻擊者無從下手，從而大幅提升了攻擊的難度！
動(dòng)態(tài)封裝
對(duì)網(wǎng)頁底層代碼做動(dòng)態(tài)封裝，隱藏攻擊入口，避免成為網(wǎng)絡(luò)攻擊目標(biāo)。每次封裝算法都不同，讓攻擊者無法預(yù)測(cè)服務(wù)器行為，從而大幅提升了攻擊難度。
動(dòng)態(tài)驗(yàn)證
根據(jù)威脅態(tài)勢(shì)生成不同的檢測(cè)代碼，以增加應(yīng)用的不可預(yù)測(cè)性，提升攻擊者或自動(dòng)化工具假冒合法客戶端的難度，有效克服現(xiàn)有終端感知產(chǎn)品使用靜態(tài)采集代碼，被逆向后易于被繞過的安全難題。
動(dòng)態(tài)混淆
使用動(dòng)態(tài)混淆算法對(duì)終端用戶請(qǐng)求的內(nèi)容進(jìn)行保護(hù)，有效提升中間人攻擊的難度，防止偽造請(qǐng)求、惡意代碼注入、竊聽或篡改交易內(nèi)容等攻擊行為。每次混淆均使用不同算法，令攻擊者無法預(yù)知混淆算法與密鑰，增加攻擊難度。
動(dòng)態(tài)令牌
對(duì)當(dāng)前頁面內(nèi)的合法請(qǐng)求地址授予一定時(shí)間內(nèi)有效的一次性令牌，同時(shí)阻攔沒有令牌的非法請(qǐng)求。動(dòng)態(tài)令牌可保障業(yè)務(wù)邏輯的正確運(yùn)行并防止攻擊者發(fā)出非法請(qǐng)求，可抵御越權(quán)訪問、網(wǎng)頁后門、重放攻擊、應(yīng)用層DDoS等自動(dòng)化惡意攻擊行為。
將動(dòng)態(tài)安全技術(shù)，融合于WAF產(chǎn)品中，通過“動(dòng)態(tài)安全引擎”即可區(qū)分機(jī)器發(fā)起的自動(dòng)化流量，例如掃描探測(cè)、零日漏洞探測(cè)、應(yīng)用層DDoS/CC攻擊等，而手工威脅，則通過“AI智能威脅檢測(cè)引擎”進(jìn)行檢測(cè)。其中，“動(dòng)態(tài)安全引擎”基于動(dòng)態(tài)令牌和動(dòng)態(tài)驗(yàn)證技術(shù)。其實(shí)現(xiàn)原理是，工作在客戶端和應(yīng)用服務(wù)器之間，自動(dòng)化攻擊不可能拿到引擎發(fā)布的動(dòng)態(tài)令牌，以及驗(yàn)證腳本，即使雞鳴狗盜之徒妄想竊符救趙，通過偽造客戶端環(huán)境、偽造令牌的方式繞過追蹤，偽造的“虎符”也不可能通過應(yīng)用服務(wù)器的校驗(yàn)驗(yàn)證。而“AI智能威脅檢測(cè)引擎”則基于大數(shù)據(jù)分析技術(shù)，對(duì)客戶端到服務(wù)器端所有的請(qǐng)求日志進(jìn)行全訪問記錄，并利用機(jī)器學(xué)習(xí)進(jìn)行深度行為分析。通過智能規(guī)則匹配，持續(xù)監(jiān)控并分析流量行為，從而深入檢測(cè)威脅攻擊。
應(yīng)用場(chǎng)景
1、網(wǎng)站安全
一方面，網(wǎng)頁應(yīng)用漏洞層出不窮，傳統(tǒng)防護(hù)依靠不停的查補(bǔ)漏洞、更新規(guī)則，仍然無法避免亡羊補(bǔ)牢、疲于奔命的被動(dòng)局面。另一方面，政府機(jī)構(gòu)及企業(yè)的各類服務(wù)和數(shù)據(jù)不斷向網(wǎng)上遷移，網(wǎng)站面臨著業(yè)務(wù)和數(shù)據(jù)安全的嚴(yán)峻挑戰(zhàn)。黑客通過各種新型攻擊手段和工具可輕松繞過傳統(tǒng)安全的防護(hù)，極大的威脅網(wǎng)站的數(shù)據(jù)安全。
2、數(shù)據(jù)安全
互聯(lián)網(wǎng)+時(shí)代，線上服務(wù)已經(jīng)廣泛分布在電信、銀行、政府、交通、社保、民政、旅游、公共安全等各個(gè)領(lǐng)域，不僅數(shù)據(jù)量大、機(jī)密性強(qiáng)、附加價(jià)值高，且大多和國(guó)計(jì)民生緊密關(guān)聯(lián)，一旦遭到攻擊，后果不堪設(shè)想。然而，互聯(lián)網(wǎng)上卻同時(shí)泛濫著大量的非正常數(shù)據(jù)應(yīng)用服務(wù)，以及線下的非法數(shù)據(jù)售賣。這不僅會(huì)增加企業(yè)及公民信息外泄和被利用、被偽造的風(fēng)險(xiǎn)，也使得互聯(lián)網(wǎng)商業(yè)競(jìng)爭(zhēng)環(huán)境更加混亂，難以控制。
3、賬號(hào)安全
當(dāng)黑客從黑色產(chǎn)業(yè)鏈或利用漏洞獲得大量帳號(hào)密碼后，可以實(shí)時(shí)入侵受害者其他使用相同密碼的網(wǎng)絡(luò)帳號(hào)。黑客通常采用自動(dòng)化攻擊工具模擬合法用戶操作并利用大量跳板快速更換IP，讓基于特征比對(duì)及行為規(guī)則的傳統(tǒng)安全防護(hù)機(jī)制幾乎束手無策。這類賬號(hào)安全問題對(duì)于企業(yè)端的最大影響不僅會(huì)造成帳號(hào)盜用，更會(huì)直接導(dǎo)致用戶信息外泄，特別是擁有大量使用者的平臺(tái)，如網(wǎng)銀、電商更是威脅甚巨。
4、交易反欺詐
黑產(chǎn)攻擊正在從利用傳統(tǒng)應(yīng)用漏洞，轉(zhuǎn)向利用自動(dòng)化工具的新興攻擊,黑客不斷通過偽裝正常交易的業(yè)務(wù)欺詐行為，例如盜刷、套現(xiàn)、薅羊毛、黃牛搶購、刷單、短信轟炸及違反業(yè)務(wù)邏輯操作等業(yè)務(wù)欺詐行為達(dá)到攫取經(jīng)濟(jì)利益的目的。
