股票代碼：688225
打開微信“掃一掃”，開啟安全數(shù)字世界之旅
截圖或長(zhǎng)按保存至相冊(cè)，使用微信掃一掃
攻防演練 | 從“人防”到“技防”，如何關(guān)閉Web威脅的大門
發(fā)布時(shí)間 ：2022年08月09日
類型 ：勒索軟件
分享：
海量威脅情報(bào)分析發(fā)現(xiàn)，漏洞依然是攻防的“突破口”，而這其中，Web漏洞的利用率最為突出。
其實(shí)，近幾年來，亞信安全就通過專業(yè)化的威脅檢測(cè)設(shè)備和攻擊行為追蹤，就攻防演練中的攻擊方式進(jìn)行了分析和總結(jié)，而其中，從Web側(cè)發(fā)起的漏洞攻擊尤為突出。在這個(gè)從“人防”轉(zhuǎn)變?yōu)椤凹挤馈钡膽?zhàn)場(chǎng)上，借助0day和Nday從Web系統(tǒng)直擊要害，危害性不容小視。
攻方易從Web弱點(diǎn)偷襲
通過對(duì)以往防守經(jīng)驗(yàn)的總結(jié)可以發(fā)現(xiàn)，Web普遍包含以下幾個(gè)方面的弱點(diǎn)：源代碼泄露、供應(yīng)鏈威脅、弱口令、資產(chǎn)混亂、覆蓋不全、策略太松等。
安全性不足：傳統(tǒng)開發(fā)更傾向于軟件功能的實(shí)現(xiàn)，開發(fā)人員很少?gòu)摹肮粽摺钡慕嵌人伎架浖踩珕栴}，對(duì)軟件安全架構(gòu)、安全防護(hù)措施認(rèn)識(shí)不夠，往往導(dǎo)致源代碼存在安全隱患 。其次，企業(yè)組織使用的軟件系統(tǒng)錯(cuò)綜復(fù)雜，無法完全掌控第三方系統(tǒng)等供應(yīng)鏈的安全性。再則，運(yùn)營(yíng)人員缺乏安全意識(shí)后臺(tái)竟設(shè)置弱口令，導(dǎo)致不法分子會(huì)針對(duì)特定端口，利用大量的“弱口令密碼表”嘗試爆破使用弱口令的系統(tǒng)。
資產(chǎn)混亂：雖然大多數(shù)企業(yè)都認(rèn)識(shí)到資產(chǎn)混亂的風(fēng)險(xiǎn)所在，并想方設(shè)法來減少暴露面，但不幸的是，并非所有暴露面都是顯而易見的，大量的Web暴露面都潛藏在不容易被發(fā)現(xiàn)的暗處，很容易因?yàn)橘Y產(chǎn)排查不徹底、人員疏漏等問題被忽略。
覆蓋不全：隨著分布式、遠(yuǎn)程辦公的逐漸流行，企業(yè)的安全管理邊界逐漸模糊，攻擊者可以從企業(yè)的分支機(jī)構(gòu)、供應(yīng)鏈及業(yè)務(wù)應(yīng)用程序之間滲透入這些設(shè)施，這加大了Web安全管理復(fù)雜性。
策略太松：很多企業(yè)的安全策略太過寬松，比如安全策略都沒有生效、或者大量的應(yīng)用漏洞沒有修補(bǔ)、再或者安全控制也不嚴(yán)格，這樣一來，攻擊者就可以輕松越過安全防線，通過各種的漏洞利用實(shí)現(xiàn)攻擊目標(biāo)。
根據(jù)Gartner的調(diào)查，信息安全攻擊有75%都是發(fā)生在Web應(yīng)用而非網(wǎng)絡(luò)層面上。眾所周知，Web應(yīng)用是全維度的領(lǐng)域，覆蓋的知識(shí)面極其廣泛，這也造成了Web系統(tǒng)的脆弱性。此外，Web應(yīng)用的安全管理異常復(fù)雜，從源代碼開發(fā)到API的漏洞管理，再加上HTTP協(xié)議的靈活性，導(dǎo)致在Web之上的各種應(yīng)用都有自己獨(dú)特的特點(diǎn)、用戶訪問應(yīng)用方式千差萬別，這就給攻擊方留下了一扇門。
守方利用WAF彌補(bǔ)Web安全管理漏洞
亞信安全建議用戶通過XDR解決方案建立一個(gè)立體化的防御體系。其中包含的WAF，是專門為Web應(yīng)用和API(WAAP)提供保護(hù)的防火墻產(chǎn)品，在網(wǎng)絡(luò)攻防對(duì)抗演練和實(shí)際防御中也扮演著不可或缺的角色。
梳理Web資產(chǎn)，納入WAF保護(hù)范圍
圖：將所有Web資產(chǎn)納入WAF保護(hù)
首先，企業(yè)需要充分地了解自己的Web應(yīng)用系統(tǒng)，梳理出所有的Web應(yīng)用資產(chǎn)并加入到WAF的保護(hù)，并且需要將后續(xù)新應(yīng)用發(fā)布及時(shí)更新同步。比如：攻防演練前期準(zhǔn)備階段，用戶可以利用亞信安全的資產(chǎn)管理中心自動(dòng)化發(fā)現(xiàn)現(xiàn)有的Web應(yīng)用服務(wù)，并結(jié)合亞信安全信舷Web應(yīng)用防火墻(AISWAF)的API自動(dòng)化錄入保護(hù)，實(shí)現(xiàn)資產(chǎn)保護(hù)覆蓋。
多種部署方式實(shí)現(xiàn)全覆蓋
圖：針對(duì)不同保護(hù)對(duì)象實(shí)現(xiàn)全面覆蓋
用戶可以在核心業(yè)務(wù)IDC以及專線業(yè)務(wù)IDC中串接WAF實(shí)現(xiàn)高性能攔截，同時(shí)部署一套旁路WAF偵測(cè)業(yè)務(wù)系統(tǒng)之間安全問題，并采用更嚴(yán)格的策略、更嚴(yán)格的風(fēng)險(xiǎn)監(jiān)控。在下屬單位和分支機(jī)構(gòu)，可以通過部署反向代理的WAF集群充當(dāng)清洗中心，通過引流的方式快速地覆蓋邊緣資產(chǎn)的保護(hù)。
主動(dòng)檢測(cè)為先，虛擬補(bǔ)丁為后
圖：利用虛擬補(bǔ)丁技術(shù)實(shí)現(xiàn)安全策略增強(qiáng)
針對(duì)一些隱蔽式或業(yè)務(wù)邏輯類型的攻擊方式，比如手動(dòng)探測(cè)管理后臺(tái)、低頻撞庫、弱口令、供應(yīng)鏈漏洞利用，需要依靠WAF產(chǎn)品的能力建立有效的監(jiān)控機(jī)制，盡早發(fā)現(xiàn)攻擊痕跡，并通過分析攻擊痕跡，調(diào)整防守策略、溯源攻擊路徑甚至對(duì)可疑攻擊源進(jìn)行反制。同時(shí)，針對(duì)0day和Nday，用戶可以通過WAF的虛擬補(bǔ)丁的功能自動(dòng)化修復(fù)漏洞。
以新技術(shù)保護(hù)新Web
亞信安全信舷Web應(yīng)用防火墻(WAF)具備了抵御OWASP TOP10 Web攻擊、敏感數(shù)據(jù)防泄漏、防御CC攻擊、0day漏洞修復(fù)等能力，同時(shí)融合機(jī)器學(xué)習(xí)和即時(shí)防御高級(jí)威脅情報(bào)平臺(tái)的聯(lián)動(dòng)防御機(jī)制。
基于AI技術(shù)的Web安全模型
圖：基于AI建立應(yīng)用模型
亞信安全信舷WAF可基于AI機(jī)器學(xué)習(xí)建立應(yīng)用模型，能夠適應(yīng)Web應(yīng)用程序的快速變化，從而實(shí)現(xiàn)WAF策略自動(dòng)化校準(zhǔn)，支持更快的應(yīng)用發(fā)布周期，并且有效偵測(cè)零日漏洞攻擊行為。
全球聯(lián)動(dòng)的關(guān)聯(lián)分析引擎
圖：即時(shí)防御高級(jí)威脅情報(bào)平臺(tái)
亞信安全能夠在全球范圍內(nèi)對(duì)Web威脅隱患進(jìn)行檢測(cè)、分析、響應(yīng)，可對(duì)新增的補(bǔ)充規(guī)則能做到一小時(shí)內(nèi)應(yīng)急快速響應(yīng)，并且通過基于關(guān)聯(lián)分析引擎對(duì)攻擊進(jìn)行多維度分析，包括協(xié)議校驗(yàn)、特征簽名、應(yīng)用模型、威脅情報(bào)等，精準(zhǔn)識(shí)別并攔截惡意攻擊。
從兩個(gè)層面加強(qiáng)Web縱深防御
攻防是不對(duì)等的。因?yàn)楣舴街恍枰洪_一個(gè)點(diǎn)，就會(huì)有所“收獲”。如同木桶理論一樣，防守方只要有一個(gè)“薄弱”面，大概率就會(huì)丟失一座“城池”。
實(shí)網(wǎng)攻防演練期間，不斷爆出各類0day漏洞，這些漏洞大部分和暴露在互聯(lián)網(wǎng)上的Web應(yīng)用相關(guān)，直接威脅到核心系統(tǒng)的安全。為此，亞信安全建議用戶可以利用WAF的虛擬補(bǔ)丁功能，快速修補(bǔ)Web漏洞，并在Web應(yīng)用網(wǎng)絡(luò)層面和Web業(yè)務(wù)系統(tǒng)層面加強(qiáng)應(yīng)用縱深安全的能力。
分享到微信
X