深入真场景赋能多行业 安天下一代WAF精细化保障WEB应用

安天WEB应用安全系列专题

专题一：一套系统四大防护 安天下一代WAF全方位保障WEB应用

本期为安天WEB应用安全系列专题第二期：应用场景。

01为什么叫下一代WEB应用防护系统？

接本专题上期内容《一套系统四大防护 安天下一代WAF全方位保障WEB应用》所述分析。

随着信息化的不断发展，企业的业务愈加开放互联。具有高利益和高价值属性的业务系统，也面临着更为严峻的安全挑战，但是传统的WAF防护技术，已无法有效的应对当前高强度、高烈度的威胁对抗。因此安天基于多年安全研究与实践经验，结合当下网络环境复杂的攻防态势，推出了安天下一代WEB应用防护系统（业务增强版）。

传统WEB应用防护技术在攻防对抗实战中，存在四大困境：

1.攻击手法不断升级

现阶段的网络攻击不再局限于传统的漏洞攻击，攻击者会利用业务逻辑漏洞从而达到攻击的目的，例如攻击者非正常登录网站业务之后的下单、付款、评论等操作。由于传统WAF不具备跟踪用户登录以及监控后续用户业务行为的能力，使得其无法基于用户身份对其业务行为进行分析，进而定义安全策略、检测针对网站业务逻辑漏洞方面的攻击。

2.机器人攻击愈加活跃

在2022年，互联网上的恶意机器人活动达到了自2013年恶意机器人报告发布以来的最高水平。恶意机器人攻击会令运维人员花费很大精力去判别、分析、处置，由于恶意机器人产生的业务流量不包括传统WAF特征库针对的攻击特征，所以传统WAF无法通过特征检测来识别虚假业务流量。

3.API成为攻击的重点目标

由于其公开、暴露、高价值的特性，API目前成为了网络攻击的主要对象，API的数量规模在不断壮大的同时，其面临的风险也变得愈加的严峻。但是传统WAF缺乏对API的防护能力，无法有效的保障API的安全。

4.被动防护理念先天不足

传统WAF的被动防护理念存在着先天的缺陷，其被设计用于解决已知的安全问题。对于新兴的网络攻击，传统WAF要对其进行有效的检测，通常需要经历如下几个阶段：出现新攻击-分析特征-更新规则库-检测。这种后知后觉、被动防御的工作方式导致其无法及时、快捷地应对各种新兴的网络攻击，用户的网站得不到可靠的安全保障，安全运维始终处于查漏补缺的状态中。

02什么是安天下一代WAF解决方案

安天通过研发集WEB安全防护、机器人攻击防护、DDoS攻击防护、API安全治理以及业务安全防护为一体的综合业务安全分析产品，建立以业务为导向，结合传统WAF能力，可实现主动防御的防护体系，能够有效抵御自动化工具攻击、业务逻辑漏洞攻击，支持从客户业务层面进行访问控制，对客户的网站提供全方位、多维度综合防护，应对当下复杂的网络环境。

图1 产品能力组成

03客户应用场景

1.金融行业应用场景

痛点：

在互联网+金融背景下，金融行业包括银行、保险、证券和基金公司等，业务迁移到互联网已经成为一种趋势。与线下业务不同，线上业务规模的不断壮大导致其无法有效的发现异常的业务行为，如用户权限异常变化；其次，金融数据由于其蕴含的巨大价值而成为网络攻击的首选目标，导致金融行业不得不重视数据安全，否则将对金融机构产生巨大的业务风险及商誉损害。

应对措施：

1）业务安全：基于用户身份识别跟踪技术，规范用户业务访问权限，判断异常业务逻辑，及时发现与防范用户业务风险。

2）数据安全：通过“事前”反爬虫、“事中”敏感信息泄露防护、“事后”网络封禁+告警上报，全生命周期保护数据安全。

2.电商环境应用场景

痛点：

伴随互联网应运而生的电商行业，在业务快速发展的过程中，面临着诸多的安全挑战。由于电商业务涉及众多环节，包括用户注册、登录、交易等，每个环节都可能存在安全风险，包括有虚假注册、刷单炒信、薅羊毛等，不仅影响用户的正常体验，也给电商企业带来经济损失和品牌形象受损的风险。

应对措施：

1）电商业务规则：基于对电商行业的深入研究，内置了电商行业专属的策略模板，可全方位的保障电商行业客户的业务安全，保障利益不受损失。

2）自定义业务规则：可灵活地对每一个业务流程中的关键指标进行配置，同时基于强大的规则语法，可提供多维度、多条件的复合检测能力，有效应对个性化的客户场景。

3.云环境应用场景

痛点：

由于云环境下的大多数能力都基于API提供，因此在云环境下API的数量规模是比较庞大的。不同于物理主机，云环境下API资产的梳理存在着一定的困难；同时，API承载着大量的高价值数据，使运维人员时刻面临着大量高价值数据被自动化工具爬取的风险。

应对措施：

1）API防护：以持续性API安全防护为核心理念，通过API资产自发现、访问管控、安全防护、风险评估、健康监测和流量审计六大组件，涵盖API安全的整个生命周期，全方位的保障客户的API业务安全。

2）反爬虫：基于指纹识别/主动探测技术，多维度识别机器人流量，减少运维人员的工作量，有效提高工作效率；基于动态防护技术，对表单及链接进行加密、隐藏，有效应对爬虫软件对服务端的探测及爬取行为，保障客户数据不被窃取。

安天下一代WEB应用防护系统（业务增强版），以业务安全为核心，结合对行业用户的深入理解，助力客户完成业务系统的安全建设，减少客户的利益损失，保障业务系统的安全运行，有效应对当下复杂的攻防环境。

# 安天青竹智语实验室简介 #

“安天青竹智语实验室”是安天集团为保障业务应用安全成立的实验室。该实验室在应对传统WEB应用威胁的基础上，增强API安全防护和自动化攻击防御；深度结合客户业务，发现逻辑异常、分析用户行为、追溯攻击源头，通过揭示攻击行为的深层次原因，提早发现客户业务系统漏洞，为业务稳定运行提供有效防护。