搜索

[15059] 2020-02-25_阿里云联合FreeBuf发布《2019年Web应用安全年度报告》

文档创建者：s7ckTeam
浏览次数：19
最后更新：2025-01-18
2020-02-25_阿里云联合FreeBuf发布《2019年Web应用安全年度报告》 阿 里 云 联 合 F r e e B u f 发 布 《 2 0 1 9 年 W e b 应 用 安 全 年 度 报 告 》 阿 里 云 安 全   F r e e B u f   2 0 2 0 - 0 2 - 2 5 近 日 ， 阿 里 云 联 合 近 日 ， 阿 里 云 联 合 F r e e B u f 重 磅 发 布 《 重 磅 发 布 《 2 0 1 9 年 年 W e b 应 用 安 全 年 度 报 告 》 ， 以 下 简 称 应 用 安 全 年 度 报 告 》 ， 以 下 简 称 “ 报 告 报 告 ” 。 。 2 0 1 9 年 年   W e b 应 用 安 应 用 安 全 威 胁 不 断 升 级 ， 从 用 户 信 息 泄 露 到 羊 毛 党 的 狂 欢 ， 无 时 无 刻 不 在 考 验 着 每 一 个 行 业 每 一 个 全 威 胁 不 断 升 级 ， 从 用 户 信 息 泄 露 到 羊 毛 党 的 狂 欢 ， 无 时 无 刻 不 在 考 验 着 每 一 个 行 业 每 一 个 W e b 应 用 的 安 全 水 应 用 的 安 全 水 位 。 本 报 告 从 整 体 攻 击 态 势 、 攻 击 手 法 、 攻 击 目 标 、 攻 击 变 形 、 爬 虫 管 理 等 维 度 ， 以 场 景 剖 析 、 技 术 分 析 、 案 位 。 本 报 告 从 整 体 攻 击 态 势 、 攻 击 手 法 、 攻 击 目 标 、 攻 击 变 形 、 爬 虫 管 理 等 维 度 ， 以 场 景 剖 析 、 技 术 分 析 、 案 例 说 法 的 方 式 ， 对 例 说 法 的 方 式 ， 对 2 0 1 9 年 年 W e b 应 用 安 全 行 业 整 体 情 况 做 了 梳 理 ， 希 望 给 安 全 从 业 者 和 企 业 决 策 者 带 来 一 定 的 参 应 用 安 全 行 业 整 体 情 况 做 了 梳 理 ， 希 望 给 安 全 从 业 者 和 企 业 决 策 者 带 来 一 定 的 参 考 。 考 。 一 、 一 、 2 0 1 9 年 年 W e b 安 全 行 业 五 大 核 心 问 题 剖 析 安 全 行 业 五 大 核 心 问 题 剖 析 1 . 机 器 流 量 在 黑 灰 产 攻 击 链 路 上 作 用 机 器 流 量 在 黑 灰 产 攻 击 链 路 上 作 用 “ 举 足 轻 重 举 足 轻 重 ” ？ ？ 报 告 结 合 过 去 一 年 全 网 机 器 流 量 的 分 析 与 对 抗 ， 从 技 术 角 度 和 链 路 上 下 游 角 度 总 结 了 过 去 2 0 1 9 年 机 器 流 量 产 业 结 构 与 趋 势 ， 并 指 出 ， 在 技 术 层 面 ， 黑 灰 产 从 不 吝 惜 于 将 新 兴 技 术 用 于 攻 击 ， 机 器 流 量 产 业 正 进 一 步 向 着 技 术 垂 直 化 、 分 工 明 确 化 、 攻 击 精 细 化 方 向 发 展 ； 在 链 路 层 面 ， 机 器 流 量 产 业 内 部 上 下 游 分 工 进 一 步 明 确 ， 且 拥 有 了 更 多 的 下 游 产 业 需 求 。
2 . 重 要 活 动 保 障 我 该 如 何 准 备 ？ 重 要 活 动 保 障 我 该 如 何 准 备 ？ 报 告 从 攻 击 者 和 防 御 者 双 方 视 角 分 享 了 在 W e b 安 全 领 域 如 何 在 重 保 活 动 中 进 行 防 御 。 对 于 防 御 方 而 言 ， 要 在 攻 击 者 进 行 信 息 收 集 和 攻 击 两 个 阶 段 做 好 充 分 准 备 。 报 告 指 出 ， 针 对 攻 击 者 进 行 0 d a y 漏 洞 攻 击 ， 解 决 办 法 是 采 用 白 名 单 基 线 的 方 式 进 行 防 护 ， 即 事 先 对 重 要 系 统 建 立 一 套 合 法 的 流 量 基 线 ， 例 如 参 数 的 类 型 （ 比 如 整 型 、 字 符 串 、 字 符 集 范 围 ） 、 长 度 范 围 等 手 段 ， 一 旦 某 字 段 有 异 常 输 入 即 可 告 警 或 者 拦 截 ， 此 方 法 已 经 被 阿 里 云 W A F 成 功 在 某 重 保 活 动 发 现 并 防 护 某 j a v a 框 架 的 0 d a y 漏 洞 。 3 . 如 何 在 降 低 误 漏 报 的 路 上 越 走 越 远 ？ 如 何 在 降 低 误 漏 报 的 路 上 越 走 越 远 ？ 对 W A F 或 者 任 何 安 全 产 品 来 讲 ， 都 离 不 开 两 个 核 心 指 标 ， 漏 报 率 和 误 报 率 。 漏 报 低 代 表 着 防 护 效 果 好 ， 误 报 率 低 则 是 为 了 将 对 正 常 业 务 的 影 响 降 到 最 低 。 报 告 指 出 ， 对 于 漏 报 最 理 想 的 状 态 是 针 对 每 个 用 户 的 业 务 都 能 够 防 住 所 有 攻 击 ， 并 且 不 产 生 误 报 干 扰 正 常 业 务 。 要 达 到 或 者 说 接 近 这 种 理 想 状 态 ， 现 有 的 防 护 机 制 最 大 问 题 是 是 一 套 通 用 防 护 机 制 已 经 不 适 用 于 越 来 越 多 样 化 和 复 杂 的 客 户 业 务 场 景 ， 防 护 机 制 未 来 应 该 是 针 对 不 同 用 户 业 务 场 景 能 够 自 动 适 应 并 调 整 防 护 策 略 ， 类 似 于 淘 宝 的 “ 千 人 千 面 ” 推 荐 ， 未 来 安 全 也 是 “ 千 人 千 面 ” ， 在 有 通 用 防 护 策 略 的 基 础 上 ， 每 个 用 户 还 要 有 适 合 自 己 业 务 的 定 制 的 安 全 策 略 。 同 时 报 告 给 出 了 阿 里 云 W A F 的 最 佳 实 践 。 此 外 本 章 节 还 从 “ 什 么 才 是 电 商 和 游 戏 行 业 风 控 的 基 石 ？ ” “ 你 的 A P I 还 在 裸 奔 吗 ？ “ 两 大 问 题 进 行 详 细 剖 析 ， 详 情 可 以 文 后 下 载 报 告 了 解 更 多 。
二 、 二 、 W e b 攻 击 态 势 分 析 攻 击 态 势 分 析 报 告 从 攻 击 类 型 分 布 、 攻 击 源 分 布 、 漏 洞 应 急 响 应 、 攻 击 时 间 变 化 趋 势 、 重 点 行 业 分 布 等 维 度 对 2 0 1 9 年 W e b 攻 击 整 体 态 势 进 行 了 分 析 。 报 告 指 出 ， 从 攻 击 现 象 趋 势 来 看 除 了 春 节 期 和 小 长 假 期 间 攻 击 量 明 显 减 少 ， 其 它 时 间 基 本 处 于 一 个 平 稳 中 略 有 上 升 的 状 态 。 同 时 ， 报 告 从 攻 击 流 量 特 征 、 重 点 攻 击 目 标 、 攻 击 变 形 等 维 度 对 攻 击 手 法 进 行 了 剖 析 。 报 告 显 示 ， 在 针 对 W e b 服 务 的 攻 击 中 ， 扫 描 器 及 各 类 自 动 化 攻 击 工 具 占 据 绝 大 部 分 比 例 。 根 据 当 前 的 数 据 保 守 计 算 ， 在 所 有 针 对 W e b 服 务 的 攻 击 流 量 中 ， 自 动 化 工 具 占 比 超 过 7 0 % 。 这 些 工 具 的 攻 击 方 式 涵 盖 了 目 录 扫 描 、 S Q L 注 入 、 X S S 、 命 令 执 行 、 漏 洞 探 测 等 多 种 威 胁 类 型 。 三 、 爬 虫 分 析 三 、 爬 虫 分 析 报 告 从 爬 虫 的 流 量 分 析 、 爬 虫 分 级 和 典 型 案 例 三 个 部 分 做 了 详 细 分 析 。 报 告 显 示 ， 房 产 交 易 、 交 通 、 游 戏 、 电 商 、 资 讯 论 坛 几 个 行 业 中 恶 意 爬 虫 的 占 比 都 超 过 了 5 0 % 。
这 些 行 业 的 用 户 有 一 个 显 著 的 特 点 是 ， 他 们 往 往 对 外 提 供 的 服 务 内 容 有 着 很 强 的 时 效 性 ， 比 如 不 同 城 市 的 新 上 房 源 、 不 同 线 路 的 票 务 信 息 、 商 品 价 格 、 简 历 信 息 等 等 ， 所 以 会 吸 引 大 量 爬 虫 持 续 的 爬 取 以 获 取 最 新 的 资 讯 。 比 较 特 殊 的 一 个 是 游 戏 行 业 ， 爬 虫 则 总 是 聚 焦 在 虚 假 账 号 和 挂 机 两 个 经 典 场 景 。 从 2 0 1 9 全 年 度 W e b 安 全 报 告 我 们 可 以 看 到 如 下 情 况 ： 1 . 电 商 等 行 业 面 临 的 黑 灰 产 链 条 更 加 完 整 和 专 业 ， 利 益 驱 动 + 更 加 先 进 的 攻 击 技 术 利 用 将 会 让 企 业 付 出 更 多 的 安 全 和 风 控 成 本 来 进 行 防 御 ； 2 . 传 统 W e b 防 御 随 着 A P I 、 加 密 流 量 等 环 境 的 变 化 而 面 临 更 多 的 挑 战 ； 3 . 2 0 2 0 年 各 个 行 业 在 面 临 更 多 更 严 峻 的 外 部 W e b 安 全 威 胁 的 同 时 ， 内 部 对 安 全 水 位 的 要 求 以 及 来 自 蓝 军 的 模 拟 攻 击 也 会 越 来 越 专 业 化 ， 这 对 企 业 自 身 的 安 全 能 力 提 出 了 更 大 的 挑 战 。 在 这 种 情 况 下 ， 借 助 云 上 最 新 的 威 胁 情 报 、 安 全 技 术 、 最 佳 实 践 等 来 构 建 或 是 加 强 自 身 安 全 体 系 ， 是 一 种 相 对 低 成 本 而 高 效 率 的 方 式 ， 能 更 好 的 跟 上 攻 击 者 的 进 化 ， 更 迅 速 的 缓 解 风 险 ， 同 时 更 专 注 于 自 身 业 务 的 发 展 。 完 整 报 告 下 载 完 整 报 告 下 载 更 多 内 容 参 见 完 整 版 ： 《 2 0 1 9 年 W e b 应 用 安 全 年 度 报 告 》 点 击 底 部 【 阅 读 原 文 】 下 载 报 告 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理