可用性只是障眼法，而我们正中其下怀

Lori Mac Vittie杰出工程师兼首席技术布道师 | F5

在一个完全平衡的世界里，可用性与安全性应当同等重要。应用用户对数据安全的关注，理应不亚于对应用访问的关注。

众所周知，现实世界并非如此平衡。与数据泄露相比，可用性和性能问题同样可能，甚至更可能导致用户删除应用并放弃某个品牌。

当然，数据泄露仍会引发用户的强烈不满。但通常情况下，公司为此付出的代价是金钱，而不是忠实用户的流失。

安全专业人员在F5 Labs《2018年应用保护报告》中向我们反馈的优先事项体现了这种差异。对于CISO而言，首要关注点并非其职位名称可能让人以为的安全性。在此前针对CISO开展的研究《CISO角色的演变及其对业务的重要性》中，大多数CISO表示，他们最关注的是可用性，而防止应用停机是其组织的首要任务。

我们即将发布的网络自动化现状报告也反映了这一点。当被问及使用哪些指标衡量个人和团队的工作成效时，59%的安全从业人员将“网络正常运行时间”列为首要指标，“应用正常运行时间”紧随其后，近半数（49%）的安全从业人员选择了这一指标。

可用性这一概念也涵盖性能。速度被视为可用性的组成部分，而在检测那些会造成实际影响的攻击时，安全性往往会被牺牲。检测恶意代码和数据离不开数据检查，但这项工作成本高昂且会增加延迟，因此通常被认为适得其反。

对可用性的重视为攻击者提供了可乘之机。F5 Labs的报告指出，攻击者知道目标会优先保障可用性，因此“攻击者还会选择特定时机发起DDoS攻击，以此转移注意力，掩盖同时实施的数据窃取和欺诈攻击，因为此时管理员正忙于应对DDoS攻击”。这种被称为“烟幕”的手法并不新鲜。正如我们在2017年指出的那样，越来越多的组织遭到大流量DDoS攻击，攻击者借此掩盖其真实意图。

而消费者正在为此付出代价。

以可用性为幌子

攻击者越来越多地利用我们对可用性的关注来转移注意力。这令人担忧，因为攻击者正在升级战术，动用一切手段，试图穿透网络、基础设施和应用，获取防线之后的宝贵资产：数据。问题在于，攻击者不仅会利用阻碍其达成目标的用户和系统，如今还会利用数据本身。

在F5 Labs的《2018年应用保护报告》中，研究人员分析了来自多种来源的数据泄露和攻击数据。结果并不出人意料，但令人不安。

2018年第1季度，在所分析的数据泄露记录中，70%显示其根本原因是Web注入攻击。如果您一直关注相关情况，这一结果并不意外。过去10年间，23%的数据泄露记录显示，初始攻击向量为SQL注入。此类攻击十分普遍，因此在2017年OWASP十大安全风险中位列首位。

事实上，针对基于PHP的Web应用的攻击中，近一半（46%）属于注入攻击。安全专业人员应注意，PHP的应用极为广泛。Builtwith.com追踪了构建互联网应用所使用的技术。该网站指出，访问量排名前100万的网站中，43%使用PHP构建。美国托管了近1,800万个此类网站，其中访问量排名前1万的网站中，近一半（47%）使用PHP。

这为攻击者提供了大量可供选择的目标，而他们也确实会从中选择目标。报告显示，攻击活动涉及超过21,000个不同的网络，其中58%的攻击以基于PHP的网站为目标。

数据正日益成为有利可图的攻击目标

不要急于将问题归咎于所使用的语言。需要注意的是，F5 Labs的研究人员还提醒，应密切关注反序列化攻击。此类攻击并不针对特定语言，而是以数据本身为目标。报告指出：

“当应用将数据转换为可传输的格式（通常为二进制格式）时，就会发生序列化。数据通常从服务器传输到Web浏览器、从Web浏览器传输到服务器，或通过API在机器之间传输。”

攻击者通过在数据流中嵌入命令或篡改参数，往往能绕过过滤机制，直接进入应用。未能过滤或清理数据的应用或应用组件可能因此遭受漏洞攻击，Apache Struts事件就是一例。反序列化攻击被认为构成了严重威胁，因此OWASP于去年将其列入十大安全风险。仅此类漏洞就影响了1.48亿美国人和1,520万英国公民。尽管反序列化攻击在实际环境中相对少见，但仍应得到更多关注。

这两种威胁揭示了一个共同点：数据同样不可信。无论是数据遭到蓄意篡改，还是攻击夹带在合法请求中，攻击都越来越多地隐藏在数据流中。

不过，在深入关注应用及其数据的同时，也不要忽视技术栈的其他部分同样容易受到攻击，也很可能成为攻击目标。令人担忧的是，许多系统仍在继续依赖已弃用的SSL和TLS 1.0等弱加密协议。这些协议之所以被弃用，是因为存在大量安全隐患，攻击者更容易利用这些隐患获取访问权限。

正如报告所指出的：“平均每年约有两项新发现并命名的TLS协议漏洞被披露。不过，除Heartbleed外，大多数已命名的TLS协议漏洞都停留在学术研究层面，很少被用于实际的数据泄露事件。2014年涉及Community Health Systems（CHS）的事件是其中规模较大的事件之一。攻击者利用Heartbleed漏洞，导致CHS近500万个社会保障号码泄露。”

威胁较低，风险却很高。没有人愿意成为那个罕见的受害者，但最终总会有人中招。

安全性与可用性应得到同等重视

现实是，我们正在进入一个仅仅“不信任任何人”已远远不够的时代。我们必须深入技术栈，识别那些旨在破坏或绕过应用和数据保护措施的攻击。我们必须将应用保护视为一个持续过程，不断评估从网络、基础设施到服务的整个应用技术栈状态。这意味着，我们既要重视数据交付速度，也要同等重视数据安全。

我们需要牢记安全规则零：永远不要信任用户输入。还要记住，数据也属于用户输入。因此，需要加强安全措施，包括检查入站数据，并设法抵消这可能对性能和可用性造成的影响。

这意味着要认识到，可用性有时只是转移注意力的幌子，我们不能因此误判。安全性理应且必须与可用性和性能受到同等重视。首席信息安全官（CISO）应优先考虑安全性，而非可用性。

因为，如果连CISO都不为安全据理力争，还能指望谁呢？

如需了解更多洞察和分析，请参阅F5 Labs 的《2018 年应用保护报告》。该报告还提供实用指导，介绍整个应用堆栈中存在的攻击及相应防护措施。

关于作者

Lori Mac Vittie杰出工程师兼首席技术布道师 | F5

Lori MacVittie是F5首席技术官办公室的杰出工程师兼首席技术布道师，在应用交付、自动化战略和基础设施领域拥有深厚的专业知识。无论是为AI智能体定义防护机制、剖析脆弱的多云架构，还是探索可扩展系统的极限，她都善于化繁为简。她在应用开发、IT架构以及网络和系统运维领域拥有30多年的行业经验。加入F5之前，她曾担任技术编辑，并因出色表现获得奖项。 MacVittie拥有计算机科学硕士学位，著述颇丰，出版作品涵盖安全、云和企业架构领域。她还热衷于桌面游戏和电子游戏，并且对奶酪有着毫不掩饰的鲜明见解。

Lori Mac Vittie 的更多博客文章