应用安全漏洞缓解

欢迎迈入应用时代

为了在加快产品上市速度的同时保持敏捷性，各组织纷纷采用敏捷开发，并由应用开发和DevOps团队落实关键业务战略。开发人员只需点击一下按钮，即可自动完成新代码的构建、测试、部署、运行和监控，而这些代码可能改变世界。

那么，应用安全呢？

应用开发已经发生转变，并在很大程度上实现了自动化，但安全工作仍高度依赖人工。开发人员和DevOps从业人员与安全专业人员的数量之比最高可达100:1。产品上市时间压力导致应用团队与安全团队之间产生摩擦，让人们认为安全是一个瓶颈。这一严峻困境往往会导致测试不充分、流程走捷径以及监督不力。

与此同时，架构、云和第三方集成日益增多，导致许多组织的威胁面大幅扩大。跨站脚本（XSS）和注入等应用漏洞自20多年前应用安全兴起之初便普遍存在，但攻击者仍在以惊人的速度发现并利用这些漏洞。攻击者利用自动化框架和AI增强型工具扫描互联网，迅速将漏洞武器化，通过发现并利用弱点牟利。开源软件尤其深受漏洞困扰，带来了未知的重大风险。

F5 Labs报告称，平均每9小时就会披露一个可能导致远程代码执行的严重漏洞，而远程代码执行是危害最严重的攻击之一。预计到2025年，通常每周将发布500个新CVE。

要有效应对跨架构、云环境和开发者框架保护应用所带来的日益复杂的挑战，组织需要转变策略和视角。

开放式Web应用程序安全项目

开放式Web应用程序安全项目（OWASP）成立于2001年，旨在让企业高管和董事会认识到有效管理漏洞的必要性。该项目采用严谨的方法，并吸纳安全厂商和社区的反馈，由此形成了OWASP十大风险，即一份常见且严重的应用程序漏洞清单。

自OWASP Top 10发布以来，XSS和注入一直位列其中。但随着软件供应链面临的威胁日益加剧、开源软件广泛普及，以及传统应用和现代应用的安全与访问管理在运营层面愈加复杂，应用安全已进入新时代。软件更新、关键数据和CI/CD流水线的完整性都可能遭到破坏。尽管开源软件显著加快了开发速度，但也改变了风险管理方式，因为内部开发的定制软件通常采用的控制措施（例如静态代码分析（SCA））并不总是适用于第三方软件，或在实践中并不可行。

2021年，攻击者开始利用一个广泛部署的开源软件库中的严重漏洞。该软件库被数千个网站和应用使用，漏洞详情公布后，攻击者几乎立即开始利用该漏洞。如果不加以修复，此漏洞可能导致远程代码执行，使攻击者能够接管网站和在线应用、窃取资金、造成数据泄露并入侵客户账户。

F5 Labs详细介绍了过去20年间CVE格局发生的重大变化，包括漏洞数量不断增加、类型日益多样。部分变化源于技术演进，另一些则反映了数据收集方式的变化。

架构蔓延与AI的兴起

技术的快速演进正在改变组织的业务运营方式，也改变了组织为保障业务安全而必须采取的措施。如今，88%的组织采用混合模式运营，涵盖SaaS、公有云/IaaS、本地部署（传统）、本地部署（私有云）、托管数据中心和边缘环境；这些组织也越来越多地利用AI来减少手动调优，并根据检测到的威胁自动构建安全策略。虽然全新项目可以充分利用云的效率优势，但大多数企业应用组合同时包含传统应用和现代应用，横跨数据中心、云和微服务中的多种架构。

应用数量激增和上市速度加快，也在推动风险管理发生根本性变化。网络工程师可能不再负责部署基础设施。DevOps团队可以在一站式云解决方案中，利用容器等新兴架构轻松创建虚拟和临时基础设施，实现从代码构建到服务部署的全流程自动化。应用开发周期中角色、职责和工作方式的这些变化，往往会导致安全工作未能同步跟进。

与此同时，攻击者的攻击手段也日益高效。他们利用现成的工具和框架扩大攻击规模，所采用的方法本质上与安全专业人员量化和评估风险的方法相同。

此外，为确保业务连续性，越来越多的组织开始采用多家云服务提供商。同时，为满足多个云环境中的特定需求，组织使用的工具日益繁杂。这往往让安全负责人难以明确哪些内容已得到保护、哪些尚未得到保护，而其中的细微差异可能导致漏洞，常见情况是安全配置错误（例如，参见AWS责任共担模型）。

左移并转变视角的必要性

应用的构建和部署方式正在改变风险形势。因此，安全防护也需要相应前移，以应对不断变化的应用漏洞。可见性和一致性仍然至关重要，但组织需要从根本上转变应用安全的实施方式。与其在应用上线后才制定安全策略、排除误报以稳定和调优策略，再持续监控可能使应用面临风险的新披露漏洞，不如将应用安全内置于应用开发生命周期中。无论采用何种架构、云环境或框架，都应覆盖从编码、测试到生产的全过程。

渗透测试可以在软件投入生产环境之前发现重大风险，并为安全团队提供关键洞察，使其能够实施Web应用防火墙策略等重要的临时防护措施，从而大幅缩短风险缓解时间。

高效的应用安全应具备自动化、集成化和自适应能力。自动化可以降低运营支出（OpEx），并减轻应用发布、部署和维护期间关键安全资源的压力。自动化策略部署可以在软件开发生命周期（SDLC）的早期实施并稳定安全控制，从而提高有效性、减少人工干预，使信息安全团队摆脱大量警报和潜在误报，专注于更具战略性的风险管理工作。与应用开发框架及持续集成和持续交付（CI/CD）流水线进行原生集成，可以减少开发团队与安全团队之间的协作障碍，从而提升业务敏捷性并加强组织协同。

通过API驱动的部署和维护与开发者工具集成，可将基础设施复杂性抽象化，从而简化跨多种架构和云环境的策略管理与变更控制，降低运营开销，并防止配置错误。

此外，安全缓解措施应准确且具备韧性，以免影响客户体验，或让攻击者通过升级攻击活动来规避检测。消费者需要个性化的精选体验，而经验丰富的攻击者也不会轻易退却。

在竞争激烈的数字经济中，不影响易用性的有效安全措施可以成为赢得并留住客户的关键差异化优势。

结论

如今，应用就是业务，因此，应用面临的威胁和低效的安全防护已成为制约业务潜力的主要风险。现代分散式应用架构扩大了威胁面，自动化增加了意外风险，也提升了攻击者的攻击效力，而网络犯罪造成的影响仍在不断加剧。尽管如此，持续提供安全数字体验的组织仍将实现客户和收入增长。

解决方案很明确。与其推迟发布可能改变世界的新代码，不如将安全左移，在整个应用生命周期中实现防护自动化，并转变对安全的认知，使其成为关键的业务差异化优势。

通过主动缓解漏洞、降低复杂性，并利用有效且易于运维的安全措施保护业务，可以加速数字化转型并优化客户体验，从而降低风险并打造数字化竞争优势。