应用保护的现状与未来
概述
在当今以应用为中心的世界，应用几乎无处不在。组织通过应用为员工和消费者提供数据访问权限，以提高生产力、满足业务需求，并最终获得竞争优势。然而，随着组织通过应用交付越来越多的敏感数据，风险也在不断增加。这是因为如今的用户遍布各处，往往身处企业网络之外；他们依赖的应用也可能部署在任何位置，从私有数据中心到公有云。组织因此难以全面了解情况并实施有效控制。网络犯罪分子自然会利用这种暴露面，将这些应用作为攻击目标，而这些应用在很大程度上处于防火墙、防病毒软件和TLS/SSL加密等传统安全防护的覆盖范围之外。
无论是大流量拒绝服务（DoS）攻击、基于浏览器的恶意软件，还是高级持续性威胁，如今的应用攻击实际上都是企图获取或破坏企业数据。随着越来越多的数据通过加密流量传输，目前大多数安全工具如同在盲目运行，无法解密这些数据以确认其中是否包含恶意内容。
传统上，应用安全方法主要关注软件开发生命周期（SDLC），力求确保开发人员遵循安全编码最佳实践。虽然安全的代码仍是整体安全体系的核心组成部分，但仅靠这一点并不足够。随着越来越多的端点和网络超出传统企业网络的覆盖范围，原有的安全边界不断消失，应用和企业敏感数据面临的风险也在持续演变。
必须加强安全措施，确保应用无论部署在何处都能得到保护。如今，绝大多数攻击都以应用层为目标，但企业并未在这一层面投入相应的安全资源。组织需要正视一个新的现实：安全工作必须更加聚焦于应用层。
基于风险的应用安全方法
从基于风险的视角审视应用安全，组织可以重点关注组件故障，并为大多数攻击的最终目标——数据——提供更可靠的安全保护。通过分析构成应用的所有组件，组织可以制定相应策略，为整个应用提供强大且适当的安全保护。因为无论涉及代码漏洞、网络可用性还是DNS，应用或承载该应用的网络中任何一个组件遭到入侵，都会危及整个应用及其中的数据。
应用安全的关键组成部分
组织必须部署尽可能强大的应用安全控制措施，以降低敏感数据因应用层攻击而遭到泄露的风险。针对应用边界构建主动式纵深防御安全体系的关键组成部分包括应用安全测试、防火墙服务、访问控制，以及针对各类威胁的专项防护。
应用安全测试
软件安全仍是整体应用保护策略的基石。组织必须确保新网站和软件采用安全的编码方式，同时还必须解决现有网站中已经存在的大量漏洞，因为这些网站在构建时并未采用安全软件开发生命周期。需要注意的是，发现并修复漏洞并非学术研究，而是为了阻止有主观意图的攻击者侵入企业系统并接触这些系统所保护的数据。然而，如果无法清楚了解对手及其战术，安全专业人员将很难制定有效的应对策略。未来，安全社区中的更多从业人员必须加深对软件及软件安全的理解。
无论软件问题是在新网站和Web应用上线之前还是之后发现，漏洞扫描器都有助于识别并缓解这些问题。不过，将功能强大的漏洞扫描器与全代理Web应用防火墙集成，可以为组织提供更全面的保护。
Web应用防火墙
如今，强大而敏捷的Web应用防火墙已不再是锦上添花，而是必不可少。随着云托管Web应用不断发展，安全攻击日益复杂，威胁企业数据的风险也随之增加。
无论应用位于何处，混合型Web应用防火墙都可以帮助企业抵御OWASP十大威胁、应用漏洞和零日攻击。强大的第7层分布式拒绝服务（DDoS）防御、检测和缓解技术、虚拟补丁以及精细的攻击可见性，可以在复杂威胁到达网络服务器之前将其阻止。此外，能够在攻击者访问企业数据中心之前检测并阻止攻击者，也是一项重要优势。功能强大的Web应用防火墙可以在潜在攻击的早期阶段阻止恶意活动，帮助组织显著降低风险；同时，无需再耗费资源处理无用流量，从而提高数据中心效率。
企业应选择具备以下功能的Web应用防火墙：
- 主动防御自动化攻击网络。
- 与主流动态应用安全测试（DAST）扫描器集成，以便立即修补漏洞。
- 通过关联恶意活动与违规行为来识别可疑事件。
- 提供易于阅读的报告，帮助简化对支付卡行业数据安全标准（PCI DSS）、HIPAA 和《萨班斯-奥克斯利法案》等重要监管标准的合规工作。
SSL检查
如今，SSL已无处不在。分析师预测，2016年加密流量在北美所有在线流量中的占比将跃升至近64%，而2015年仅为29%。1 各组织正加紧对大部分流量进行加密，涵盖从电子邮件、社交媒体到流媒体视频的各种内容。SSL提供的安全性颇具吸引力，但同时也已成为一种漏洞利用途径，因为攻击者会利用SSL向无法查看加密流量的安全设备隐藏恶意软件。
企业安全解决方案必须能够查看这些加密流量，确保其不会将恶意软件带入网络。应对这些加密威胁的一种方法是部署SSL“隔离带”解决方案，即在可视化链路的两端分别放置一个应用交付控制器（ADC）。最靠近用户的ADC会解密出站流量，并将解密后的通信传送至各安全设备。这些设备现在可以查看通信内容，进而应用策略和控制措施，检测并消除恶意软件。在链路的另一端，另一个ADC会在流量离开数据中心时对其重新加密。该解决方案既能让安全设备保持串联部署，又能确保其发挥预期作用，提供了灵活性。
DDoS防护
如今，大多数应用都基于互联网，因此，容量型DDoS攻击可能导致应用严重受损，甚至完全瘫痪。DDoS攻击的规模和复杂性不断增加，可能耗尽全球企业的内部资源。这些攻击将大流量拥塞与针对应用的隐蔽技术相结合，意图中断合法用户的服务。
组织必须制定可靠的DDoS防护策略，确保关键应用的可用性。建议考虑采用可提供全面的多层L3至L7防护，并能在DDoS攻击到达网络和数据中心之前在云端将其阻止的解决方案。
DNS安全
虽然DNS策略不属于传统应用安全观念中的安全编码范畴，但它对企业应用的安全性和可用性至关重要。DNS是互联网的支柱，也是组织网络中最容易受到攻击的环节之一。组织必须防范种类日益增多的DNS攻击，包括DNS放大查询洪泛攻击、字典攻击和DNS投毒。
企业可以采用相应解决方案，智能管理全球流量，通过阻止访问恶意IP域来缓解复杂威胁，并与第三方供应商无缝集成，以实现部署、集中管理和DNSSEC密钥的安全处理，从而确保客户和员工能够随时访问关键的Web、应用和数据库服务。部分解决方案可提供高性能DNS，并能快速扩展，从而更有效地抵御DDoS攻击。
Web欺诈检测
50年前，想抢劫银行，就必须亲自前往银行。如今，即使远在5,000英里之外，也能实施银行抢劫。互联网的全球性意味着，对攻击者而言，任何目标都近在咫尺，而金融机构则是互联网上价值较高的攻击目标之一。为有效应对欺诈风险，通过互联网提供金融服务的组织必须综合运用多种安全技术来保护业务。
可考虑采用有助于防范各类欺诈威胁途径的解决方案，阻止攻击者伪造、禁用或以其他方式绕过安全检查。这样，组织可以降低财务和知识产权损失的风险，并通过主动防范新兴Web威胁和欺诈，增强安全保障。
访问控制
近期一些破坏性较大的安全事件源于用户和管理员凭据遭到泄露。通过对适当人员访问相应信息的行为进行身份验证和授权，并利用单点登录和多重身份验证技术确保与应用的安全连接，原本可能可以阻止这些事件。此外，企业集中管理的身份和访问控制可在企业网络与云端应用或软件即服务（SaaS）应用之间提供安全的身份验证。
结语：应用保护的未来
应用保护极其复杂。随着物联网及相关应用呈指数级增长，问题也日益增多。2010年，Web应用数量为2亿；如今已接近10亿。2（https://www.f5.com/resources/white-papers/the-present-and-future-of-application-protection#footnote02）到2020年，这一数字很可能达到50亿。所有这些应用都可能成为漏洞载体，其中许多应用还包含可能被攻击者盯上的关键数据。
通过采用专注于应用层的解决方案和服务来增强现有安全产品组合，组织可以更好地保护可能暴露敏感数据的应用。无论应用部署在何处，确保其受到保护都至关重要，因为一旦出现问题，后果可能十分严重。
现在应拓宽应用安全视野，帮助组织更有效地保护构成关键应用的所有组件，保障数据安全并保护业务。
发布于2016年2月24日