在互联网的世界里，我们永远不知道下次爆发大规模网络安全事故是哪一天，网络安全就像一场永无休止的攻防战，攻防两端永远在博弈，此消彼长，没有完结的一天。面对自动化的Bots机器人攻击，“兵来将挡，水来土掩”的单一防护方法已力不从心，简单地堆砌各类防护措施更是难以对抗层出不穷的Bots机器人攻击，选择部署更加主动和动态的安全防御措施才是企业的唯一出路。
有效防御Bots机器人攻击是未来安全防护的一大趋势，能够赋予企业更高等级的安全保护。但在选择Bots机器人攻击缓解方案时，企业往往会面临一些不可避免的问题。针对Bots机器人攻击缓解方案，瑞数信息从攻击趋势、类型、技术、防护手段、应用场景等方面提出了六大问题，帮助企业了解如何选择最佳的解决方案。
1
Bots机器人攻击类型日渐广泛，如何立于不败之地？
伴随着AI技术、自动化工具的应用及平台化趋势的加强，复杂Bots机器人程序攻击的手段和覆盖范围正在不断增加，安全攻击变得更具侵略性，由自动化工具发起的高效大规模攻击(恶意爬虫、撞库、虚假注册、交易篡改、内网安全、API滥用、零日攻击等)大幅增加了企业和政府机构在业务、应用和数据层面的安全风险。 企业需要将Bots管理纳入到企业应用和业务威胁管理架构中，部署针对机器人威胁进行防护的多种新技术，将安全防御的重心从网络上升到应用，从传统网络边界，迁移到各种应用API，构建集中于商业逻辑、用户、数据和应用的可信安全架构,全面抵挡新的安全威胁。
2
Bots机器人攻击手段日新月异，是否能够有效辨别？
多年来，网络威胁与日俱增，但随着用户对潜在安全威胁的了解和对应防护方法的掌握，攻击者开始放弃了部分已不太能奏效的攻击手段，转而采用了更多新的自动化攻击手段，由此催生了更具拟人特点的高级机器人攻击，这些新型攻击正呈现出更加广泛化、专业化、智能化的特点，许多模拟真人、符合正常业务逻辑的恶意行为，通过使用模拟器、伪造浏览器环境、UA、分布式IP等给企业安全带来了极大威胁。
在自动化攻击与安全防护之间的对抗中，企业应借助涵盖动态安全、机器学习、智能人机识别、智能威胁检测、全息设备指纹、智能响应等的AI技术，加强对Bots机器人攻击的识别，持续监控并分析流量行为，实现精准攻击定位和追踪溯源，并对潜在和更加隐蔽的攻击行为进行更深层次的分析和挖掘。从而实现由被动向主动、由静态向动态的整体安全防御。
3
Bots机器人加速网站漏洞曝光和利用，如何构筑防御底线？
企业各类服务和数据不断向线上迁移，但层出不穷的网页应用漏洞，以及可以利用各种新型攻击手段和工具绕过传统安全防护措施的Bots机器人攻击，让网站面临着严峻的业务和数据安全挑战。
因此，具备防漏洞探测、防零日漏洞攻击、防应用DDoS等功能的主动防护措施是网站安全最佳的基本防护选择。利用“动态安全”提供的主动式防御技术可以通过识别攻击是否为脚本、程序、工具等发起，从而在无规则防护升级的情况下对Bots机器人攻击进行有效阻断，实现迅速响应，防范于攻击之前。
4
Bots机器人爬虫导致数据泄露事件防不胜防，如何有效对抗？
近年来，数据泄露事件泛滥，网络爬虫和内鬼防不胜防，医疗信息、账户凭证、内部敏感的企业数据频繁被盗，同时，线下的非法数据售卖也非常猖獗，这就更增加了企业及公民信息外泄和被利用、被伪造的风险，给企业带来了巨大的安全隐患。然而，自动化工具攻击并不是一成不变的，爬虫等技术也在不断发展，手段越来越“高明”。它们不再是简单的脚本或程序，而是在一定程度上能模拟人的行为或浏览器行为。因此依赖签名与规则等的传统安全防御技术，已经无法抵御新兴的安全威胁。
IDC报告明确提出，移动目标的动态防御技术已经成为与机器学习、行为分析、威胁情报技术一样在主动防御领域的重要技术。运用“动态安全”技术进行人机识别，通过机器学习、智能威胁检测等AI技术，严密检查运行环境、浏览器指纹、疑似攻击行为等因素，高效甄别并阻拦高级模拟人或者高级爬虫工具发起的访问需求。通过动态响应机制建立主动防御和持续对抗的能力，持续为企业数据安全保驾护航。
5
黄牛党羊毛党泛滥，如何扼制业务欺诈风险？
攻击者可以利用自动化工具，通过伪装成正常交易的业务欺诈行为，例如盗刷、套现、薅羊毛、黄牛抢购、刷单、短信轰炸及违反业务逻辑操作等业务欺诈行为达到攫取经济利益的目的。从商业角度来说，这些攻击行为扰乱了申请数据、转化率、毛利率等商业分析指标，歪曲了业务增长的真实水平。从用户体验来说，真实用户很难在与自动化工具的较量中胜出，直接导致部分客户的流失。
面对业务和网络威胁相混合、应用防护和业务反欺诈相交叠的安全现状，企业需要具有前瞻性的“风控前置”意识，在攻击威胁到达系统之前就对业务欺诈风险进行精准甄别和拦截，动态安全技术，可以在传统风控之前实现对恶意工具行为的前置识别和威胁感知，从而最大限度地主动透视风险，更高效准确地实现业务风险防护。
6
合法账号获取轻而易举，如何增强账号安全？
2018年黑客已经在网络上发布超过14亿笔已外泄的账号密码查询系统，并且大多提供了可以用比特币购买完整资料库的渠道，为撞库攻击以及恶意注册提供了充足的弹药准备。攻击者广泛利用自动化攻击工具模拟合法用户操作并利用大量跳板快速更换IP，让基于特征比对及行为规则的传统安全防护机制几乎束手无策，这就让依靠IP黑名单拦截攻击的企业面临着重大的安全挑战。不仅如此，随之而来的敲诈勒索才是黑产利益的更大来源。拥有大量用户的平台，如航旅酒店、电商、网银更是感受到威胁甚巨，一旦被撞库成功、遭遇敲诈勒索，部分企业为了避免事态不断恶化造成难以估计的负面影响，会倾向于先向攻击者提供金钱来解决问题。
虽然使用多因素认证或者两阶段验证可以大幅降低撞库的风险，但全面实施这类安全措施的推广过程还需要克服重重的内外部阻碍，同时这也会增加用户登录过程的额外负担。为了有效克服传统安全机制在对抗撞库攻击的重大挑战，改变传统的被动式安全防护策略，企业需要以创新的主动防御技术高效甄别伪装正常行为的已知和未知自动化攻击，阻挡撞库、恶意注册等自动化攻击，防止数据泄漏，防止黑客利用已经泄漏的用户信息及密码进行批量登录，全面保障企业的数据安全和账号安全。
动态安全+AI – 让Bots机器人攻击彻底失效
自动化威胁防御能力是瑞数信息的看家本领。作为国内首家提出“动态安全”理念的公司，瑞数信息以“先发制人，掌握先机”的防护哲学彻底颠覆了传统安全基于攻击特征与行为规则的被动式防御技术，可以高效甄别伪装和假冒正常行为的各类已知和未知自动化攻击。
瑞数信息创新性的动态智能防护技术能够根据威胁态势对交易的全过程进行动态感知、分析与预测、即时追溯与阻断恶意攻击来源，协助企业对抗各种新兴威胁，弥补传统安全防护方案普遍存在的滞后性，有效打击伪装成正常交易的业务作弊，利用合法账号窃取敏感数据及假冒合法终端应用的各类网络欺诈与攻击，保护在线交易与企业网站的安全。
创新的动态防御：通过对网站底层代码的动态变换隐藏攻击入口，迷惑攻击者，让其无法发起有效攻击，直接在来源端阻绝自动化攻击工具，化被动为主动，保障业务数据的安全。精确的全息指纹，利用结合静态环境与动态行为的全息指纹技术，实现即使攻击来源环境发生变化，仍能精确描绘攻击者画像，并进行攻击溯源，精确捕获业务欺诈来源。
深度的AI人工智能：基于纵深防御的人工智能架构，有效解决纯人工智能安全方案面临的计算量大、资源消耗高、建模难度大及误报率高等难题，深入挖掘最狡猾的业务欺诈行为。
灵活的攻防对抗：将传统单一的阻挡动作，转换为可编程的智能对抗，让攻击者难以捉摸业务系统的防御规则，企业可以更加灵活轻松地将业务欺诈拒之门外。
Bots机器人攻击已经日益成为了攻击主流，同时，伴随AI技术及平台化趋势的加强，越来越复杂的高级机器人攻击为网络安全行业带来了更为严峻的挑战。目前，瑞数动态安全Botgate已经成为市场上应对机器人攻击非常有效的一款工具。未来，随着更多企业安全思维的转变，瑞数信息将利用这一全新的安全武器，实现更高水准的安全防御，帮助更多企业将黑色产业链的攻击拒之门外。
来源：freebuf.com 2020-01-21 15:27:47 by: riversecurity
请登录后发表评论
注册