摘要：曾提出一份報(bào)告，針對(duì)機(jī)構(gòu)應(yīng)該如何優(yōu)先管理積極風(fēng)險(xiǎn)的問題，提出了考慮將作為企業(yè)應(yīng)用程序安全的主流選擇的建議。的設(shè)計(jì)目的是實(shí)時(shí)消除惡意應(yīng)用程序行為，并發(fā)出警報(bào)來提醒組織優(yōu)先處理關(guān)鍵事務(wù)。

Aberdeen 曾提出一份報(bào)告，針對(duì)機(jī)構(gòu)應(yīng)該如何優(yōu)先管理積極風(fēng)險(xiǎn)的問題，提出了考慮將 Runtime Application Self-Protection （RASP） 作為企業(yè)應(yīng)用程序安全的主流選擇的建議。

1.企業(yè)的應(yīng)用程序組合數(shù)量龐大、復(fù)雜且笨重，對(duì)業(yè)務(wù)影響極大

不管從哪個(gè)方面來看，應(yīng)用程序組合對(duì)企業(yè)實(shí)現(xiàn)戰(zhàn)略業(yè)務(wù)目標(biāo)都至關(guān)重要。
然而，典型的企業(yè)應(yīng)用程序組合又總是數(shù)量龐大、復(fù)雜而且笨重。企業(yè)應(yīng)用程序的數(shù)量與復(fù)雜程度包括以下幾方面：

傳統(tǒng)的企業(yè)支持應(yīng)用程序的數(shù)量從幾十到幾百，更不要提用戶安裝在智能手機(jī)、平板電腦和筆記本電腦的上成百上千個(gè)移動(dòng)應(yīng)用程序了——有些受支持，但是大部分不受支持。

當(dāng)下，企業(yè)應(yīng)用程序類別更有自己額外的復(fù)雜分級(jí)，其中有些應(yīng)用程序可能由內(nèi)部開發(fā)團(tuán)隊(duì)、外包開發(fā)團(tuán)隊(duì)、代表企業(yè)的系統(tǒng)集成人員，或者是這些開發(fā)團(tuán)隊(duì)選用的開源社區(qū)進(jìn)行開發(fā)并維護(hù)的——而且更有可能的是由以上幾個(gè)團(tuán)隊(duì)共同完成。

至于應(yīng)用程序交付平臺(tái)，各個(gè)組織機(jī)構(gòu)都迫切希望利用虛擬化和云計(jì)算靈活性和低成本帶來的便利——不過他們?cè)诳梢娦院涂煽匦苑矫嬉廊皇种?jǐn)慎，尤其是涉及核心商業(yè)的那些應(yīng)用程序

這里最重要的啟發(fā)是，按照定義來說，企業(yè)的應(yīng)用程序檔案對(duì)組織實(shí)現(xiàn)戰(zhàn)略商業(yè)目標(biāo)至關(guān)重要——然而隨著時(shí)間推移，這個(gè)檔案必然會(huì)變得越來越龐大，越來越復(fù)雜。

2. 這就讓犯罪分子有了可乘之機(jī)：為什么你的企業(yè)應(yīng)用程序會(huì)遭到攻擊？

攻擊者越來越致力于攻擊核心、戰(zhàn)略型目標(biāo)，從而使他們的付出得到的回報(bào)最大化。

服務(wù)器最容易受到攻擊，大概是因?yàn)楣粽咧滥抢飪?chǔ)存著數(shù)據(jù)。

這個(gè)觀點(diǎn)在 Verizon 發(fā)布的《 2015 年數(shù)據(jù)泄露調(diào)查報(bào)告》中得到了驗(yàn)證。經(jīng)分析，過去十幾年來超過 90% 的數(shù)據(jù)泄露事件所用的攻擊方法只有九種——而且在這期間導(dǎo)致數(shù)據(jù)泄露最多的攻擊方法就是攻擊網(wǎng)站應(yīng)用程序。

表1：已確認(rèn)的數(shù)據(jù)泄露事件，2006-2014年

信息來源：《 Verizon 2015 DBIR 》節(jié)選；Aberdeen 集團(tuán)，2015年6月。

在表 1 所示的同一個(gè)時(shí)間段內(nèi)（2006-2014年），一共有 60879 家企業(yè)加入了國(guó)家漏洞數(shù)據(jù)庫(kù)，因此安全意識(shí)并不是問題所在。真正的挑戰(zhàn)在于搞清楚應(yīng)該做什么，說服其他人這么做是值得做的，真正去做——并且在飛速變化的環(huán)境中堅(jiān)持不斷去做！

目前的 20 個(gè)關(guān)鍵安全控制（5.1版）還帶來了8個(gè)更高級(jí)別的要求，Aberdeen 已經(jīng)將其修訂成適用于應(yīng)用程序安全問題的內(nèi)容：

了解在你的網(wǎng)絡(luò)環(huán)境中有哪些應(yīng)用程序

確保你的應(yīng)用程序得到安全配置

確保你的應(yīng)用程序安裝補(bǔ)丁，并及時(shí)更新

備份并保護(hù)你的重要數(shù)據(jù)

保護(hù)你的網(wǎng)絡(luò)

管理你的用戶、用戶賬號(hào)以及他們對(duì)企業(yè)應(yīng)用程序的訪問

注意周圍環(huán)境發(fā)生的變化

時(shí)刻準(zhǔn)備著對(duì)出現(xiàn)的問題進(jìn)行響應(yīng)

3. 確保企業(yè)應(yīng)用程序安全的三個(gè)策略以及一個(gè)新的備選方案

這些探討中不可避免地遇到的問題可以最終歸結(jié)為安全、商業(yè)目標(biāo)、整體成本以及某種程度上的管理哲學(xué)等問題的集合。

信息來源：Aberdeen 集團(tuán)，2015年6月。

4. 一個(gè)新的備選方案：Runtime Application Self-Protection （RASP）

一種新的確保應(yīng)用程序安全的方法已經(jīng)出現(xiàn)，它被稱為 Runtime Application Self-Protection （RASP）。

RASP 的概念是把安全保護(hù)代碼內(nèi)嵌（或者有時(shí)候被稱為安裝）到某個(gè)應(yīng)用程序的運(yùn)行環(huán)境，實(shí)時(shí)提供該應(yīng)用程序詳細(xì)可見的收到的請(qǐng)求。關(guān)鍵點(diǎn)是，這種可見信息來自應(yīng)用程序本身，而不是來自網(wǎng)絡(luò)的變化。

另外，RASP 技術(shù)是被設(shè)計(jì)用來分析應(yīng)用程序本身的流量和上下文，以區(qū)別于正常的應(yīng)用程序行為和危險(xiǎn)行為。

在這些性能的基礎(chǔ)上，RASP 提供的正是 Aberdeen 在《Putting Threat Intelligence in Perspective 》（2014年12月）中探討的威脅情報(bào)，它具有至少四個(gè)顯著特點(diǎn)（表3）。

表3：威脅情報(bào)的四個(gè)特點(diǎn)及其在 RASP 中的體現(xiàn)

信息來源：Aberdeen 集團(tuán)，2015年6月。

如果你所在的組織機(jī)構(gòu)還未采用 RASP 來維護(hù)應(yīng)用程序安全，以下分析強(qiáng)烈建議你們主動(dòng)考慮采用這種新的備選方案 RASP。首先，需要評(píng)價(jià)的邏輯維度包括以下幾點(diǎn)：

支持貴機(jī)構(gòu)應(yīng)用程序組合所用的編程語言

解決方案實(shí)時(shí)分析的準(zhǔn)確性

解決方案在應(yīng)用程序中的表現(xiàn)

如今，多樣化的攻擊手段層出不窮，傳統(tǒng)安全解決方案越來越難以應(yīng)對(duì)網(wǎng)絡(luò)安全攻擊。OneRASP 實(shí)時(shí)應(yīng)用自我保護(hù)技術(shù),可以為軟件產(chǎn)品提供精準(zhǔn)的實(shí)時(shí)保護(hù)，使其免受漏洞所累。想閱讀更多技術(shù)文章，請(qǐng)?jiān)L問 OneAPM 官方技術(shù)博客。
本文轉(zhuǎn)自 OneAPM 官方博客