近日,网宿科技旗下网宿安全正式发布《2023年互联网安全报告》(下称《报告》)。《报告》显示,2023年,网宿安全平台监测到的全球Web应用程序攻击数量达到7309亿次,同比增长30%,Web应用多维度风险持续上升。同时,生成式AI的兴起也增加了网络安全的不确定性与复杂性。
此次《报告》为企业给予了应对指南,建议企业尽早通过建设WAAP防护体系架构,并结合自身安全风险管理的实际诉求,构建符合现代Web安全威胁态势的整体安全方案。
Web应用多维度风险上升
根据《报告》,2023年应用层DDoS攻击次数达4500亿次,同比增长26%,其中,针对境外目标的DDoS攻击同比增长了近220%,或与企业出海趋势相关;同时,Web应用漏洞利用攻击为416亿次,同比增长8%。此外,电商、文旅行业所遭受到的恶意Bot攻击达到了462亿次,占全平台Bot请求数比例为22%,相比2022年的170亿、10%分别增长了172%、120%。
在攻击体量持续高涨的同时,新型攻击威胁也层出不穷。从攻击手法来看,据网宿安全平台数据,2023年针对API的攻击占比上升到了63%,《报告》推测这一比例的增长源于生成式AI在网络安全以及入侵攻击方面的应用得到了普及。
“生成式AI在提升效率的同时,也会成为攻击者武器库的一部分。生成式AI能够让现有攻击更隐蔽、逃避检测,同时还能生成攻击代码,让自动化的攻击以及漏洞利用的效率变得更高。”网宿安全高级总监胡钢伟介绍。
对于如何防范生成式AI威胁,安全牛分析师王剑桥在会上表示,作为防守方,要做到以不变应万变,防护好风险点,一是主动做好安全意识培训,提升内部员工的防范意识;二是及时查漏补缺,减少风险暴露点;三是变单点防护为全面防护,联动更多安全组件,全面识别风险。
胡钢伟认为,防范生成式AI带来的威胁应回归安全的本质,单点防护已经失灵,企业应该构建体系化主动安全。体系化主动安全包含几个核心,首先风险管理是基础,其次企业要完善自身体系化安全的建设,最后,企业可以将AI赋能到防守以及安全运营方面,提升防护效率。
据悉,网宿安全已将AI能力赋能到整体防护能力上,其中较为典型的应用场景是Bot智能识别,基于AI的智能识别已经贡献了超40%的Bot识别率,而且这一比例还在上升。
建议尽早采纳WAAP架构
在网宿安全看来,传统的WAF已经难以应对现代化Web应用的威胁趋势,Gartner提出的WAAP成为防护选择。WAAP通过集成Web应用防火墙、DDoS防护、Bot管理、API安全、威胁情报和自动化响应等安全功能,可以提供全面的威胁检测和防御体系。
此次《报告》,网宿安全结合自身在WAAP方面的实践经验,从顶层设计、全业务渠道接入、统一管理平台和API、数据驱动和AI应用、核心防护能力等方面提出了建议。
胡钢伟详细谈道,首先,建议针对企业在互联网Web应用所暴露出来的Web、H5、API、小程序等业务系统全部纳入到WAAP架构保护范围之内。同时,针对这些防护对象所需要的DDoS防护、WAF、Bot防护、API保护等,建议采用统一的管理平台来管理这些防护组件。其次,在安全组件之间的协同处置以及安全配置方面,建议采用一个统一的API实现自动化的处置和响应。最后,在平台的运营层面建议企业采用数据驱动的方式,同时将AI的能力应用到平台,不断提升整体的防护水位和运营效率。
(文章来源:证券日报)