隨著(zhù)云計算時(shí)代的到來(lái)，越來(lái)越多的企業(yè)用戶(hù)將業(yè)務(wù)系統遷移至云平臺，利用云平臺提供各種Web應用和服務(wù)。然而，這些云端Web應用和服務(wù)也因此成為黑客或各種惡意組織和個(gè)人為某種利益而攻擊的目標。
組成“云平臺”的各種系統和應用除了要面對傳統網(wǎng)絡(luò )環(huán)境中所面臨的病毒、木馬和惡意軟件等威脅之外，還要應對薅羊毛、刷單、黃牛黨、虛假賬號等業(yè)務(wù)欺詐，以及針對存放在“云中”用戶(hù)信息發(fā)起的惡意撞庫、拖庫、惡意爬蟲(chóng)等攻擊，這些新型威脅手段繁多，特別是模擬合法業(yè)務(wù)邏輯操作的攻擊更是防不勝防，讓現有防護措施難以甄別。
動(dòng)態(tài)變幻隱藏技術(shù)
如何解決云端Web應用所臨的安全問(wèn)題？有沒(méi)有一種方案能夠輕量便捷、靈活高效地將Web業(yè)務(wù)和應用安全地交付到云架構中呢？答案是肯定的。瑞數顛覆性的創(chuàng )新動(dòng)態(tài)安全技術(shù)可以與各類(lèi)公有云、私有云和混合云充分整合，幫助企業(yè)安全地將各類(lèi)Web業(yè)務(wù)和應用交付在云架構中，防范黑客利用 Web 應用天然缺陷對業(yè)務(wù)進(jìn)行惡意攻擊，彌補傳統安全產(chǎn)品的技術(shù)短板。
圍繞保護云端Web業(yè)務(wù)，瑞數“先發(fā)制人，掌握先機”的防護哲學(xué)徹底顛覆攻防態(tài)勢，通過(guò)動(dòng)態(tài)封裝、動(dòng)態(tài)驗證、動(dòng)態(tài)混淆、動(dòng)態(tài)令牌等變幻技術(shù)，隱藏攻擊入口，提升黑客攻擊難度，加快防護響應速度，降低企業(yè)管理負擔，全程保護Web應用安全，主動(dòng)識別和阻擋傳統防護手段乏力的自動(dòng)化攻擊，同時(shí)將安全數據與海量威脅情報分析相結合，為用戶(hù)提供全景的安全威脅可視、攻擊溯源定位等功能。利用并結合云平臺的計算資源和應用資源，為企業(yè)客戶(hù)的業(yè)務(wù)提供從客戶(hù)端到云端服務(wù)側的全方位安全保護。
動(dòng)態(tài)云端Web應用安全防護
具體來(lái)說(shuō)，瑞數動(dòng)態(tài)云端Web應用安全防護方案可以實(shí)現業(yè)務(wù)反欺詐、數據防泄漏、威脅可視化和協(xié)同防護。
業(yè)務(wù)反欺詐：攔阻盜刷、套現、薅羊毛、違反業(yè)務(wù)邏輯操作等業(yè)務(wù)欺詐行為。
數據防泄漏：防護零日漏洞、撞庫、網(wǎng)頁(yè)后門(mén)、惡意代碼注入等自動(dòng)化攻擊。
威脅可視：高效的可視化報表系統，豐富的多維度分析參數和實(shí)時(shí)圖表單元。
協(xié)同防護：即時(shí)捕獲各類(lèi)攻擊，精確定位攻擊來(lái)源，與各類(lèi)安全手段形成協(xié)同防護體系。
通過(guò)動(dòng)態(tài)云端Web應用安全防護方案，用戶(hù)可以實(shí)現：
- 應用漏洞不再依賴(lài)補丁 - 通過(guò)隱藏web網(wǎng)頁(yè)路徑及可能的攻擊入口，令漏洞掃描、漏洞利用的工具完全失效。
- 直擊未知攻擊及自動(dòng)化攻擊 - 有效阻止撞庫、惡意注冊、惡意爬蟲(chóng)、拖庫、應用DDoS等攻擊行為。
- 彌補應用安全防御空白 - 識別與阻擋多源低頻、模擬業(yè)務(wù)邏輯、網(wǎng)頁(yè)零日漏洞等新興攻擊，讓企業(yè)不再……
- 統一安全管理 - 整合公有云和私有云，提供可視性和報告管理；
- 自動(dòng)化流程 - 最大限度的減少配置失誤；
- 消除業(yè)務(wù)中斷或停止帶來(lái)的成本及名譽(yù)損失；
- 最大的靈活性 - 將工作負載、應用程序及數據中心安全遷移到公有云。
動(dòng)態(tài)云端Web應用安全防護場(chǎng)景
絕大部分網(wǎng)站、電商、網(wǎng)上銀行等都需要進(jìn)行Web安全設防。在長(cháng)期的實(shí)踐當中，瑞數的安全專(zhuān)家梳理出三種典型的動(dòng)態(tài)云端Web應用安全防護場(chǎng)景，如下：
業(yè)務(wù)欺詐
- 刷單 - 防止商家通過(guò)工具刷單，虛假提升自己的排名或評價(jià)。
- 薅羊毛 - 防止“羊毛黨”通過(guò)惡意注冊等方式繞過(guò)平臺驗證，批量套取活動(dòng)優(yōu)惠和促銷(xiāo)，賺取利潤。
- 短信轟炸 - 防止黑客濫用短信發(fā)送接口，批量或向指定手機號發(fā)送垃圾短信，影響正常手機使用。
- 黃牛黨 - 防止通過(guò)自動(dòng)化工具大量從多點(diǎn)多賬號登錄并參與搶購活動(dòng)，進(jìn)而倒賣(mài)獲利。
- 套現 - 防止惡意用戶(hù)通過(guò)技術(shù)手段繞過(guò)安全限制，進(jìn)行虛假交易，換取積分，兌換禮品后套現獲利。
- 虛假賬號 - 防止通過(guò)虛假手機或臨時(shí)郵箱，通過(guò)自動(dòng)腳本注冊大量垃圾賬號。
數據泄露
- 撞庫 - 防止黑客通過(guò)黑產(chǎn)數據庫，利用自動(dòng)化程序實(shí)施登錄嘗試，盜取合法賬號，進(jìn)而獲取用戶(hù)信息或讓用戶(hù)資金蒙受巨額損失。
- 拖庫-利用合法身份或盜用身份，通過(guò)腳本或者編制程序，模擬合法業(yè)務(wù)邏輯進(jìn)行的批量信息導出
- 惡意爬蟲(chóng) - 有效攔阻攻擊者利用自動(dòng)化程序爬取網(wǎng)站企業(yè)信息、商品信息、評論信息等內容，還原關(guān)鍵敏感數據。
威脅可視
- 內置可視化報表子系統，提供豐富的多維度分析參數和實(shí)時(shí)圖表單元，能夠將諸如攻擊類(lèi)型、攻擊方式、攻擊路徑、源IP地址、異常流量占比等關(guān)鍵信息一目了然地展示出來(lái)。
- 發(fā)現隱藏IP和攻擊以及網(wǎng)頁(yè)針對性攻擊的企圖Web應用安全是一個(gè)如何強調都不為過(guò)的事情，千里之行始于足下，瑞數動(dòng)態(tài)云端Web應用防護實(shí)現在線(xiàn)安全第一步，其低成本、輕量級、快速響應的優(yōu)勢特點(diǎn)，讓更多企業(yè)用戶(hù)在享受云服務(wù)便捷和成本優(yōu)勢的同時(shí)，不再擔憂(yōu)云的安全性，全力擁抱云計算。
關(guān)于瑞數
瑞數信息（ River Security ），成立于2012年，專(zhuān)注于提供業(yè)界最前沿的互聯(lián)網(wǎng)動(dòng)態(tài)業(yè)務(wù)應用安全防護解決方案。總部位于上海，在北京和深圳分別設有分支機構，并在成都設立了研發(fā)中心。首創(chuàng )的“動(dòng)態(tài)安全”主動(dòng)防護技術(shù)完全顛覆了延續20多年的傳統安全技術(shù)基礎，可以有效抵御各類(lèi)自動(dòng)化攻擊或模擬合法操作的交易欺詐行為，阻擋能力更高效、更及時(shí)，同時(shí)大幅度降低部署及使用成本。
