Web 应用程序安全的未来
不断演变的攻击手段揭示了安全漏洞
网络攻击越来越复杂多样
当前，受新冠疫情的影响，在家办公和在线活动增多导致网络流量激增近 40%。与此同时，大大小小的网络攻击也随之增多，因为安全团队没有充足的工具、资源和可见性，未能检测和修补安全基础设施中的漏洞。因此他们容易遭遇各种应用程序和网络层的威胁。
疫情期间出现了两个主要趋势。
攻击手段更加多样化。除了 DDoS、SQL 注入、跨站点脚本和凭据填充等常见攻击外，攻击者还迅速开始利用其他漏洞。他们利用基于赎金的 DDoS 攻击 (RDDoS)、IoT 机器人攻击、QUIC 放大攻击和其他创新的攻击策略等各种手段，瞄准易受攻 击的组织。这些手段越来越受欢迎，因为他们合力击垮组织，勒索高额赎金，损害品牌声誉。
随着物联网 (IoT) 设备使用量上升 IoT 僵尸网络攻击也随之上升。被迫将热门产品发布转移到网上的零售商一直受机器人困扰，因为机器人不断抓取库存信息或进行欺诈性购买，真正的消费者却被拒之门外。有些攻击通过运行 UDP 的协议进行；例如攻击者会扰乱使用 TeamSpeak（支持玩家之间相互进行语音聊天的网络电话）的游戏玩家，影响了他们在游戏中的表现。
Attacks are more complex. As the frequency of cyber attacks rose in the last year, so did the number of multi-vector attacks. Sophisticated attacks aren’t necessarily the longest or largest attacks, but use repetition, advanced bot behavior, and multiple methods and entry points — often at several different layers of the OSI model — to evade detection and threat protection technologies. This means that it may take longer for organizations’ security teams to discover and recover from attacks, resulting in data loss, poor customer experience, and additional costs.
根据 Verizon 的《数据泄露调查 报告》，Web 应用程序仍然是利用漏洞和被盗凭据、后门和 C2 功能的攻击的主要手段之一——随着组织将更多应用程序和数据迁移到云端，员工越来越分散化，以及 Web 流量的激增，这种趋势可能还会继续。
随着应用程序攻击环境的变化，Web 安全策略也必须积极强健，帮助企业预测和缓解可能出现的威胁。
单点解决方案的挑战
Web 应用程序安全的传统方法需要多个单点解决方案（通常被贴上同类最佳的标签），涵盖 DDoS 缓解、恶意机器人缓解、API 保护和 Web 应用程序防火墙 (WAF)，每个解决方案都旨在解决其路径通过的特定攻击手段。
然而，孤立的安全解决方案并未有效地将解决方案分层，以创建更强健的防御保障，反而经常给已经不堪重负的安全组织造成可见性挑战和压力。
Visibility: Using point solutions from different vendors can often impact visibility and introduce security gaps. Attacks against web applications and APIs can span the purview of multiple point products, rather than single product offerings. For example, detecting and mitigating a credential-stuffing attack may require capabilities found in a WAF, a bot mitigation solution, and an API security offering. Without the ability to easily manage security services and monitor all traffic, endpoints, and browsing activity through a single pane of glass, security teams may not be able to detect anomalies in advance or defend against zero day attacks.
负担：随着攻击的规模扩大，情况愈发复杂，阻止攻击需要不断扩大单点解决方案的清单，其中许多方案可能没有集成。此外，将多种服务分层成本高昂，且非常耗时。维护大量不同的安全工具可能会给组织带来不必要的压力，特别是当这些工具在功能上存在重叠时。
保障 Web 应用程序安全的综合方法
东拼西凑的单点解决方案不再能满足现代企业的需求。随着新的手段的出现，而且攻击愈发频繁愈发复杂，组织需要一个强健、集成的 Web 应用程序安全平台——集成 DDoS 保护、Web 应用程序防火墙、API 保护和机器人管理的核心服务。
但是，真正的集成意味着什么？面对复杂和不断变化的威胁环境时，集成策略能带来哪些优势？
如果实施得当，一个集成的安全平台会将安全控制分层，各层之间相互加强，而不是产生漏洞，致使端点易受攻击。供应商需要确保每个工具都能与其他工具密切配合，无缝检测和防御各种攻击手段，同时分享信息，以提高威胁预防能力。每遇到一次威胁，整个系统就应该能更高效地阻止威胁。
相比一堆单点解决方案（哪怕每一个都是同类最佳），集成平台带来了额外的优势：
Comprehensive security — with no gaps. Integrated web application security solutions should work together to cover all attack surfaces, no matter what attackers throw their way.
提高可见性。一个真正集成的 Web 应用程序安全方法应将各种解决方案集成到一个单一的管理面板后，让安全团队对安全态势的每个方面都获得充分的可见性和控制权。
简化管理。报告工具、防火墙规则、攻击警报和日志都应该在同一个地方进行管理和修改，让安全团队能够在威胁出现时发现并缓解威胁。
整体 Web 保护
Frost& Sullivan 最近评估了 10 家云提供商的安全产品，以进一步帮助企业评估集成的 Web 应用程序安全平台。根据其“整体 Web 保护”实力（包括 DDoS 缓解策略、Web 应用程序防火墙和机器人管理解决方案，它们相互配合，共同维护 Web 应用程序）及其提供的数据（可用性、保密性和安全性）来衡量每家提供商。
Cloudflare 被评为创新领导者，在其超过 320 个数据中心的全球边缘网络上保障 Web 应用程序安全。
Cloudflare 就影响当今技术决策者的最新趋势和主题发布了系列文章，本文为其一。
关键要点
阅读本文后，您将能够了解：
导致网络攻击激增的因素
正在形成的2 种攻击趋势
传统的 Web 应用程序安全方法的挑战
整体 Web 保护为何成为新标准