Web 應用程式安全的未來
不斷發展的攻擊手段讓安全漏洞無處遁形
網路攻擊的複雜性和多樣性持續增長
持續發生的冠狀病毒疫情導致了近 40％ 的網路流量激增，這是由於居家工作措施和線上活動增加而產生的影響。與此同時，大小型網路攻擊也在增加，由於安全團隊缺乏足夠的工具、資源和可見度來偵測和修補安全基礎結構的漏洞，這使他們容易受到各種應用程式和網路層威脅的攻擊。
在此期間，出現了兩個主要趨勢：
攻擊媒介更加多樣化。除了執行 DDoS、SQL 資料隱碼攻擊、跨網站指令碼和憑證填充等常見攻擊外，攻擊者還在快速利用其他漏洞。他們使用基於勒索的 DDoS 攻擊 (RDDoS)、IoT 機器人攻擊、QUIC 放大攻擊和其他創新攻擊手段等策略來針對脆弱的組織，這些策略變得越來越流行，攻擊者做出更多的努力來使組織離線、勒索過高的贖金和侵蝕品牌聲譽。
物聯網 (IoT) 裝置使用率增加，隨之而來的是 IoT 殭屍網路攻擊的增長。被迫將流行產品發布轉移到網上的零售商一直飽受機器人爬行庫存資訊或進行欺詐性購買的困擾，在此過程中將真正的消費者拒之門外。其他攻擊也是透過執行 UDP 的通訊協定進行的；例如攻擊者中斷使用 TeamSpeak（一種 VoIP，可讓玩家彼此進行語音聊天）的玩家以影響其效能。
Attacks are more complex. As the frequency of cyber attacks rose in the last year, so did the number of multi-vector attacks. Sophisticated attacks aren’t necessarily the longest or largest attacks, but use repetition, advanced bot behavior, and multiple methods and entry points — often at several different layers of the OSI model — to evade detection and threat protection technologies. This means that it may take longer for organizations’ security teams to discover and recover from attacks, resulting in data loss, poor customer experience, and additional costs.
根據 Verizon 的資料外洩調查報告，Web 應用程式仍然是利用漏洞、被盜認證、後門程式和 C2 功能之攻擊的主要媒介之一。隨著組織將更多應用程式和資料移轉到雲端、僱用越來越分散的員工以及遇到 Web 流量峰值，這種趨勢可能會持續下去。
隨著應用程式攻擊環境的發展，組織也必須採取強大且主動的 Web 安全策略，預測威脅出現時間並進行緩解。
單一功能解決方案的挑戰
傳統的 Web 應用程式安全性方法需要多個單一功能解決方案（通常標記為同類最佳），涵蓋 DDoS 緩解、惡意機器人緩解、API 保護和 Web 應用程式防火牆 (WAF)，每種解決方案都是專為解決跨越其路徑的特定攻擊手段而設計。
但是，相比有效地分層解決方案以建立更強大的防禦，實作孤立的安全解決方案解決方案往往會給本已負擔過重的安全組織帶來可見度挑戰和壓力：
Visibility: Using point solutions from different vendors can often impact visibility and introduce security gaps. Attacks against web applications and APIs can span the purview of multiple point products, rather than single product offerings. For example, detecting and mitigating a credential-stuffing attack may require capabilities found in a WAF, a bot mitigation solution, and an API security offering. Without the ability to easily manage security services and monitor all traffic, endpoints, and browsing activity through a single pane of glass, security teams may not be able to detect anomalies in advance or defend against zero day attacks.
負擔：隨著攻擊規模和複雜性的增加，需要越來越多的單一功能解決方案才能阻止它們，其中許多解決方案可能無法整合。此外，分層多項服務既昂貴又耗時。維護一系列不同的安全工具可能會給組織造成不必要的壓力，當工具的功能重疊時尤其如此。
全面的 Web 應用程式安全性方法
單一功能解決方案的拼湊不再滿足現代企業的需求。隨著新媒介出現，攻擊頻率和複雜程度的增加，組織需要一個強大的整合式 Web 應用程式安全平台，該平台結合了 DDoS 防護、Web 應用程式防火牆、API 保護和機器人管理等核心服務。
但是，真正整合意味著什麼？這種策略在應對複雜且不斷發展的威脅環境方面可帶來什麼好處？
如果實作得當，整合的安全平台會對安全控制進行分層，使其相互加強，而不是製造漏洞，讓端點容易受到攻擊。廠商需要確保每個工具都能與其他工具合作，以無縫偵測並抵禦各種攻擊 手段，同時共用可改善威脅防禦能力的資訊。遇到每種威脅時，整個系統應該更有效地封鎖威脅。
與單一功能解決方案堆疊（即使它們是同類最佳的解決方案）相比，整合式平台提供了多項額外優勢：
Comprehensive security — with no gaps. Integrated web application security solutions should work together to cover all attack surfaces, no matter what attackers throw their way.
更好的可見度。真正集成的 Web 應用程式安全方法將解決方案整合到單一管理平台後方，使安全團隊能夠全面瞭解和控制其安全狀態的各個方面。
簡化管理。報告工具、防火牆規則、攻擊警示和記錄檔都應該在同一個位置進行管理和修改，讓安全團隊能夠在威脅出現時立即看到並緩解威脅。
全方位 Web 保護
Frost& Sullivan 最近評估了 10 家雲端提供者的安全性產品，以進一步協助組織評估整合式 Web 應用程式安全平台。每個提供者都根據其「整體 Web 防護」方面的實力進行衡量，包括 DDoS 緩解策略、Web 應用程式防火牆和機器人管理解決方案，這些解決方案可同時運作，以保持 Web 應用程式及其所需資料的可用性、機密和安全。
Cloudflare 是創新領域的領導者，在其包含 320 多個資料中心的全球邊緣網路上提供 Web 應用程式安全性。
Cloudflare 就影響當今技術決策者的最新趨勢和主題發表了一系列文章，本文為其一。
重點
閱讀本文後，您將能夠瞭解：
導致網路攻擊激增的因素
2 種攻擊趨勢採取形式
傳統 Web 應用程式安全性方法的挑戰
為什麼全面的 Web 防護是新標準