今日，亚信安全携手Imperva“云上开讲”，以“攻防有道‘御’见实力”为主题进行了线上直播活动。此次活动，双方技术专家分享了网络攻防实战领域的创新技术和典型应用场景，并深入探讨了如何利用实战攻防演练构建立体化网络安全防护体系的实践路径。其中，亚信安全还基于实际落地需求，详细介绍了信舷Web应用防火墙(AISWAF)全面布防的场景化应用，展示了Web业务安全加固的强大防御成效。

能打硬仗

攻防实战对抗能力竞技

愈演愈烈的网络攻击已经成为国家安全的新挑战，国家关键信息基础设施面临的挑战也愈发严峻。在网络攻防实战演练常态化工作的推动下，安全体系逐步由安全建设阶段进入到安全运营阶段，通过创新的资产漏洞管理、自动化安全测试、扩展的安全情报等技术，打造新一代企业数字风险管控体系的趋势正在加速普及。

图：近年来攻防演练的对抗趋势

在线上直播中，亚信安全安全能力研究部总经理陈志浩结合“北极狐高级攻防实验室”的一线经验，介绍了攻防演练红队攻击方式与武器变化趋势，并总结了近年来攻防演练中出现漏洞、攻防演练与非攻防演练时期面临的安全威胁。他表示：“网络攻击已从漏洞、口令等技术手段逐渐演变成基于组织机构数字暴露面的通用漏洞、事件型0day、移动端应用/APK攻击、API攻击、文档和文件泄露、企业敏感信息泄露、勒索软件攻击、电子凭证攻击、供应链攻击、社工库攻击等为一体的综合型攻击工程。”

图：红队攻击流程图

“对抗型防御”已成为下一代安全防御体系的建设思路。在攻防演练中，红队人员往往会针对目标资产进行有深度和广度的信息搜集，最大程度获取更多目标信息；其次，对抗趋势也越发激烈，其中内网渗透技术的发展就是较为直观的表现之一。在实际的攻击中，Web、远控、系统三个层面的权限维持技术环环相扣。

攻防演练对于企业来说是一次查缺补漏的重要机会，也是考验网络安全突发事件的应急处置能力，找到企业网络安全防护短板的机会。而面对实战化、常态化的演练，攻与防的博弈，更需要“利剑在手”。

利剑在手

WAF全面布防

在攻防对抗中，防守端的弱点主要包含三个方面：资产混乱、覆盖不全、策略太松。暴露面越多其实就意味着攻击者掌握的情报就越多，攻击则会越隐蔽、越致命。而在安全能力覆盖上存在的疏忽，以及安全策略没有生效、或者大量的应用漏洞没有修补的情况，这就会让攻击能够轻松地越过安全防线。

亚信安全云网技术顾问闫寿林谈到：“对于企业而言，敌在暗处，我们在明处的，完全猜想不到攻击者会从哪个地方发起攻击、采用什么样的攻击手段、以及自己的薄弱面是否已经暴露？这就需要企业建立一个立体化的防御体系。其中，WAF是专门为Web应用和API(WAAP)提供保护的防火墙产品，WAF在真实世界的攻防对抗中也扮演着不可或缺的角色，有效地利用好WAF产品，做到全面布防可以帮助企业建立正面对抗的能力，防范于未然。”

01

针对“资产混乱”的弱点

企业需要充分地了解自己的Web应用系统，梳理出所有的Web应用资产并加入到WAF的保护，并且需要将后续新应用发布及时更新同步。当然，也可以通过亚信安全的资产管理中心自动化发现现有的Web应用服务，并结合亚信安全信舷Web应用防火墙(AISWAF)的API自动化录入保护，实现资产保护覆盖。

图：WAF合适的部署位置及覆盖面

02

针对“覆盖不全”的弱点

用户可以在核心业务IDC以及专线业务IDC中串接WAF实现高性能拦截，同时部署一套旁路WAF侦测业务系统之间安全问题，并采用更严格的策略、更严格的风险监控。在下属单位和分支结构，可以通过部署反向代理的WAF集群充当清洗中心，通过引流的方式快速地覆盖边缘资产的保护。

03

针对“策略宽松”的弱点

用户可以通过WAF的虚拟补丁的功能自动化修复漏洞虚拟补丁及时修复漏洞。同时，用户还能借助WAF建立更多主动性的监控和控制，尽早发现攻击痕迹，并通过分析攻击痕迹，调整防守策略、溯源攻击路径甚至对可疑攻击源进行反制。

除了能够修补上面“三处致命短板”之外，亚信安全WAF提供了针对最新应用程序攻击的自动化防护，例如SQL注入、XSS、CSRF、路径遍历以及更多攻击，并且还融合了AI机器学习和来自应用程序防护中心的最新保护策略与特征码，能够准确地识别出攻击并加以阻止。此外，再加上高粒度的关联规则、基于声誉的安全以及强大的报告框架，为用户提供了一套优秀的多级别联动Web保护体系。

传授秘籍

共筑新一代网络安全防护体系

当前，应对攻防演练中常见的失效点，仅用传统的网络安全手段防护已存在局限，需要换角度思考。Imperva中国区技术经理刘沛旻表示，RASP技术正是这样一种新的视角和维度。RASP技术运行在应用程序环境的内部，将安全保护控制点放在应用程序和其他系统的交互连接点上，包括和用户、数据库、网络以及文件系统的连接点，从而，实时监测并拦截漏洞攻击，给Web应用打上“疫苗”，构成Web应用的最后一道安全防线。

数字时代，网络安全面临复杂性、艰巨性、多元化挑战，数字安全的形式发生了巨大的改变。为此，亚信安全与Imperva等合作伙伴，将时刻做好产品技术准备，提供可行性网络安全防护建设方案，共同协助用户查找对抗演练中防御能力的缺陷、防守视角的缺失，进而传授“秘籍”，为各大企业单位保驾护航，一同助力国家网络安全防御体系的构建。