防不勝防，爬蟲(chóng)攻擊后果不堪設(shè)想
政務(wù)服務(wù)廣泛分布在交通、社保、民政、旅游、公共安全等多個(gè)領(lǐng)域，數(shù)據(jù)數(shù)量大、機(jī)密性強(qiáng)、附加價(jià)值高，且大多和國(guó)計(jì)民生緊密關(guān)聯(lián)，一旦遭到攻擊，后果不堪設(shè)想。然而據(jù)統(tǒng)計(jì)，目前國(guó)內(nèi)政府網(wǎng)站40%-60%的網(wǎng)絡(luò)流量均來(lái)自爬蟲(chóng)，在提供公眾查詢(xún)的服務(wù)性網(wǎng)站業(yè)務(wù)中，這一比例甚至更高。
爬蟲(chóng)爬得不亦樂(lè)乎，但數(shù)據(jù)泄漏帶來(lái)的負(fù)面影響卻無(wú)法言盡--
1.數(shù)據(jù)非法利用，政務(wù)網(wǎng)站風(fēng)險(xiǎn)加劇
數(shù)據(jù)被爬取后所引發(fā)的安全風(fēng)險(xiǎn)正愈演愈烈。人資社保、工商稅務(wù)、專(zhuān)利信息查詢(xún)等政府網(wǎng)站都在為公眾提供正規(guī)的線上數(shù)據(jù)服務(wù)，但是互聯(lián)網(wǎng)上卻同時(shí)泛濫著大量的非正常數(shù)據(jù)應(yīng)用服務(wù)，以及線下的非法數(shù)據(jù)售賣(mài)。這不僅會(huì)增加企業(yè)及公民信息外泄和被利用、被偽造的風(fēng)險(xiǎn)，也使得互聯(lián)網(wǎng)商業(yè)競(jìng)爭(zhēng)環(huán)境更加混亂，難以控制。
2.網(wǎng)站被克隆，政府公信力喪失
除了利用爬取數(shù)據(jù)進(jìn)行牟利，更有甚者，直接挪用政府公眾服務(wù)類(lèi)網(wǎng)站所有網(wǎng)頁(yè)及信息，進(jìn)行網(wǎng)站克隆�？寺【W(wǎng)站通常擁有與真實(shí)網(wǎng)站高度相似的域名和首頁(yè)，用戶(hù)一般難以辨認(rèn)。然而當(dāng)民眾打開(kāi)一個(gè)明為提供國(guó)計(jì)民生服務(wù)、實(shí)為不法平臺(tái)的克隆網(wǎng)站，不僅會(huì)看到許多不堪入目的廣告，甚至?xí)诓恢挥X(jué)中被引誘點(diǎn)擊詐騙鏈接。那么，作為受害者的政府網(wǎng)站，又該如何維護(hù)公信力呢？
3.公民隱私權(quán)被侵犯，政府權(quán)威受挑戰(zhàn)
《網(wǎng)絡(luò)安全法》明確了個(gè)人信息安全的突出地位，政府有責(zé)任保護(hù)公民的信息安全。作為提供民生服務(wù)的政務(wù)網(wǎng)站，包含著海量集中的、與公民及企業(yè)相關(guān)的真實(shí)數(shù)據(jù)，如果被不法分子盜取并利用，不僅會(huì)直接損害當(dāng)事人隱私權(quán)等民事權(quán)益，而且會(huì)影響公眾今后向政府提供數(shù)據(jù)的態(tài)度，使得公眾對(duì)政府后續(xù)提供的數(shù)據(jù)的完整性、準(zhǔn)確性和權(quán)威性產(chǎn)生懷疑。
4.運(yùn)維困難、投訴不斷，陷入惡性循環(huán)
政府網(wǎng)站被大規(guī)模攻擊后，網(wǎng)頁(yè)打開(kāi)緩慢、無(wú)法正常處理業(yè)務(wù)等問(wèn)題會(huì)嚴(yán)重影響用戶(hù)的使用。為此許多政府網(wǎng)站已經(jīng)投入大量人力和資金，但在不斷更新迭代的自動(dòng)化攻擊面前，改善并不明顯。“爬蟲(chóng)攻擊網(wǎng)站--系統(tǒng)宕機(jī)--用戶(hù)投訴--耗資維護(hù)”這一過(guò)程似乎已經(jīng)成為一種惡性循環(huán)。
保障業(yè)務(wù)安全，為傳統(tǒng)安全機(jī)制所不能
需要再次強(qiáng)調(diào)的是，自動(dòng)化工具攻擊并不是一成不變的，爬蟲(chóng)等技術(shù)也在不斷發(fā)展，手段越來(lái)越“高明”。它們不再是簡(jiǎn)單的腳本或程序，而是在一定程度上能模擬人的行為或?yàn)g覽器行為。因此依賴(lài)簽名與規(guī)則等的傳統(tǒng)安全防御技術(shù)，已經(jīng)無(wú)法抵御新興的安全威脅。
那么，面對(duì)層出不窮的自動(dòng)化工具攻擊，政府網(wǎng)站就真的束手無(wú)策了嗎？并非如此。瑞數(shù)信息的“動(dòng)態(tài)安全”技術(shù)就可以做到傳統(tǒng)安全防御所不能，并圍繞客戶(hù)業(yè)務(wù)量體裁衣，在以下數(shù)據(jù)安全應(yīng)用場(chǎng)景中，為政務(wù)網(wǎng)站提供高效的安全保障：
- 防爬蟲(chóng) 防治爬蟲(chóng)爬取網(wǎng)站上的數(shù)據(jù)，保護(hù)大數(shù)據(jù)安全，釋放系統(tǒng)資源。
- 防“內(nèi)鬼” 防止利用合法身份，通過(guò)工具批量竊取內(nèi)部數(shù)據(jù)。
- 防數(shù)據(jù)遍歷 防止利用邏輯漏洞，通過(guò)工具批量導(dǎo)出用戶(hù)資料。
- 防越權(quán) 防止利用權(quán)限漏洞，以低權(quán)限身份執(zhí)行高權(quán)限操作。
- 防拖庫(kù) 防止通過(guò)業(yè)務(wù)邏輯，利用工具批量導(dǎo)出數(shù)據(jù)庫(kù)信息。
以某政務(wù)服務(wù)網(wǎng)站的實(shí)際情況為例：雖然已經(jīng)部署了傳統(tǒng)安全防御產(chǎn)品，但是系統(tǒng)仍然經(jīng)常被攻擊，網(wǎng)頁(yè)無(wú)法打開(kāi)，持續(xù)增加的投訴量令網(wǎng)站管理者苦不堪言。緊急上線瑞數(shù)動(dòng)態(tài)安全產(chǎn)品后，60小時(shí)內(nèi)，即識(shí)別并攔截了近4500萬(wàn)次異常訪問(wèn)請(qǐng)求，異常請(qǐng)求占到向該網(wǎng)站發(fā)起的總請(qǐng)求數(shù)的78%。深入分析所得安全威脅數(shù)據(jù)后，技術(shù)人員發(fā)現(xiàn)，使用Phantomjs、web_driver等常見(jiàn)的爬蟲(chóng)攻擊工具進(jìn)行非正常訪問(wèn)的情況最為普遍；而大部分爬蟲(chóng)都采用多源低頻的方式，通過(guò)更換大量IP來(lái)規(guī)避安全檢測(cè)機(jī)制，使得溯源難度加大。因此，瑞數(shù)在防批量爬蟲(chóng)時(shí)，核心方式就是運(yùn)用“動(dòng)態(tài)安全”技術(shù)進(jìn)行人機(jī)識(shí)別，在所有請(qǐng)求中判斷出哪些是真人訪問(wèn)，哪些是自動(dòng)化工具在模擬人類(lèi)獲取數(shù)據(jù)。
動(dòng)態(tài)安全技術(shù)，更主動(dòng)、更輕量、更高效
那瑞數(shù)動(dòng)態(tài)安全技術(shù)是如何進(jìn)行人機(jī)識(shí)別、做到傳統(tǒng)安全所不能的呢？“隨變而變”、動(dòng)態(tài)地進(jìn)行安全防御就是瑞數(shù)給出的答案。
瑞數(shù)動(dòng)態(tài)安全以創(chuàng)新的“動(dòng)態(tài)安全”技術(shù)為核心，徹底轉(zhuǎn)變了傳統(tǒng)的安全防護(hù)思路，不再依靠任何特征或規(guī)則，而是通過(guò)動(dòng)態(tài)變幻，增加服務(wù)器行為的不可預(yù)測(cè)性，大幅提高攻擊難度；又通過(guò)嚴(yán)密檢查運(yùn)行環(huán)境、瀏覽器指紋、疑似攻擊行為等因素，在正常流量中高效甄別并阻攔由自動(dòng)化爬蟲(chóng)工具發(fā)起的訪問(wèn)需求，保護(hù)政府大數(shù)據(jù)安全。
從部署架構(gòu)而言，瑞數(shù)動(dòng)態(tài)安全采用反向代理模式部署于受保護(hù)的網(wǎng)站之前，可以通過(guò)負(fù)載均衡設(shè)備監(jiān)控系統(tǒng)狀態(tài)，保障應(yīng)用的高可用性；也可以進(jìn)行橫向擴(kuò)容，不會(huì)形成網(wǎng)絡(luò)性能瓶頸。
從防護(hù)層面而言，瑞數(shù)動(dòng)態(tài)安全技術(shù)貼近業(yè)務(wù)，解決的都是實(shí)際的業(yè)務(wù)安全問(wèn)題，與傳統(tǒng)安全防護(hù)相比，瑞數(shù)能夠很快讓用戶(hù)感受到安全技術(shù)帶來(lái)的價(jià)值。
概括地說(shuō)，瑞數(shù)動(dòng)態(tài)技術(shù)安全防護(hù)具有以下優(yōu)點(diǎn)：
- 主動(dòng)防御 克服傳統(tǒng)技術(shù)天然缺陷，不依賴(lài)傳統(tǒng)特征碼、閥值、打補(bǔ)丁和策略規(guī)則，通過(guò)四大動(dòng)態(tài)技術(shù)使得自動(dòng)化攻擊工具失效；
- 輕量管理 無(wú)需修改應(yīng)用服務(wù)器代碼，無(wú)需配置任何規(guī)則，也無(wú)需更新規(guī)則和特征庫(kù)；
- 高效回報(bào) 不影響服務(wù)器的正常運(yùn)作，釋放系統(tǒng)資源，降低運(yùn)維成本，投資成本得以具象體現(xiàn)。
主動(dòng)防御技術(shù)正在成為政府和企業(yè)安全防御的新趨勢(shì)。2017的IDC報(bào)告明確提出，移動(dòng)目標(biāo)的動(dòng)態(tài)防御技術(shù)已經(jīng)成為與機(jī)器學(xué)習(xí)、行為分析、威脅情報(bào)技術(shù)一樣在主動(dòng)防御領(lǐng)域的重要技術(shù)。只有以動(dòng)態(tài)安全技術(shù)進(jìn)行主動(dòng)防御，才能掌握先機(jī)，在自動(dòng)化攻擊面前持續(xù)為政府?dāng)?shù)據(jù)安全保駕護(hù)航。
