重保场景及API安全指南.pdf

重保场景&API安全指南钉钉扫码进群交流 重保场景防护难点•资产扫描，主要针对边缘化资产•安全扫描，探测资产存在风险自动化覆盖范围大Ø部分影子资产，防护未覆盖Ø扫描和攻击难以区分Ø定制化扫描器，存在漏防风险Ø资产漏洞修复管理成本高Ø漏洞修复周期不可控Ø流量加密，攻击难识别Ø新型攻击难发现Ø开源组件影响范围大Ø防护规则更新不及时攻击策略防护难点•针对性进行漏洞攻击•针对安全防护产品手工绕过人工渗透专项打点•开源组件漏洞挖掘•新型漏洞批量利用新型漏洞全力打击重要节日、特殊活动等场景Web应用防护异于日常防护Ø业务对攻击零容忍，一旦出现中断，影响巨大；攻击者关注度高，实现破坏后收益巨大 阿里云WAF重保场景防护方案1.盘点准备2.扫描防护3.攻击防护4.处置分析5.取证溯源阿里云WAF基础功能重保IP黑名单支持数万级IP黑名单支持多种形态对接重保情报协同阿里云全球攻防对抗情报智能分析精准识别攻击者Shiro反序列化防御Cookie加密技术解析攻击常用手段专项防护重保规则组攻击、业务综合学习针对性动态调整防护规则重保场景包-专项能力千万级IP黑名单、地域一键封禁场景规则、自动更新专防新漏洞API开放，自动化运维便捷集成 API业务场景发展趋势WEB&APP应用WEB应用的结构由传统的点对点是交互，变成接口形态的多对多交互形态，尤其是App业务，同服务端主要通过API进行交互开放平台&数据传输一些平台将底层能力以API接口形态，开放给合作伙伴，供伙伴进行二次封装而形成独立的业务，或与伙伴通过API数据传输物联网设备控制交互IOT设备的控制，设备到云端通过API接口对接，管理端通过API接口实现对设备的管理和数据分析云原生应用&微服务云原生和微服务的应用一方面服务本身的调用需要通过API调用实现，另一方面为API业务的开发实现提供了很大助力 API安全主要风险1. 无效的对象层级授权2. 无效的认证与授权3. 过度数据暴露4. 资源缺失&频率未做限制5. 无效的功能权限管控6. 批量配置不当7. 错误安全配置8. 注入攻击9. 版本管理不当10. 日志监控不足先明确资产再进行防护 阿里云WAF-API安全解决方案资产管理脆弱性发现新上线API发现失活API识别生命周期管理API漏洞识别API业务类型判断API访问情况分析内部业务接口暴露缺乏访问频率限制敏感信息过度暴露缺乏异常处理机制缺乏访问控制机制…..API异常行为检测异常地区接口调用登录暴力破解未授权访问过多敏感数据获取异常披露注册行为遍历接口数据接口资源滥用……API攻击处理Web攻击阻断