作者：juniu网络 来源:互联网 发布时间:2023-07-06
跟着更多类似英国航空公司等越来越陡数据暴露事件和其他流量攻击事件的曝光，各类网站和运用程序面临数据暴露、僵尸程序管理、ddos 流量攻击、api 安全性等安全性挑战，促使众多公司高管和 it 专精人员更加重视网站和运用程序的安全性策略，包括引进 gdpr(《通用信息保护条例》)、选用新的运用程序开发框架和框架等.这些措施使许多公司高管对其安全性模型很好地减轻 网站 运用程序流量攻击的水平表示极具信心.
然而，目前的现实是，针对网站和运用程序的流量攻击超过了创纪录的高度，隐私信息的共享比以往任何时候都多.有国外市场调查显示，33% 的网站和运用程序允许第1方根据 api 创建 / 修改 / 删除信息;1/3 的网站和运用程序与第1方共享隐私信息;67% 的人认为黑客可以穿透他们的网络;89% 的人认为网络抓取是他们知识产权的重大威胁;83% 的受访者正在启用 bug 赏金计划，以找到他们网站和运用程序漏洞.与此同时，选用新兴框架和框架 (依赖于与多种服务的众多集成) 会增加复杂性并增加流量攻击面.
2017 年 11 月，owasp 发布了 网站 运用程序中10大漏洞的新列表.黑客继续使用注进、xss 和一些传统技术 (如 csrf，rfi / lfi 和会话劫持) 来利用这些漏洞并获取对隐私数据的未授权访问.跟着流量攻击来自靠谱的来源，例如 cdn、加密流量或大家集成的系统和服务的 api，保护变得越来越复杂.服务器人的行为与真实客户一样，可以绕过诸如 captcha，基于 ip 的检测等挑战，从而更加难以保护和提升客户体验.
因此，大家的 网站 运用程序安全性解决方案需要更加人工智能，而且可以解决各种漏洞利用方案.除了保护运用程序免受这些常见漏洞之外，它还需要保护 api 并缓解 dos 流量攻击，管理服务器人流量并区分合法服务器人 (例如搜索引擎) 和僵尸网络，网络抓取工具等.
一、ddos 流量攻击
dos 流量攻击根据耗尽运用程序资源使运用程序无法执行.缓冲区溢出和 http 泛洪是最常见的 dos 流量攻击种类，这种形式的流量攻击在 apac 中更为常见.36% 的人认为 http / layer-7 ddos 是最难缓解的流量攻击.一半的公司选用基于速率的方法 (例如限制来自某个来源的请求数量或仅仅购买基于速率的 ddos 保护解决方案)，一旦超过阈值且真实客户无法连接，这些方法无效.建议参考巨牛科技香港高防服务器，其香港高防服务器基于先进的流量攻击检测和处理系统，可精准识别 25 种以上的多种 ddos/cc 变种流量攻击，并秒级触发清洗机制，可很好地清洗高达 500gbps 的大规模 ddos 流量攻击，并确保合法流量的正常根据，即使 ddos 流量攻击高峰期间也能确保你的网站和运用程序持续执行.巨牛科技香港高防服务器提供压力测试，提供防护无效退款承诺.
2、api 流量攻击
api 简化了运用程序服务的体系结构和交付，并使数字交互成为可能.不幸的是，它们还引进了普遍的风险和漏洞，成为黑客黑客侵入网络的后门.根据 api，信息在 http 中交换，双方接收、处理和共享数据.理论上，第1方能够从运用程序插进、修改、删除和检索内容.调查显示，62% 的受访者没有对根据 api 发送的信息开展加密;70% 的受访者不需要身份验证;33% 允许第1方执行实际操作 (get / post / put / delete).这些都使黑客针对 api 发起流量攻击成为可能.
1、服务器人流量攻击
好坏服务器人流量的数量都在增长.公司被迫增加网络容量，而且需要能够从中准确地分辨出流量攻击流量和正常流量，从而保持客户体验和安全性性.黑客可以使用网络爬虫抓取你的网站和运用程序数据，包括你的定价数据、克隆你的网站代码、侵犯你的知识产权，以及在你的促销活动时薅羊毛等.
4、数据暴露
尽管尽大多数公司都密切关注他们收集和共享的信息种类.但是，几乎近半公司都曾遭遇过违规行为.平均而言，一个公司每年遭受 16.5 次违规尝试.大多数人花费数小时和数天才发现，甚至一直没有发现.从调查结果看，数据暴露是最难以发现和解决的流量攻击.公司如何发现数据暴露 ? 启用异常检测工具、darknet 监控服务、数据被公开泄露、被勒索要求赎金等.
5、流量攻击影响
诸如利润受损、声誉损失、客户补偿、falv诉讼、客户流失以及股价下跌等负面影响，而且修复公司声誉受损的过程很长，而且并不总是成功.
6、确保新兴运用程序开发框架的安全性
快速增长的运用程序数量及其在许多环境中的分布需要开展调整，一旦需要对运用程序开展更改，就会导致变化.几乎不太可能在所有环境中很好地地架设和维护相同的安全性策略.虽然 93% 的公司使用 网站 运用程序防火墙 (waf)，但只有1分之一使用的 waf 整合了正面和负面的安全性模型，以完成很好地的运用程序保护.在使用云服务器的受访者中，有一半将信息保护评为挑战，其次是可用性确保、策略实施、身份验证和可见性.
实际上，尽大多数公司对于其网站和运用程序的安全性性都存在盲目的自信，这是一种虚假的安全性感.流量攻击方式在不断发展，安全性措施并非万无一失.有着运用程序安全性工具和流程可以提供控制感，但它们很可能迟早会被破坏或绕过.另外，越来越多公司高管并不彻底了解其日常事件.他们期待他们的内部团队负责运用程序安全性性来管理问题，但他们对公司的运用程序安全性策略的很好地性和实际风险暴露的看法之间似乎存在脱节.
