經銷商專區｜登入
〔最新消息〕2021-02-04
2020年App威脅形勢回顧
2020年，98%的Radware調查受訪者看到應用程式和Web伺服器受到各種各樣的攻擊，並對如何保護API和敏感性資料的傳輸表示關注。
廣泛變化的攻擊頻率
調查顯示了最常見的三種應用程式和網路服務器攻擊。57%的組織每月或更頻繁地發生SQL或其他注入，而跨站請求偽造（CSRF）、會話/cookie中毒或協議攻擊等攻擊發生的頻率要低得多。在某些情況下，受訪者報告說，他們沒有在其組織中看到這些類型的攻擊。
RPA和自動攻擊不斷增加，但企業還沒有做好管理僵屍流量的準備
雖然機器人流程自動化和其他好的機器人有助於加速生產力和業務流程，如數據收集和決策，但不良的機器人針對網站，移動應用程式和API竊取資料並破壞服務。
組織繼續依賴傳統的安全解決方案來評估僵屍流量。當今複雜的惡意機器人可以模仿人類行為，繞過驗證碼和其他舊技術和啟發式技術。
WAF是用於分類僵屍的最常見工具
儘管這些技術在檢測複雜的、類似人類的僵屍流量方面存在侷限性，但有近一半的組織使用網路應用防火牆（WAF）來區分真實用戶和僵屍，幾乎同樣比例的組織使用基於IP的檢測來進行區分。其他使用的技術包括會話內檢測和終止以及CAPTCHA。區分真實用戶和機器人的最不常用的方法是專用的反機器人/反抓取解決方案。
受訪者報告的前三種僵屍攻擊類型是DDoS、Web抓取和帳戶接管。其他各種攻擊類型也有一定的發生頻率，包括數位欺詐、拒絕庫存和支付資料濫用。
通過DDoS耗盡應用程序資源
80%的人報告說，他們的應用程式遭受過DoS攻擊。就像針對網路基礎設施的DDoS攻擊一樣，使應用程式癱瘓的最常見的技術是用傳入的請求淹沒它。近五分之三的組織每月至少經歷一次HTTP Flood，如果不是更頻繁的話。近五分之二的組織至少有這樣的頻率經歷HTTPS Floods。其他各種DoS攻擊也有一定的發生頻率，包括緩衝區溢出和資源耗盡攻擊。
API處理各種機密資料類型
調查發現，API處理的資料類型多種多樣。在絕大多數組織中，API處理敏感的個人資料，如電子郵寄地址、電話號碼、位址、用戶憑證、權杖、hashes、cookies和支付資訊。許多組織還使用API來處理包括個人身份資訊的資訊，包括在某些情況下的醫療記錄。
大多數應用程式通過API暴露敏感性資料
受訪者表示，絕大多數應用都通過API暴露在互聯網和/或協力廠商應用服務中。而27%的企業有不到四分之一的應用被暴露，35%的企業有四分之一到二分之一的應用被暴露，38%的企業有超過二分之一的應用被暴露。
潛伏的危險在於應用開發團隊在新的雲環境中保護應用安全所面臨的挑戰，在新的雲環境中，運行在容器上的應用的資料安全仍然沒有得到很好的理解，雖然有一些工具可以使用，但還沒有出現最佳實踐。57%的企業已經在使用容器化應用，然而52%的受訪者認為，容器的使用並沒有帶來額外的財務效率。
對使用API的實質性擔憂
調查顯示，五分之三的受訪者擔心或極度擔心在使用API方面出現安全性漏洞的可能性。很大一部分受訪者擔心無意中的資料丟失、管理和維護費用以及使用API的複雜性。
研究顯示，對使用API的關注程度與應用程式暴露於互聯網和/或協力廠商應用程式的程度之間存在關係。例如，在 "非常關注 "這些問題的受訪者中，40%的受訪者有超過一半的應用程式暴露在API中。然而，在那些僅有少量關注的受訪者中，沒有人的應用程式暴露於API的比例超過一半。
API 攻擊是常見的
各種類型的API攻擊相當普遍。調查顯示，55%的組織每月至少經歷一次針對其API的DoS攻擊，48%的組織每月至少經歷某種形式的注入攻擊，42%的組織每月至少經歷一次元素/屬性操縱。
WAF是最常見的防禦措施
受訪者被問及他們用於保護的各種技術。
在77%的情況下，絕大多數使用WAF來保護他們的API，而61%使用API閘道，50%使用額外的雲服務。目前只有四分之一的組織使用任何形式的專用僵屍管理工具來保護他們的API。
原文連結
