79%的企業(yè)無法確定Web流量是來自人還是計(jì)算機(jī)程序
日前，全球領(lǐng)先的網(wǎng)絡(luò)安全和應(yīng)用交付解決方案提供商Radware公司最新發(fā)布了一項(xiàng)名為Radware研究報(bào)告：數(shù)字連接領(lǐng)域的Web應(yīng)用安全的報(bào)告。該報(bào)告深入研究了企業(yè)如何保護(hù)Web應(yīng)用的安全，確定了常見DevOps實(shí)踐中顯而易見的安全差距，強(qiáng)調(diào)了主要的攻擊類型和載體，并確定了風(fēng)險(xiǎn)和需要關(guān)注的重要領(lǐng)域。
該研究集中在零售、醫(yī)療和金融服務(wù)等成為目標(biāo)的可能性很高的行業(yè)，揭露了機(jī)器人程序催生的Web流量的激增以及對(duì)企業(yè)應(yīng)用安全的影響。事實(shí)上，機(jī)器人程序產(chǎn)生的流量在所有互聯(lián)網(wǎng)流量流中所占的比例超過一半（52%）。對(duì)某些企業(yè)而言，機(jī)器人程序流量占了總體流量的75%以上。由于三分之一（33%）的企業(yè)無法區(qū)分‘健康’機(jī)器人程序和‘不良’機(jī)器人程序，因此這一發(fā)現(xiàn)的意義就更加重大了。
報(bào)告還發(fā)現(xiàn)，將近一半（45%）的受訪者在過去一年都遭受了數(shù)據(jù)泄露，68%的受訪者不確定是否能夠保護(hù)企業(yè)信息安全。更重要的是，企業(yè)還是會(huì)經(jīng)常丟失被保護(hù)的敏感數(shù)據(jù)。事實(shí)上，52%的企業(yè)并沒有檢查進(jìn)出API的流量，56%的企業(yè)無法在數(shù)據(jù)離開企業(yè)之后進(jìn)行追蹤。
任何可以采集歐洲公民信息的企業(yè)在不久的未來都必須要滿足由通用數(shù)據(jù)保護(hù)條例（GDPR）強(qiáng)加的嚴(yán)格數(shù)據(jù)隱私法。這些條例將于2018年5月生效。然而，在截止日期前不到一年的時(shí)間，68%的企業(yè)仍然不確定他們是否能及時(shí)滿足這些要求。
Radware安全解決方案副總裁Carl Herberger表示：“令人擔(dān)憂的是，來自擁有數(shù)百萬消費(fèi)者敏感數(shù)據(jù)的企業(yè)的高管對(duì)自身安全沒有信心。他們了解這些風(fēng)險(xiǎn)，但盲點(diǎn)仍會(huì)繼續(xù)構(gòu)成威脅。在企業(yè)掌握漏洞所在并采取防護(hù)措施之前，重大攻擊和數(shù)據(jù)泄露事件仍將繼續(xù)成為焦點(diǎn)。”
Larry Ponemon博士表示：“該報(bào)告明確指出，持續(xù)交付應(yīng)用服務(wù)的壓力限制了DevOps在SDLC的各個(gè)階段確保Web應(yīng)用安全的能力。”
主要調(diào)查結(jié)果包括：
- 應(yīng)用安全是事后諸葛亮。每個(gè)人都希望實(shí)現(xiàn)APP開發(fā)提供的持續(xù)交付模型所需的全面自動(dòng)化和靈活性。目前，一半（49%）的受訪者使用了持續(xù)交付的應(yīng)用服務(wù)，另有21%的企業(yè)計(jì)劃在未來12-24個(gè)月內(nèi)采用。然而，持續(xù)交付會(huì)增加APP開發(fā)的安全挑戰(zhàn)：62%的企業(yè)預(yù)計(jì)這會(huì)增加攻擊范圍，約有一半的企業(yè)表示，他們沒有在持續(xù)交付過程中整合安全。
- 機(jī)器人程序正在逐漸占據(jù)市場(chǎng)�，F(xiàn)在，機(jī)器人程序成為了在線零售的支柱。零售商們會(huì)將機(jī)器人程序用于價(jià)格匯總、電子優(yōu)惠券、聊天機(jī)器人等。事實(shí)上，41%的零售商表示，75%以上的流量都來自于機(jī)器人程序，而40%的零售商卻仍不能區(qū)分“健康”機(jī)器人程序和“不良”機(jī)器人程序。惡意機(jī)器人程序才是真正的風(fēng)險(xiǎn)所在。Web抓取攻擊會(huì)通過竊取知識(shí)產(chǎn)權(quán)、降低價(jià)格、在不確定的情況下持有大量庫存，以及通過未授權(quán)渠道加價(jià)買光庫存進(jìn)行商品轉(zhuǎn)售，來打擊零售商。但機(jī)器人程序并不是零售商獨(dú)有的問題。在醫(yī)療行業(yè)，42%的流量來自于機(jī)器人程序，只有20%的IT安全主管確信可以識(shí)別出“不良”機(jī)器人程序。
- API安全經(jīng)常會(huì)被忽略。約有60%的企業(yè)會(huì)通過API共享并使用個(gè)人身份信息、用戶名/密碼、付款細(xì)節(jié)、醫(yī)療記錄等數(shù)據(jù)。然而，52%的企業(yè)并不會(huì)檢查通過API傳輸?shù)臄?shù)據(jù)，51%的企業(yè)不會(huì)在整合之前執(zhí)行任何安全審計(jì)或分析API漏洞。
- 對(duì)零售商而言，假日風(fēng)險(xiǎn)很高。假日期間，零售商會(huì)面臨兩種截然不同但破壞力極大的威脅：中斷和數(shù)據(jù)泄露。假日期間零售商會(huì)賺取大量利潤(rùn)，在此期間出現(xiàn)的Web中斷可能會(huì)帶來災(zāi)難性的經(jīng)濟(jì)后果。然而，一半以上（53%）的企業(yè)不確信是否可以為應(yīng)用服務(wù)提供100%的正常運(yùn)行時(shí)間。黑色星期五和網(wǎng)絡(luò)星期一等高需求時(shí)段也會(huì)給客戶數(shù)據(jù)帶來麻煩：30%的零售商表示無法在這些時(shí)段保護(hù)敏感數(shù)據(jù)的安全。
- 患者的醫(yī)療數(shù)據(jù)也面臨風(fēng)險(xiǎn)。只有27%的醫(yī)療行業(yè)受訪者有信心可以保護(hù)患者的醫(yī)療記錄，即使將近80%的數(shù)據(jù)必須符合政府規(guī)定。修復(fù)系統(tǒng)對(duì)企業(yè)安全而言至關(guān)重要，他們能夠緩解當(dāng)前的領(lǐng)先威脅，但只有62%的醫(yī)療受訪者對(duì)企業(yè)是否能夠快速使用安全補(bǔ)丁并在不破壞運(yùn)營(yíng)的前提下進(jìn)行更新信心不足或沒有信心。一半以上（55%）的醫(yī)療機(jī)構(gòu)表示，在數(shù)據(jù)離開公司網(wǎng)絡(luò)之后，他們無法追蹤與第三方共享的數(shù)據(jù)。醫(yī)療機(jī)構(gòu)不太可能會(huì)監(jiān)控可以竊取數(shù)據(jù)的Darknet，只有37%的醫(yī)療機(jī)構(gòu)可以這樣做，金融服務(wù)的比例為56%，零售業(yè)為48%。
- 多個(gè)接觸點(diǎn)意味著更高的風(fēng)險(xiǎn)。新的金融技術(shù)（如移動(dòng)支付）的興起增加了與消費(fèi)者的接觸機(jī)會(huì)和次數(shù)，這反過來也會(huì)增加漏洞接入點(diǎn)的數(shù)量，并擴(kuò)大安全主管面臨的風(fēng)險(xiǎn)。盡管有72%的金融服務(wù)企業(yè)會(huì)通過API共享用戶名和密碼，58%的企業(yè)通過API共享支付細(xì)節(jié)，51%的企業(yè)不會(huì)加密流量，這可能會(huì)將傳輸中的高價(jià)值數(shù)據(jù)泄露出去。
這項(xiàng)調(diào)查是由Ponemon研究所代表Radware進(jìn)行的，涵蓋了來自六大洲的跨零售、醫(yī)療和金融服務(wù)行業(yè)的600多位首席信息安全官和其他安全領(lǐng)袖。
查看完整調(diào)查結(jié)果報(bào)告，請(qǐng)點(diǎn)擊下載：Radware研究報(bào)告：數(shù)字連接領(lǐng)域的Web應(yīng)用安全報(bào)告。https://www.radware.com/WebApplicationSecurityReport/
關(guān)于Radware
Radware是為虛擬數(shù)據(jù)中心和云數(shù)據(jù)中心提供應(yīng)用交付和應(yīng)用安全解決方案的全球領(lǐng)導(dǎo)者。Radware屢獲殊榮的解決方案為關(guān)鍵業(yè)務(wù)應(yīng)用提供充分的彈性、最大的IT效率和完整的業(yè)務(wù)靈敏性。Radware解決方案幫助全球上萬家企業(yè)和運(yùn)營(yíng)商快速應(yīng)對(duì)市場(chǎng)挑戰(zhàn)，保持業(yè)務(wù)的連續(xù)性，在實(shí)現(xiàn)最高生產(chǎn)效率的同時(shí)有效降低成本。
