通讯Plus·测评｜直屏的美学 vivo是懂的

“RASP 技术是应用安全防护的终极防线。”

作者 | 赖文昕

编辑 | 陈彩娴

01

应用安全危机四伏

2024年的网络安全形势依旧严峻。

2月，澳大利亚电信公司 Tangerine 遭遇网络攻击，导致23万人的个人信息泄露；3月，人工智能图像编辑工具 Cutout.Pro 有约 2000 万会员用户的电子邮件地址、IP 地址及姓名等敏感信息被放在数据泄露论坛上出售；4月，网络安全公司 Sekoia 发现蠕虫病毒 PlugX 的新变种已经在全球范围感染了超过250万台主机，传播到全球170个国家；紧接着，由 Elon Musk 创立的航空航天制造商和太空运输服务公司 SpaceX 也遭遇了网络攻击，泄露了近150 GB 数据以及三千份图纸。

短短不到半年，海外就发生了多起网络攻击与数据泄露事件。无独有偶，国内的网络安全事件也频频发生。

比如，广州20万网约车司机的个人信息被公开售卖，暴露了移动出行平台在用户数据安全上的重大漏洞；山东省互联网网络安全状况整体评价虽为“良”，但木马和僵尸网络活动增加，表明网络犯罪分子正不断寻找新的攻击手段。

而根据国际数据公司的预测，到2025年，全球将开发并部署大约7.5亿个基于云原生技术的应用程序，到2027年，全球每年新生成的数据量预计将达到惊人的291 ZB，几乎是2022年数据量的三倍。

不难发现，在 AI 浪潮轰轰烈烈的席卷下，应用程序的增长速度正呈指数级上升，数据量的增长也呈现出爆炸性的趋势，针对应用程序的攻击越来越多，攻击手段也越来越复杂。

毋庸置疑，应用安全已经成为网络安全的首要任务。而这其实是一系列的连锁反应：

企业将越来越多的业务流程和客户服务转移到线上，意味着不得不开发和部署更多的应用程序来满足这些日益增长的需求。

应用程序数量的增加，意味着它们所处理的重要数据量也在增加，这吸引了更多的攻击者不断演进其攻击手段，利用应用程序中的漏洞发起攻击，导致数据泄露事件频繁发生。

伴随而来的还有普及率持续攀升的云服务。企业愈发依赖基础设施即服务和其他云服务，以支持其应用程序的运行。云环境下边界的概念模糊，更多架设在边界的传统安全自然无法发挥作用。

同时，微服务架构也成为新的焦点。为了提升灵活性和可扩展性，企业纷纷转向微服务架构，使得应用程序由多个小型、独立的服务构成，而非传统的单一应用。这也增加了应用程序的复杂性，带来了新的安全挑战。

此外，开源代码和第三方库的广泛使用，虽然为开发带来了便利，但也引入了潜在的安全风险。这些组件可能包含未被发现的安全漏洞，一旦被攻击者利用，就会对整个应用程序的安全构成威胁。

企业对业务连续性和服务可用性的要求不断提高，任何应用安全事件导致的服务中断都可能给企业带来巨大的经济损失。因此，如何确保应用程序的安全，成为了企业亟待解决的难题。

具体而言，攻击者针对应用程序的攻击手段日益多样化，包括恶意软件、0day/Nday 漏洞以及 OWASP 十大漏洞。而且，基于凭证的攻击和针对 API 的攻击也变得日益频繁。在 API 安全方面，注入攻击与配置错误导致的攻击也越来越常见。

总之，随着应用程序数量和复杂性的显著增长，企业必须采取全面和前瞻性的安全措施，以确保其应用程序和 API 的安全，同时支持业务的持续增长和创新。

02

RASP 技术：应用安全的终极防线

那么，究竟什么措施才能有效防护应用安全呢？

目前，市场上涌现了众多安全工具，各自在应用程序的不同生命周期阶段发挥着关键作用。这些工具包括了静态应用程序安全测试、动态应用程序安全测试、交互式应用程序安全测试、运行时应用程序自我保护和 Web 应用防火墙等等。

在软件开发的早期阶段，静态代码分析通过深入检查源代码，帮助开发者发现并修复潜在的安全漏洞和编程错误。这种方法能够在不运行应用程序的情况下快速识别问题，从而降低后期修复的成本和复杂性。

随着应用程序进入预生产阶段，交互式应用程序安全测试开始发挥作用，它结合了 SAST 的深度代码分析和 DAST 的行为分析，通过监控用户与应用程序的交互，提供更准确的漏洞检测。

当应用程序部署到生产环境后，动态应用程序安全测试便成为关键的安全措施。DAST 通过模拟黑客攻击，对运行中的应用程序进行实时的安全检测，识别出可能的安全漏洞，为企业提供即时的安全反馈。

而运行时应用程序自我保护技术则为应用程序提供了一种更为全面的保护机制。

与传统的 WAF 解决方案相比，RASP 在多个方面展现出其优势。

RASP 技术确保了高度的准确性和可靠性，通过精确监控数据流和逻辑，仅在恶意输入到达关键库函数时触发警报；它在高负载环境下稳定运行，持续检测代码安全；能向开发人员提供清晰的漏洞修复指导；适应多种网络协议，无需了解协议细节即可保护应用程序；能够自动适应应用变化，通过学习获得应用上下文，实现智能安全防护。

WAF 解决方案则因独立于应用架构，无法深入代码层面识别安全威胁，主要依赖已知威胁签名方法检测，面对未知威胁时效果有限。同时，WAF 在 API 支持上也存在局限，需要安全团队大量手动管理和调整，增加了成本并可能引入安全风险。

相比之下，RASP 技术通过插桩直接集成到应用内部，实现实时代码保护。这种深入到应用内部的监控方式，能够有效地识别和防御各种威胁，在应用运行时提供精确的事件监控和分析，不依赖可能出错的模型预测。

因为能够区分真正的攻击行为和无害的安全探测，RASP 避免了边界解决方案常见的误报和漏报问题，而且还能够对那些传统边界安全措施可能忽视的未知威胁和 0day 漏洞攻击提供保护。这种实时的安全检查和响应能力，使得RASP 成为了一种强大的安全工具。

然而，RASP 技术相对较新，成熟度和市场认知度与 WAF 相比仍有一定差距。更重要的是，由于 RASP 需要嵌入到应用程序内部，部署和维护难度更大，用户在选择时便会权衡 RASP 技术能带来多大价值，以及为了使用 RASP 技术需要付出多大的代价。

“以前 RASP 的市场需求并没有得到充分释放。它的推广需要解决价值与成本之间的平衡问题，以便用户能够看到其潜在价值并愿意接受相对较高的部署成本。”青藤云安全联合创始人兼产品副总裁胡俊告诉雷峰网。

因此，如何在 RASP 方案中消除用户的疑虑，就成为了不少安全公司正在摸索的方向。

03

青藤天睿•RASP：为应用植入原生安全能力