双十一」的硝烟还未散尽，「双十二」大战即将拉开序幕!看得见的销售数字让人血脉喷张，而在这背后，还有一场比拼安全技术、用户体验的「暗战」。在电商这个生态圈，没有硝烟的战争早就上演了。
在一个完美的模型中，开发人员的开发生命周期 ( SDLC ) 应当符合安全防护标准，从而开发出安全的软件。但在如今的信息社会里，IT 技术日新月异，新的高级安全攻击层出不穷，攻击方式变得越来越隐蔽和致命，同时为适应新的业务需求和技术革新，迭代开发和快速部署越来越流行。
跨站脚本攻击(XSS)成客户端脚本安全中的头号大敌
XSS 曾多次位居 OWASP TOP 10 威胁的榜首，安全研究人员在很多最受欢迎的网站,包括 Google、Facebook、 Amazon、PayPal 等，都发现了这个漏洞的存在。这些漏洞的存在，让黑客可以通过「 HTML注入」 篡改网页，从而插入恶意的脚本，在用户浏览网页时，控制用户浏览器。
举个例子，可以让大家从攻击的角度体验一下 XSS 的威力。通过 XSS 攻击成功后，攻击者能够在你的浏览器中植入恶意的脚本，如 JavaScript、Flash 等。这类脚本往往可以读取浏览器的 Cookie 对象，从而发起「 Cookie 劫持」攻击，说的通俗点就是，如果你的 Cookie 中保存过一些登陆凭证，攻击者就可以不通过密码，直接进入你的用户。双十一期间有数千亿的消费产生，这对于所有的电商网站来说，都是不容小觑的威胁。
除了「 Cookie劫持」外，XSS 漏洞还常被用于发动恶意软件传播(蠕虫攻击)，会话劫持，恶意重定向等。它破坏力强大，且产生的情景复杂，很难快速修补。所以，如何快速的防御各类 XSS 等应用层攻击，是一个亟需解决的问题。
面对此类应用安全风险，传统方式作用有限
应用程序安全测试 ( SAST / DAST / IAST ) 也是一种能够比较有效的防止安全漏洞进入生产环境工具，但即使最成熟的应用程序安全测试工具也不可能捕获所有漏洞。况且，找出漏洞只是第一步,只有修复所有漏洞才有意义。在大型项目里比如「双十一」和「双十二」这种大促，修复所有漏洞是所有程序员的噩梦，不仅需要花费大量的人力，同时也可能大大延迟开发和发布的进度。这是无法承受的代价。
现在网络层保护技术(如 NGFW、UTM、IPS、IDS 等)已经成为大部分企业的标准配置,一些应用层保护技术( WAF 等)也逐步得到应用。这些技术的确在一些场景下能够部分保护企业安全,但是在云时代网络边界越来越模糊，很多情况下企业都不清楚应用程序具体部署在什么地方，同时黑客对防火墙技术已经非常熟悉，翻墙技术也已经非常成熟。传统安全防护技术对于新一代威胁是无能为力的。
RASP 或成最优解决方案
RASP 工作在 Java 应用程序环境中，且是一种被证明有效的运行时应用程序自我保护技术。现有应用程序无需修改任何代码就可以在运行时进行自我保护，只针对关键保护区域进行扫描和保护，对 Java Web 系统性能影响极小。
比如像 XSS 这种攻击，在 RASP 面前就不值一提。RASP 定制了针对 XSS 攻击的规则集和防护类，然后采用 Java 字节码技术，在被保护的类被加载进虚拟机之前，根据规则对被保护的类进行修改，将防护类织入到被保护的类中。所以 RASP 能够非常有效地抵御 XSS 这种攻击。
目前国内有一家在提供 RASP 的服务，OneASP能以最小代价并且快速解决上述难题，只需要非常简单的修改一下 JVM 的启动配置，就可以将运行。它能将攻击过程透明化，通过控制台可以非常清楚的知道系统什么时候、哪个模块、哪行代码遭受了哪种类型的攻击。同时还能够快速修复漏洞，只要将 OneRASP 和应用程序部署在一起就可以快速修复已知漏洞，不需要漫长的扫描 - 修复 - 扫描的过程。通过实时升级系统快速同步最新漏洞，避免零日攻击。
当然，只有OneRASP也并非万无一失，最优的解决方案是将 OneRASP 和网络安全解决方案、应用安全扫描与测试等安全防护系统结合起来，形成多层次立体的防御体系。如今各种攻击手段层出不穷，单靠其中任一技术来防范应用程序的安全是不科学的。但 OneRASP 永远是应用程序安全保护的最后一道无法逾越的壕沟,它可以帮你快速提升应用程序的安全级别，你再也不用担忧没有合格的安全工程师了。当然也确保你的企业不会作为下一个安全受害者登上头条。
OneRASP(实时应用自我保护)是一种基于云的应用程序自我保护服务， 可以为软件产品提供实时保护，使其免受漏洞所累。
|
