当今社会的科技发展和未来的发展创新都离不开自动化技术的支持。然而,一旦自动化技术为不法分子所用,造成的损失也是不可估量的。从网站应用攻击、用户信息泄露到业务交易欺诈,无处不在的自动化攻击考验着每个行业的安全水准。
4月22日,瑞数信息重磅发布《2020Bots自动化威胁报告》(下称“报告”),对2019年Bots自动化威胁的主要类别、攻击来源、攻击态势、技术手段等进行了全面回溯与解读,并对2020年Bots自动化威胁发展趋势做出预测。
报告指出,Bots机器人攻击在逐年增加,全球网络流量中正常用户发起的请求已经不足一半。国内的Bots攻击形势则更为严峻,尤其在一些资源抢占类和信息公示类系统中,Bots发起的访问请求占比甚至超80%。同时,相对于传统安全攻防,企业普遍缺乏对于Bots攻击的认知和防护,这进一步加剧了Bots攻击带来的危害。
看点一:聚焦四大Bots核心问题
正如自动化能够帮助企业有效地检测和缓解网络威胁一样,自动化工具的加持也让网络犯罪分子“如虎添翼”。自动化、智能化的Bots攻击正让企业网络的防线频频失守。
国家级大数据成为高级Bots的云集之地
“互联网+政务服务”开放了大量数据查询服务,这些数据经过聚合之后可以成为具有极高价值的国家级大数据,因此吸引了黑产和境外机构Bots的大规模数据拖取,如果被非法滥用,将会带来巨大危害。在各行业中,政府行业的Bots请求比例据行业之首,超过65%;在高级持续性Bots手段使用上,政府行业依然首当其冲,占比超过30%。
庞大的IP资源已成为Bots流量产业的基础设施
大规模廉价的IP资源大幅降低了绕过传统Anti-Bot技术的成本,也成为Bots流量中最常用的手段,更换IP方式在绕过手段中的采用率高达90%以上,严重削弱了IP信誉库的防御能力,高级组织每日使用IP数量可超过百万,两日IP重复率低于10%。
新兴领域的漏洞探测利用效率提升
随着开源和商业漏洞探测利用工具的发展,攻击者对于新兴领域的漏洞发现效率大幅度提升,IoT、API、云端应用等领域虽然兴起时间不长,但暴露的安全问题却有赶超传统领域的趋势,尤其在0day/Nday攻击、接口滥用等方面表现突出。
Bots流量全面隐藏机器特征促使前端对抗升级
借助丰富而低成本的IP资源、平台资源,Bots在流量层面的特征进一步被隐藏,这就要求防护系统能够在前端提取到更多的Bots信息进行识别。JS保护与破解、设备指纹追踪与反追踪、模拟操作行为对抗、验证码对抗等将会更加激烈,AI技术也将会深入介入其中。
看点二:2019年Bots自动化威胁深度分析
随着自动化攻击手段的发展,业务系统面临的攻击类型也越来越多,OWASP最新发布的《Automated Threat Handbook》中提到的自动化威胁已达到21种之多。结合国内的业务系统和攻击者的特点,报告对Bots自动化威胁的多个层面进行了归纳分析和解读。
Bots攻击类别
报告指出,从Bots攻击流量最主要的关注点和对业务影响的角度,可以将Bots攻击类别分为5大类:
- 漏洞探测利用
- 模拟正常业务操作逻辑抢占业务资源
- 爬虫获取高价值数据
- 暴力破解或者撞库获取账号信息
- 面向应用和业务的拒绝服务攻击
Bots攻击态势
综合来看,Bots发起的请求占比已经超过网站访问总量的一半,达到55.35%,而对于某些提供公共信息查询的政务系统,Bots请求比例甚至超过80%。
从行业上看,政府行业的Bots请求占比最高,超过65%;金融、运营商、互联网行业的平均占比都超过了60%。除了通用的漏洞扫描外,不同行业遭受的Bots攻击类型也不一样。Bots 访问占比最高的政府行业,主要攻击场景有爬虫、信息搜刮等;其次为金融行业,主要攻击场景有薅羊毛、批量进件、撞库等;运营商行业则集中在批量缴费、通话记录或账单拖取等场景。
APBs透视
随着各种 Bots 对抗技术的涌现,很多场景下简单的脚本工具已经无法有效进行攻击,为了绕过各种防护手段, Bots 也由简单脚本向高级持续性机器人(Advanced Persistent Bots,APBs)演进。不同行业面临的APBs威胁也不一样,攻防对抗会加速普通Bots向APBs进化的过程。
值得注意的是,APBs相比普通Bots,具备多种多样的“反反自动化攻击”能力,自动更换IP、特征隐藏、拟人化操作、验证码识别等技术已然成为标配。
移动端分析
企业越来越多的业务系统正在向移动端迁移,为了适应这种环境,攻击平台也必须向移动端转移,多种多样的攻击手段也随之出现,例如各类改机工具、破解框架、模拟器、root、群控、云控、IMEI伪造、GPS伪造、IP代理等。
除此之外,报告中还对攻击来源分布、IP秒拨、Bots隐藏技术等进行了深入分析。
看点三:2020年Bots自动化威胁发展趋势
2019年围绕Bots攻防展开的对抗技术得到了长足发展,但未来这一对抗依然会持续并不断增强。
移动端成为下一战场
随着企业业务不断从PC端向移动端迁移,黑客的攻击重心也在转移。除了传统的漏洞扫描、APP客户端逆向破解外,大量的非法第三方APP请求、API接口滥用、撞库、批量注册、刷单、薅羊毛等业务相关的攻击正在发生,移动端的对抗将进入下一阶段。
前端对抗持续增强
前端作为整个系统的大门,是Bots攻防中双方必争之地,各种对抗手段不断涌现,可以预见后续前端对抗依然会持续,在JS保护、设备指纹、操作行为等领域的对抗将会持续升级。
IoT系统成为新兴攻击目标
智能家电、摄像头、路由器、车载系统等物联网(IoT)设备正深入人们的生活,黑客利用自动批量攻击工具,可以快速获取大量IoT设备的控制权,IoT已然成为信息泄漏和 DDOS攻击的生力军。
Bots成为API滥用的推手
在Bots的帮助下,攻击者对API接口进行暴力破解、非法调用、代码注入等攻击的效率将会大幅提升,API接口滥用行为的防护需求将愈加凸显。
“内鬼”防不胜防
面对高价值的企业数据,企业内部员工无意或蓄意地利用自动化工具及内网合法权限,拖取内部信息、操纵内网交易、建立垃圾账号的事件屡见不鲜,而Bots正充当了“内鬼”们窃密的利器。
云中斗争愈发激烈
云技术的发展会对Bots攻防产生深刻影响。一方面云资源成本降低使得部署于云上的Bots成本也随之降低,Bots数量因而上升;另一方面云上环境相比自建机房更为开放,攻击面暴露更多,遭受攻击的可能性也大大增加。
AI 深度介入攻防过程
AI人工智能已经是网络安全届最热门的话题之一。一方面,过去成本高昂的劳动密集型攻击,已经在基于AI的对抗学习以及自动化工具的应用下找到新的转型模式。另一方面,以AI为基础的攻击检测工具迅速发展,相比传统策略,基于AI的新型攻击检测,可以发现更为隐蔽的攻击。
结语
安全就像一场永无休止的攻防战,攻防两端永远在博弈,此消彼长,没有完结的一天。未来,数字化将成为企业发展的“核心动能”,安全也将成为企业核心竞争优势之一。有效防御Bots自动化攻击是未来安全防护的趋势,了解自动化Bots攻击特点和系统安全态势,强化安全防护的协同联动,才是企业有效应对后续未知的自动化攻击态势,屹立于不败之地的关键。
本文由 计算杂谈 作者:云中子 发表,转载请注明来源!