近年来，随着移动互联网的快速发展，诞生了APP、H5、小程序等多种应用形式，更多的企业核心业务、交易平台都越来越依赖这些新型应用程序。与此同时，越来越多的第三方API接口被调用，API业务带来的Web敞口风险和风险管控链条的不断扩大，已非传统WAF的防护范畴。虽然WAF产品通过多年的发展已经相对成熟，但其对复杂威胁的检测和响应能力仍有待进一步提升，新一代WAF的产品理念开始被提出。
为了更好探寻新一代WAF的应用价值与发展方向，安全牛联合瑞数信息等7家国内WAF产品研发与应用领域代表厂商，启动《新一代WAF技术应用指南》报告研究工作，从企业当前的Web应用防护需求入手，并围绕用户的系统应用特征，给出新一代WAF产品的部署和选型建议。12月19日，报告正式发布。瑞数信息技术总监吴剑刚受邀参与当天举行的线上发布会，并结合“多元防护 动态融合”主题，分享了瑞数信息在构建WAAP解决方案过程中的实践与探索。
多元防护 动态融合——瑞数WAAP解决方案
吴剑刚
瑞数信息技术总监
Web安全面临新挑战，传统应用安全技术失效
据吴剑刚介绍，今年以来，越来越多的企业遭遇到零日漏洞的高频攻击，攻击者通过利用软件中的漏洞对企业服务器进行未经授权的访问、加密和操控，并以此作为勒索筹码，为企业造成巨大损失和业务中断。
根据身份盗窃资源中心（ITRC）的统计数据显示，零日漏洞攻击尤其呈上升趋势，与去年相比，2023年前三个季度的攻击数量增长了1620%。一系列因零日漏洞所引起的安全事件引发了企业的广泛关注和恐慌，也暴露出网络安全的脆弱性和企业在面对新兴威胁时的不足之处。
与此同时，随着企业业务朝向多态方向发展，除了传统网站业务之外，APP、小程序、H5、API等各类端口进一步丰富，也持续增大了风险的暴露面。特别是APP和小程序的普及应用，由于开发相对简单快速，其安全防护并不像传统安全防护那么细致，因此成为主要的攻击目标之一。
吴剑刚介绍，攻击者往往为了降低攻击成本，会尝试绕过APP和小程序对客户端的限制，直接对API接口发起攻击，由于脱离了设备限制，攻击门槛大幅降低，这对初级黑灰产组织而言，也可以非常轻易地实施规模化攻击。
对于传统Web安全而言，防御手段追求静态的“绝对安全”，在全生命周期内很难经受的住恶意攻击的考验。随着应用安全架构的持续升级，一系列新的安全挑战随之而来。
其中，业务和数据正在成为网络攻击的主要目标。比如企业在为客户提供服务时，通常会提供注册和登录接口，这些接口会面临批量注册、撞库和暴力破解的风险；当网站提供服务时，将面临被恶意爬取网站信息、敏感数据等风险；在进行在线交易时，会面临虚假交易和交易被篡改的风险；在开展线上营销活动时，也会面临营销资源恶意抢占、薅羊毛等危害程度不一的风险。
随着新技术的不断发展，攻击手段也会随之动态升级，以上这些风险往往都批着“合法”的外衣，利用工具模拟合法的业务操作，具有更强的隐蔽性。同时，通过大量使用自动化工具，使网络攻击更加高效、更具规模化，再加上多源低频的特征，让防火墙等传统安全很难识别和防护。
据吴剑刚介绍，全球范围内超过90%的安全攻击是由自动化攻击发起的，攻击流量中超过90%的流量是由自动化工具发起的，网络流量中超过50%的是自动化工具发起的流量。随着网络攻击的技术水平不断提高，攻击特征也愈发隐蔽，其已经由最初对已知漏洞进行攻击，通过高级自动化攻击、自动化+黑产资源库等多种技术手段加持，进化为可以隐藏机器特征和恶意特征。另外，通过智能化的AI技术，可以绕过基于规则库、特征库、流量学习、信誉库、威胁情报等传统防护手段，让被动防御面临“失效”境地。
变被动响应为主动防御，构建多元防护、动态融合的WAAP安全防御系统
针对日趋严峻的网络安全形势，吴剑刚认为，更需要变被动响应为主动防御，实施积极防御，这就需要以更加全面的视角看待网络安全问题，并依靠各技术之间的相互配合，对应用和系统安全做到心中有数、防护有方。
Gartner预测，2026年，40%的企业会基于更高级的API防护能力选择WAAP解决方案，而更加自动化的风险发现能力和异常检测能力将备受行业关注。
伴随下一代应用安全WAAP能力的不断演进，未来的应用安全趋势将是WAAP应用安全融合平台。对此，吴剑刚表示，瑞数信息WAAP解决方案构建起全业务渠道统一防护的能力，不仅实现Web应用程序和API的统一管理，还能进行多维度统一防护，从Web应用安全防护、DDoS攻击防御、Bot管理到API安全防护等多维度构建应用安全防御体系，为企业业务连续性和数据安全保驾护航。
综合来看，瑞数信息WAAP解决方案将全渠道业务进行归集融合统一防护，通过设备指纹、全访问记录、客户端采集、行为分析对攻击进行精准溯源，并利用漏洞隐藏、攻击阻断等方式，为Web、H5、APP、小程序、API提供全面防护，实现资产暴露面收敛。同时对WAF、Bot、DDoS、API等多元攻击进行充分防护，最终实现不同业务渠道之间、与其他安全产品的联防联控。
针对愈演愈烈的自动化攻击，瑞数信息通过一系列动态安全技术，包括动态验证、动态封装、动态令牌和动态混淆等，不断改变目标系统反应的内容和行为，防止攻击者找到突破口，并预测目标系统的行为，从而增加攻击难度，让攻击者无从下手。
此外，瑞数信息还将动态安全技术和AI技术融合起来，涵盖了机器学习、智能人机识别、智能威胁检测、全息设备指纹、智能响应等AI技术，对客户端到服务器端所有的请求日志进行全访问记录，持续监控并分析流量行为，实现精准攻击定位和追踪溯源，并对潜在和更加隐蔽的攻击行为进行更深层次的分析和挖掘，更加精准、持续地对抗恶意爬虫带来的自动化攻击。
目前，瑞数WAAP解决方案支持本地、云及SaaS等多形态部署，也支持Web、APP、API、微信、小程序等多种业务接入渠道，已拥有超过1000家头部标杆和关键基础设施企业客户，用户群广泛覆盖政府、电信、金融、医疗、教育、电力能源、互联网等众多行业和领域。
近两年，瑞数信息凭借近年来API领域和数据安全领域所取得的突出成绩，其技术实力和市场表现受到国际权威机构认可。今年9月，瑞数信息入选Gartner中国API领域代表厂商；11月，瑞数信息被IDC列为中国数据安全市场代表厂商，并作为防勒索+防爬虫两大热点领域的代表性技术提供商被收录其中。
同时，瑞数信息成为国内首批“云原生API安全能力”和“WAAP能力”认证的安全厂商，深度参与中国信通院发起的《云原生安全能力要求 第1部分：API安全治理》标准编制，为云服务商及企业用户构建云原生API安全治理能力提供参考。今年8月，瑞数信息还与中国信通院云计算与大数据研究所联合撰写并发布《云上WAAP发展洞察报告（2023）》，足见瑞数信息在API、WAAP等综合领域的强劲实力。
在AI和大模型时代，网络安全攻防的对抗不断升级。对于瑞数信息的未来，吴剑刚表示：“瑞数信息将以技术前瞻的视角，持续进行安全科技创新，巩固应用和数据安全的基础，为企业用户构建面向智能时代的新一代主动防御安全体系。”
