如今網絡攻擊戰的核心目標已經轉向能源等關鍵基礎設施，尤其是石油化工行業關系到國計民生，未來在國家安全領域，石油化工行業的網絡安全愈顯重要。為了助力石油化工企業筑牢網絡安全防線，日前由中國石油學會石油科技裝備專業委員會、中國設備管理協會石油石化科技與數字創新專業委員會主辦的“中國石油和化工企業網絡與信息安全技術峰會”在京順利召開。
瑞數信息高級安全顧問張凡受邀參與本次會議，帶來了題為《自動化威脅的趨勢與應對》的演講，分享了石油化工企業面臨的Bots自動化威脅現狀，及如何以動態安全技術對抗Bots自動化威脅的防護思路。
五大趨勢，Bots自動化威脅發展
? 趨勢一：Bots攻擊趨于常態化
伴隨著大數據、5G、云計算、人工智能等技術發展，石油化工行業也開始提供“互聯網 +”服務;同時在疫情的持續影響下，許多石油化工企業已將遠程辦公視為常態選擇，遠程辦公為網絡安全帶來了新的挑戰，VPN、視頻會議系統、郵箱、OA等都成為了黑客攻擊的目標。
據瑞數信息《2022Bots自動化威脅報告》顯示，Bots產生的流量明顯高于正常訪問流量， 2021年Bots訪問占比持續上升至59.71%。在能源行業，惡意機器人的比例高達31.62%，同時這個比例還在進一步提升。
? 趨勢二：零日漏洞攻擊持續深化
借助自動化工具，網絡罪犯正在以更高效、更隱蔽的方式發現和利用漏洞。尤其是0day漏洞利用數量和攻擊流量持續增長，漏洞攻擊和影響面逐步擴大，0day漏洞攻擊越來越常態化。
根據CVE和CNNVD披露的數據，2021年新增漏洞超過20000個，相比2020年漏洞數量進一步增加。除數量之外，開源和第三方組件的0day漏洞影響面擴大，軟件供應鏈安全問題嚴峻。特別是在2021年底爆發的Log4j核彈級漏洞，給整個JVM生態圈帶來致命打擊，影響至今。
? 趨勢三：API攻擊持續走高
盡管開放API推動了石油化工業服務能力和服務渠道的全面對外賦能，但隨著API調用數量的增多和自動化工具的興起，其涉及的數據泄漏和欺詐風險正對石油化工企業業務安全構成新的挑戰。
越來越多的攻擊者正利用API來實施自動化的“高效攻擊”。Gartner認為，2022年，API濫用將成為導致企業Web應用程序數據泄露的最常見攻擊媒介。到2024年，API濫用和相關數據泄露將幾乎翻倍。
? 趨勢四：數據爬蟲依然泛濫
惡意數據爬蟲是自動化攻擊請求中占比最大的一類，無論是傳統行業、互聯網行業，還是政企、醫療、 能源、教育等，都遭受持續不斷的爬蟲訪問。2022年瑞數信息監測到的惡意爬蟲攻擊達到1000億以上，各個行業的信息服務業務是爬蟲光顧的重災區。 在公開數據方面，惡意爬蟲主要關注企業信息、公示信息、敏感數據等。
? 趨勢五：AI武器更聰明，進一步升級自動化的攻防對抗
AI技術正在讓網絡攻擊的速度與效率快速提升，更快、更準地發現漏洞，更自動和智能的轉換和使用攻擊手法，同時產生更難以檢測識別的惡意代碼和攻擊行為等趨勢，迅速拉大與防御體系的差距。網絡安全從現階段的人與人對抗、人機對抗，向基于AI攻防對抗的演化趨勢愈加明顯。
四大防護重點，應對石油化工企業Bots自動化威脅
? 防護重點一：Bots自動化威脅防護成為企業標配
隨著Bots自動化工具成為攻擊的常態手法，Bots自動化威脅防護也應成為企業防御體系的標配。
瑞數信息建議，石油化工企業應當加強Bots自動化威脅管理與防護在企業應用和業務威脅管理架構中的地位與能力，通過Bots識別、提高攻擊成本、可視化展示等多維度手段對各類Bots進行管理與威脅防護。
? 防護重點二：聚焦賬號+數據，審計業務操作行為
在疫情引發的遠距工作背景下，員工終端更容易遭到惡意代碼感染與釣魚詐騙，同時企業應用向云端遷移已成為不可逆的趨勢，不但容易遭到外部入侵者的攻擊，也使得內外共謀舞弊變得更為容易。
因此，石油化工企業應當對合法用戶操作行為進行審計，以便及早發現可能的賬號盜用、權限濫用與內外共謀舞弊等惡意行為。
? 防護重點三：整合型的安全防護機制勢在必行
如今企業的業務應用形態多樣化的趨勢已經非常明確，Web/APP/H5/微信/小程序等全業務接入渠道都成為攻擊者可以乘機而入的目標。
因此，瑞數信息建議，設立支持WAF、Bot管理、API防護等多種安全能力的整合性防御機制，是石油化工企業的最佳選擇，能夠幫助企業形成分層遞進的防護策略與能力，實現Web安全一體化防御。
? 防護重點四：構建智能型主動安全防御
隨著Bots自動化攻擊越來越隱蔽和高效，傳統安全防護體系已經變得力不從心。瑞數信息高級安全顧問張凡建議，石油化工企業應當將防護理念由“被動防御”向“主動防御”轉變，防護重心由“人防”向“技防”轉變。同時，借助AI人工智能技術、自動化響應機制等新手段，實現網絡空間攻防對抗能力的持續升級，構建更智能的主動安全防御機制。
六大優勢，動態安全助力企業防御Bots威脅
攻防雙方對抗的本質，其實是成本的對抗。石油化工企業在安全防護中應采用創新視角，徹底改變游戲規則，即圍繞自身，通過隱藏漏洞、變換自身、驗證真偽等方式提高黑客的攻擊成本，倒逼黑客放棄攻擊，從而降低企業管理負擔，加快防護響應速度。
基于這種創新的防御理念，瑞數信息持續專注于以動態安全為基礎，為企業提供全方位、主動式安全防護。
? 優勢一：人機識別 防御前置 透明無感
瑞數信息的動態安全架構由動態封裝、動態驗證、動態混淆、動態令牌等核心技術構成，通過瑞數信息獨特的動態安全技術，可以擺脫傳統安全防護產品對于規則和特征的依賴，讓攻擊者無法輕易發現攻擊入口，同時實時攔截、風控前置，極大提高攻擊難度和攻擊成本。
? 優勢二：讓黑產自動化工具全部失效
從簡單腳本工具，到具備JS解析能力的工具，再到錄屏操作、真人操作，無論黑產工具如何升級，瑞數動態安全技術都可以對黑產行為進行人機識別、精準打擊，直擊黑產最底層，讓自動化工具無法使用。
比如在企業頗為頭疼的0day漏洞防護方面，通過瑞數信息動態安全技術，就能夠從0day漏洞利用工具請求的固有屬性出發，只要識別到是工具行為，就可以直接對0day攻擊進行阻斷，實現對業務的動態保護。
同時，瑞數信息通過對終端環境和設備指紋的多維度畫像，可以有效識別各類惡意訪問行為，并能實時追蹤通過大量跳板隱藏攻擊來源的惡意終端。
? 優勢三：從“人防”到“技防”
面對網絡攻擊在數量和效率上的成倍增長，企業安全運維成本也在相應增長，而企業安全人員僅憑有限的人力和傳統安全防護工具，很難維持常態化的安全防護?；谌饠敌畔⒌膭討B安全技術，能夠有效抵御各類自動化攻擊，實現防護能力升級、運維成本降級、防御更主動、對抗更智慧、追蹤溯源的更精準，真正做到從“人防”到“技防”。
? 優勢四：構建真正意義的異構立體防護體系
瑞數信息高級安全顧問張凡指出，動態安全與傳統安全所代表的并非是不同品牌的安全產品，而是完全不同的技術、不同的防護原理，因此構建真正意義上的異構立體防護體系，實際上是要把動態安全防護與傳統安全防護有機結合起來。
? 優勢五：提升Web應用資源效率
作為中國動態安全技術的創新者和Bots自動化攻擊防護領域的專業廠商，瑞數信息創新提出的“動態安全”主動防護技術，已保護了上萬億企業客戶資產和5億多賬戶，為企業客戶阻擋了99%的自動化攻擊，將安全運營效率提升了81%，節省了54%的系統資源。
? 優勢六：應對各類自動化攻擊
瑞數信息動態安全技術能夠有效應對各類自動化攻擊，如：漏洞掃描、撞庫、爬蟲、應用DDOS、高級定制工具、多源低頻等等，為企業的應用安全、數據安全、業務安全提供主動安全防御能力。同時，基于動態對抗策略，在不影響業務正常運行的情況下，為企業贏得高回報的安全。
結語
網絡安全是一場永無休止的全面戰爭，在未來的網絡安全中，石油化工企業將面臨越來越多和更加復雜的自動化攻擊，企業防護理念應由“被動防御”向“主動防御”轉變，防護重心由“人防”向“技防”轉變。
基于瑞數信息的動態安全技術，能夠有效抵御各類自動化攻擊，實現防護能力升級、運維成本降級，讓防御更主動、對抗更智慧、追蹤溯源更精準，真正保障石油化工企業的網絡安全。
