華清TDR應用系列2——基于SOC攻擊的態勢分析

    Web應用安全依然是互聯網安全的較大威脅來源之一，傳統的SQL注入、XSS、CC攻擊等傳統攻擊手段和各種新爆出的web漏洞，無時無刻不在考驗著web應用安全方案的可靠性、靈活性和安全團隊的快速反應能力。

    Web應用*墻作為TDR-SDA（security defense array 安全防護陣列）重要防御模塊，扮演著較其重要的角色，本文根據TDR（threat detection and response 威脅監測與響應服務）安全團隊對接入流量的分析，為您帶來較新的攻擊趨勢、漏洞應急情況以及*安全*的**觀點和防護建議。

    據統計，90%以上攻擊流量來源于掃描器，掃描器往往是攻擊者的開路利器，在大規模批量掃描中被嗅探到大量漏洞的web站點較*成為攻擊者下手的對象。通過特征、行為等維度識別并攔截掃描器請求，可以有效降低網站被攻擊者盯上的概率，同時有效緩解批量掃描行為帶來的負載壓力。（如圖-1所示）攔截的攻擊中，掃描器產生的請求數量在90%以上。

圖-1

    傳統Web攻擊手段中，WebShell上傳/通信、SQL注入和命令執行依然是較常見的攻擊行為，在傳統攻擊的分布上與其他安全情報無太大差異（如圖-2所示）。

 圖-2

    針對基礎Web攻防來說，利用諸如MySQL、JavaScript語言特性進行各種編碼、變形，從而繞過WAF防護的攻擊payload也越來越多，攻防是一個持續對抗升級的過程。TDR-SDA（securitydefense array 安全防護陣列 ）支持多種常見HTTP協議數據提交格式全解析：HTTP任意頭、Form表單、Multipart、JSON、XML；優化引擎解析HTTP協議能力，支持復雜格式數據環境下的檢測能力；抽象復雜格式數據中用戶可控部分，降低上層檢測邏輯的復雜度，避免過多檢測數據導致的誤報，降低多倍的誤報率；支持多種形式數據編碼的自適應解碼，避免利用各種編碼形式的繞過（如圖-3所示）。

圖-3

    以上是華清信安通過TDR-DA(security defense array安全防護陣列）Web應用*墻模塊的安全情況的分析，希望對運維人員和安全人員帶來參考。