本期为【尊龙凯时攻防演练专题】系列的第八期，将分享分享在攻防演练期间 Antiy RASP 若何援手 WEB 业务系统占佑装威胁自免疫”能力，同时与传统 WEB 网站安全防护产品合作，有效实现“双沉防护”。

在攻防演练场景中，为了保险利用法式安全，通；岵渴鸲嘀职踩阑げ，其中最为常见的是的基于流量检测类的安全设备，例如 WAF 产品。该类产品就像是给业务系统戴上了“口罩”，可在利用表侧提供防御，并对流量进行过滤洗濯，但利用自身对“威胁”是短缺感知的。这种防御方式，固然对于攻击方的扫描行为或者是攻击尝试，都能进行鉴别和发现，但在重大的流量告警场景下，对于中央是否穿插有攻击成功的要求，就必要有安全专家凭据响应包以及经验来进行二次的研判分析，甚至进一步定位到业务系统现场，在主机层面进行排查。更极端的情况是，若遇到高水平攻击者使用针对性的混合、变形伎俩，甚至是 0Day 缝隙攻击来绕过流量安全设备，此时的攻击行为就更难被发现了，就只能依附主机层面的防护措施或一些后续通用流量特点来鉴别了。归根结底，“口罩”模式的防御步骤，终于不是利用自身的一部门；而能实时感知和确认自身遭逢“威胁攻击”的最继岚地位”，还是利用自身。尊龙凯时利用威胁自免疫（以下简称：Antiy RASP）作为利用运行时的自我防御工具，能够在利用内部对攻击进行鉴别与防御，即为业务系统增长自我防护与免疫能力的一剂“疫苗”。

图1 WAF + Antiy RASP 对利用系统的双沉防护模式示意

在攻防演练前，为利用系统注入 Antiy RASP，可在传统“口罩”模式防御基础上补充自我免疫“威胁”的能力，形成双沉防护模式，切实有效地阻止“远程号令执杏妆、“上传 WebShell ”等沉症的产生。

1.Antiy RASP 设计道理

Antiy RASP 与利用缜密结合，在关键函数执行前进行安全检测，为利用自身赋能安全防护能力，低误报，高检出地智能拦截各类已知及未知缝隙，并提供缝隙成因治理、报警通知、安全查抄等多种能力。拥有高机能、高兼容性，部署便捷的个性。

图2 Antiy RASP 设计道理示意图

可在无定造化的情况下，支持 HTTPS 业务、自加密要求场景的防御。针对高水平、变形绕过的攻击，甚至 0day 缝隙攻击，Antiy RASP 可基于行为特点进行有效检测，并精准定位缝隙详情。

2.五大攻防演练场景价值（Q&A）

问题1：攻防演练期间，陈旧、不足守护的业务系统是被攻击的沉点指标，但又要保障其正常运行，怎么办？

Antiy RASP：为陈旧的利用系统嵌入最新的安全检测代码，在不影响业务的正常运行的前提下，提供安全防护。

问题2：攻防演练期间出现了 0Day 缝隙，高水平的攻击者可能绕过防御设备，在有关对策还不美满的情况下，该若何有效防御？

Antiy RASP：基于行为特点的通用缝隙检测算法，可作为应对 0Day 缝隙的兜底伎俩，极大提高利用安全防护能力的短板。

问题3：利用系统的数据使用了加密数据传输，未做定造化的流量安全设备无法解密则无法防御？

Antiy RASP：因注入地位的个性，使其能够对解密后、体式化后的数据进行研判分析，精准鉴别攻击者的意图，而不受混合绕过、加密要求的滋扰。

问题4：若何在应急措置过程中得分，以最快的速度获得缝隙定位与建复能力，以及业务整改复原能力？

Antiy RASP：在成功实现攻击防御后，能够通达恶意行为是若何产生，缝隙是若何造成的。不仅能够援手后续建复，也可支持实时为同类利用建复与响应。

问题5：1day 缝隙详情颁布了，若何急剧自查利用依赖是否在受影响清单中？

Antiy RASP：通过组件治理职能，可确认利用依赖的版本信息。

3.有效适配演练场景

Antiy RASP 选取探针 + 平台治理的方式，平台支持 SaaS 化部署和私有化部署两种方式。

1. 治理平台：提供探针的统一治理

SaaS 化部署：只需在尊龙凯时垂直响应服务平台上申请开明后，创建对应的企业租户即可使用。

私有化部署：支持容器化、非容器化多种部署方式；合用于探针无法出网的情况。

2. 探针（Agent）：嵌入到利用内部，为利用提供安全防护能力

JAVA 说话支持 Windows / Linux，JDK7-17，OracleJDK / OpenJDK ，Tomcat / Spring Boot / Jboss / PHP /…等环境的肆意组合。

PHP 说话支持 Linux 环境下5.4、5.5、5.6、7.0、7.1、7.2、7.3、7.4版本。

同时，提供一键装置剧本（法式）和装置镜像，可在不沉启利用的情况下，动态注入到必要被；さ闹骰獭ocker 容器、Kubernetes 集群。并支持引擎热更新。

4.沉点能力支持演练需要

1. 智能拦截各类已知及未知缝隙

使用 Hook 技术对各类关键函数进行监测，凭据用户输入、已知规定等对函数挪用进行污点追踪和急剧查抄，自动拦截风险挪用并提醒运维和开发人员。支持拦截48种类型攻击（JAVA 说话23类、PHP 说话25类），覆盖绝大无数常见缝隙。

2. 可追忆到具体缝隙点

每次攻击事务均会详尽地纪录有关信息，蕴含全数的用户输入、齐全的要求信息、触发的缝隙类型、体式化后的攻击 Payload 、触发缝隙时利用的瞬时仓库信息、涉及的资产信息，并提供建复建议。援手开发人员急剧正确定位并建复缝隙。

3. 组件治理

利用依赖库信息统一展示，方便定位是否存在供给链传染问题。

4. 利用加固与安全查抄

通过浏览器的安全个性，通过输出指定响应头实现对利用的加固。

查抄利用法式安全运行所需的有关配置，蕴含弱口令检测、默认配置检测、安全运维项检测等。

下期预报

下期为【尊龙凯时攻防专题】系列的第九期，将分享在攻防演练场景中，若何使用应急措置工具箱实现安全运维的日常查抄和急剧发展应急措置与分析取证。。