掀開Web應(yīng)用程序和API攻擊武器庫的一角

相比金融、醫(yī)療等行業(yè)，商業(yè)領(lǐng)域較少受到嚴(yán)格監(jiān)管，安全挑戰(zhàn)較為獨特。如負責(zé)保護復(fù)雜基礎(chǔ)架構(gòu)和大量敏感數(shù)據(jù)的安全團隊的預(yù)算有限，以及威脅面加速擴大。

近期，Akamai發(fā)布了新一期的《商業(yè)行業(yè)的威脅趨勢分析》云安全報告，充分探尋攻擊者在商業(yè)領(lǐng)域發(fā)起的多種攻擊類別，以及商業(yè)類客戶成為高頻攻擊目標(biāo)的演化趨勢。

報告要點搶先看！

Web應(yīng)用程序和API攻擊高達140多億次，商業(yè)領(lǐng)域仍是攻擊重災(zāi)區(qū)

使用第三方腳本存在高風(fēng)險，如遭受Magecart攻擊造成支付信息失竊

惡意爬蟲程序請求大幅增加，攻擊者會發(fā)起撞庫攻擊和帳戶接管等攻擊

風(fēng)向轉(zhuǎn)變，LFI攻擊持續(xù)霸榜

結(jié)合新一期《互聯(lián)網(wǎng)現(xiàn)狀/安全性》報告，Akamai云安全研究團隊發(fā)現(xiàn)在商業(yè)領(lǐng)域中，與酒店&旅游業(yè)相比，零售業(yè)受到了更大威脅沖擊。本地文件包含（LFI）已大幅超過跨站腳本（XSS）等攻擊類別。

LFI占據(jù)Web應(yīng)用程序和API攻擊“半邊天”

（2022.1.1-2023.3.31）

發(fā)起LFI攻擊的黑客，首先從對用戶輸入進行充分篩選或驗證的應(yīng)用程序著手識別；然后，黑客使用“../”指令或其他方式確認目錄遍歷的能力。下一步，黑客可能會滲透數(shù)據(jù)，或者將惡意腳本上傳到主機服務(wù)器。

LFI攻擊活動數(shù)量的增幅超過300%

LFI漏洞，正倒逼企業(yè)加強驗證自身的安全控制。Akamai建議企業(yè)使用如Zero Trust微分段等框架，盡可能降低獲得訪問權(quán)限LFI攻擊的影響，將網(wǎng)絡(luò)擊殺鏈與MITRE ATT&CK相結(jié)合，升級安全策略，并借助Akamai安全運營中心（SOC）及時保障風(fēng)險緩解。

腳本風(fēng)險，嚴(yán)重影響支付安全

商業(yè)領(lǐng)域中，應(yīng)用于支付、聊天、指標(biāo)跟蹤等場景的第三方腳本，正在成為黑客們的攻擊切入點，攻擊者只需修改第三方資源，即可將惡意代碼注入目標(biāo)站點。如果腳本使用了易受攻擊的庫，每個使用它的網(wǎng)站都可能面臨被入侵的風(fēng)險。

用于商業(yè)網(wǎng)站的客戶端腳本，有一半來自第三方供應(yīng)商

在供應(yīng)鏈攻擊中，安全漏洞正在成為黑客滲透到更有利可圖目標(biāo)的墊腳石。攻擊組織可能通過利用第三方資源訪問敏感的信息，繞過已充分布防的安全屏障。殺傷力上，Magecart攻擊將大面積威脅用戶的支付賬戶與個人敏感信息。

三種常見Magecart攻擊方式

直接注入

利用網(wǎng)站漏洞注入惡意代碼，如攻擊者通過電子商務(wù)服務(wù)平臺對網(wǎng)站發(fā)起攻擊

篡改代碼

利用漏洞編輯惡意代碼，或?qū)阂獯a添加到第三方供應(yīng)商腳本，以侵入目標(biāo)網(wǎng)站

借助于域

購買已棄用的服務(wù)/供應(yīng)商的域，并將惡意代碼加載到此類域仍在運行的網(wǎng)站

惡意搶購，客戶體驗遭受侵害

針對商業(yè)垂直行業(yè)的惡意爬蟲程序活動正在增加，超過15個月內(nèi)觀察到5萬億個請求。攻擊者利用機器人的大量用例，是進行欺詐和其他惡意攻擊嘗試。即便是非惡意的爬蟲出現(xiàn)，也會有損網(wǎng)站性能，或進行價格抓取，加強受眾劫持策略。

惡意機器人請求總數(shù)，超過5萬億

（2022.1.1-2023.3.31）

值得重視的是，僵尸網(wǎng)絡(luò)高頻應(yīng)用于惡意搶購。此類案例中，黃牛黨泛濫于票務(wù)和運動鞋零售商的電商渠道，黃牛黨可能會設(shè)計和開發(fā)自己的僵尸網(wǎng)絡(luò)，或干脆購買市場上可用的機器人產(chǎn)品，增加線上秒殺的成功率。

黃牛黨的暗箱操作

1.定位目標(biāo)網(wǎng)站特定產(chǎn)品

部署、配置僵尸網(wǎng)絡(luò)后，黃牛黨即可定位目標(biāo)網(wǎng)站，抓取爆款產(chǎn)品列表，鎖定待秒殺產(chǎn)品

2.集成數(shù)據(jù)至數(shù)據(jù)庫

將收集到的數(shù)據(jù)發(fā)送到數(shù)據(jù)庫，根據(jù)預(yù)定義標(biāo)準(zhǔn)以及產(chǎn)品結(jié)果找到的站點，返回給運營商

3.自動化進行高價轉(zhuǎn)售

借助自動化技術(shù)加速秒殺，采取多賬戶提升隱蔽度，搶購更大庫存，得手后以高溢價售出

回擊威脅，加深WAAP防護

透過Akamai云安全實時威脅監(jiān)測來看，全球不同行業(yè)中都在發(fā)生惡意軟件和監(jiān)管環(huán)境的風(fēng)向轉(zhuǎn)變，企業(yè)安全團隊亟需深入關(guān)注邊緣區(qū)域，通過檢查日志重點跟進LFI攻擊、服務(wù)器端請求偽造和服務(wù)器端代碼注入等攻擊技術(shù)。

面臨愈演愈烈的惡意搶購以及Magecart攻擊威脅，Akamai建議企業(yè)組織采用Akamai Page Integrity Manager解決方案，進行頁面完整性管理，持續(xù)分析第一方和第三方URL，查找常見漏洞和風(fēng)險；同時借助Akamai App&API Protector基于云的WAAP解決方案和Akamai Neosec API行為分析層面的精細化檢測，深度抵御Web應(yīng)用程序和API攻擊風(fēng)險。