RASP建設(shè)應(yīng)該多部門(mén)協(xié)同聯(lián)動(dòng)

有效部署和運(yùn)營(yíng)RASP通常需要安全部門(mén)的牽頭,與應(yīng)用研發(fā)部門(mén)和運(yùn)維部門(mén)緊密協(xié)作。在這種組織架構(gòu)中,安全部門(mén)負(fù)責(zé)制定RASP的整體策略并監(jiān)控安全運(yùn)營(yíng),而研發(fā)部門(mén)則負(fù)責(zé)將RASP技術(shù)集成到應(yīng)用開(kāi)發(fā)生命周期中,確保安全措施與應(yīng)用功能的無(wú)縫對(duì)接。此外,與應(yīng)用部門(mén)的充分溝通和協(xié)作是至關(guān)重要的,尤其在進(jìn)行安全測(cè)試和落地實(shí)施時(shí),因?yàn)閼?yīng)用層與主機(jī)層或容器層的業(yè)務(wù)需求和安全需求可能不完全對(duì)應(yīng)。如果貿(mào)然由運(yùn)維部門(mén)單獨(dú)推進(jìn)RASP部署,而未經(jīng)過(guò)充分的應(yīng)用研發(fā)部門(mén)測(cè)試和驗(yàn)證,可能會(huì)導(dǎo)致業(yè)務(wù)流程中斷或數(shù)據(jù)安全風(fēng)險(xiǎn)。在一些特殊的組織架構(gòu)中,如研發(fā)部門(mén)擁有自己的安全團(tuán)隊(duì)或安全BP,RASP的推廣及運(yùn)營(yíng)可能會(huì)由研發(fā)部門(mén)的安全團(tuán)隊(duì)或安全BP直接負(fù)責(zé)推進(jìn)。這種模式不僅有利于快速響應(yīng)安全事件,還能更有效地實(shí)施安全更新,因?yàn)檠邪l(fā)安全團(tuán)隊(duì)通常對(duì)應(yīng)用的安全需求和潛在風(fēng)險(xiǎn)有更深入的理解。無(wú)論采用哪種組織架構(gòu),關(guān)鍵在于確保各部門(mén)之間的高效溝通與協(xié)作,以便RASP解決方案可以全面并有效地保護(hù)應(yīng)用程序免受安全威脅。

One Agent是個(gè)偽命題

在討論將RASP與主機(jī)或容器安全解決方案集成時(shí),經(jīng)常會(huì)出現(xiàn)一個(gè)問(wèn)題:是否可以通過(guò)一個(gè)單一的Agent來(lái)同時(shí)管理主機(jī)層和應(yīng)用層的安全(即所謂的 OneAgent)。陳佩文表示,實(shí)際上,盡管主機(jī)或容器的安全Agent可以用于下發(fā)RASP的Agent,便于統(tǒng)一管理和部署,但重要的是要認(rèn)識(shí)到,這兩個(gè)Agent在功能和作用上仍然是分離的。主機(jī)或容器的安全Agent主要負(fù)責(zé)策略下發(fā)和基礎(chǔ)監(jiān)控,而RASP的Agent專注于應(yīng)用層的實(shí)時(shí)分析和響應(yīng)內(nèi)部事件。因此,盡管這兩個(gè)Agent可能共享某些基礎(chǔ)設(shè)施和通信機(jī)制,但它們各自處理不同的安全需求,不能簡(jiǎn)單地視為一個(gè)單一的Agent。在組織架構(gòu)中,為避免在職責(zé)劃分上出現(xiàn)混淆,建議逐步并謹(jǐn)慎地推進(jìn)這些Agent的部署。通過(guò)這種穩(wěn)健的方法,可以有效的將部門(mén)間的職責(zé)劃分清楚,確保每個(gè)安全層面都能得到充分的關(guān)注和精確的配置。這種多Agent架構(gòu)允許每個(gè)層級(jí)的安全措施都是針對(duì)其特定環(huán)境和威脅模型定制的,從而提供最有效的保護(hù)。One Agent,“把雞蛋放在一個(gè)籃子里”,其復(fù)雜性和潛在風(fēng)險(xiǎn)都會(huì)大大增加,一旦出現(xiàn)問(wèn)題,排查難度也會(huì)成倍增加,甚至可能出現(xiàn)單產(chǎn)品問(wèn)題影響整個(gè)客戶端的極端情況。

RASP可與多款產(chǎn)品、方案聯(lián)動(dòng)

陳佩文介紹說(shuō),在構(gòu)建一個(gè)全面的網(wǎng)絡(luò)安全策略時(shí),RASP不僅作為獨(dú)立防護(hù)層存在,還能與其他安全產(chǎn)品和平臺(tái)高效聯(lián)動(dòng),形成更為嚴(yán)密的安全防線。以下是RASP聯(lián)動(dòng)各個(gè)產(chǎn)品和場(chǎng)景的具體應(yīng)用:

聯(lián)動(dòng)安全運(yùn)營(yíng)中心(SOC):RASP能夠?qū)崟r(shí)監(jiān)控應(yīng)用程序的安全事件,并將關(guān)鍵的安全警報(bào)和事件詳情上報(bào)給SOC。這種實(shí)時(shí)數(shù)據(jù)的整合使得SOC能夠快速響應(yīng)潛在的安全威脅,優(yōu)化整個(gè)組織的安全響應(yīng)策略,從而實(shí)現(xiàn)安全產(chǎn)品間的有效聯(lián)動(dòng)。

上報(bào)API信息至API管理平臺(tái):通過(guò)將RASP檢測(cè)到的API調(diào)用信息上報(bào)到API平臺(tái),可以極大地增強(qiáng)API平臺(tái)對(duì)流量的管理能力和API識(shí)別的準(zhǔn)確性。這種信息共享不僅有助于收斂和優(yōu)化API詳細(xì)信息,還能加強(qiáng)數(shù)據(jù)流轉(zhuǎn)的監(jiān)控和管控,確保數(shù)據(jù)安全和合規(guī)性。

與Web應(yīng)用防火墻(WAF)協(xié)同:RASP與WAF的聯(lián)動(dòng)為Web應(yīng)用提供了一個(gè)多層次的安全防護(hù)網(wǎng)絡(luò)。通過(guò)這種協(xié)同,RASP能夠在應(yīng)用層捕捉到的威脅信息可以用來(lái)增強(qiáng)WAF的防護(hù)策略,反之亦然,WAF在網(wǎng)絡(luò)層面攔截到的攻擊信息也可以被用來(lái)調(diào)整RASP的防護(hù)配置。這樣的相互協(xié)作不僅提升了防御效率,也實(shí)現(xiàn)了從數(shù)據(jù)層到應(yīng)用層的全方位安全保護(hù)。

聯(lián)動(dòng)主機(jī)安全產(chǎn)品HIDS:RASP可以與HIDS實(shí)時(shí)共享應(yīng)用程序的行為信息和事件日志。RASP能夠捕獲應(yīng)用程序的執(zhí)行上下文、輸入輸出數(shù)據(jù)等信息,而HIDS可以通過(guò)分析這些信息,結(jié)合對(duì)WEB應(yīng)用進(jìn)程的行為檢測(cè)來(lái)分析是否存在潛在的入侵行為。當(dāng)HIDS檢測(cè)到異常行為或潛在的入侵時(shí),它可以通過(guò)與RASP的聯(lián)動(dòng),將該信息傳遞給RASP進(jìn)行進(jìn)一步的處理和響應(yīng)。RASP可以根據(jù)接收到的信息,動(dòng)態(tài)地調(diào)整應(yīng)用程序的防護(hù)策略。以防止攻擊者繼續(xù)利用已知的漏洞或攻擊方式。在產(chǎn)品部署方面也有優(yōu)勢(shì),利用HIDS的進(jìn)程采集能力,對(duì)web應(yīng)用進(jìn)程自動(dòng)釋放RASP檢測(cè)探針實(shí)現(xiàn)Web應(yīng)用安全能力的快速建設(shè)??偠灾?,RASP可與HIDS聯(lián)防聯(lián)控,但并不是一個(gè)安全賽道。

賦能CNAPP云原生整體防護(hù)平臺(tái):云應(yīng)用通常采用微服務(wù)架構(gòu),RASP可以采集到Web應(yīng)用在運(yùn)行過(guò)程中提供實(shí)時(shí)的入侵檢測(cè)和威脅阻斷能力,加強(qiáng)東西向流量的安全治理。同時(shí)對(duì)于混合云場(chǎng)景,RASP基于應(yīng)用級(jí)別的安全策略管理可以實(shí)現(xiàn)安全策略的統(tǒng)一,賦能CNAPP在應(yīng)用層面的安全建設(shè)??梢哉f(shuō),RASP作為CNAPP的重要組成部分,成為了其點(diǎn)睛之筆。

RASP部署須充分測(cè)試

在實(shí)施RASP解決方案的初期階段,選擇一個(gè)適當(dāng)?shù)臏y(cè)試和部署區(qū)域是至關(guān)重要的。為了最大化效率和效果,建議首先從企業(yè)的互聯(lián)網(wǎng)環(huán)境開(kāi)始,尤其是那些涉及到供應(yīng)鏈軟件或者廣泛使用的開(kāi)源軟件的部分。這些區(qū)域往往是外部攻擊的首要目標(biāo),由于其開(kāi)放性和連通性,也是潛在安全漏洞的高發(fā)區(qū)。

互聯(lián)網(wǎng)環(huán)境通常包括面向客戶的應(yīng)用程序和服務(wù),這些系統(tǒng)直接暴露在外部網(wǎng)絡(luò)中,因此對(duì)安全防護(hù)的需求尤為迫切。通過(guò)在這些系統(tǒng)上首先部署RASP,組織可以快速地識(shí)別和修復(fù)那些可能被黑客利用的安全漏洞。此外,供應(yīng)鏈軟件和開(kāi)源軟件由于其復(fù)雜的依賴和頻繁的更新,常常帶來(lái)額外的安全挑戰(zhàn)。RASP的引入可以實(shí)時(shí)監(jiān)控這些應(yīng)用的行為,有效地防御可能通過(guò)這些軟件渠道發(fā)起的攻擊。

陳佩文表示,開(kāi)始在這些關(guān)鍵區(qū)域進(jìn)行RASP的測(cè)試和部署,不僅可以提升這些系統(tǒng)的安全性,還可以為后續(xù)在全組織范圍內(nèi)的RASP實(shí)施提供寶貴的經(jīng)驗(yàn)和數(shù)據(jù)。這種逐步推廣的策略有助于確保每一步的成功,并允許IT和安全團(tuán)隊(duì)調(diào)整和優(yōu)化策略,以應(yīng)對(duì)發(fā)現(xiàn)的具體挑戰(zhàn)和需求。

RASP具備高運(yùn)營(yíng)屬性

在討論RASP系統(tǒng)時(shí),我們認(rèn)識(shí)到其強(qiáng)大的實(shí)時(shí)分析能力是基于其與應(yīng)用程序的深度集成。這種集成使RASP能夠有效地監(jiān)控和響應(yīng)應(yīng)用程序行為。盡管RASP設(shè)計(jì)旨在最大限度地減少誤報(bào),但在特殊情況下,如開(kāi)發(fā)者采用非常規(guī)編碼實(shí)踐或程序展現(xiàn)出非預(yù)期行為時(shí),誤報(bào)仍可能發(fā)生。因此,有效運(yùn)營(yíng)RASP平臺(tái)成為確保其持續(xù)有效性的關(guān)鍵環(huán)節(jié)。

為了有效運(yùn)營(yíng)RASP平臺(tái),首先需要建立一個(gè)系統(tǒng)的監(jiān)控和響應(yīng)機(jī)制。定期的策略審查和更新至關(guān)重要,這不僅能確保安全策略與應(yīng)用的發(fā)展保持同步,還有助于調(diào)整策略以應(yīng)對(duì)誤報(bào)。配置管理也至關(guān)重要,它需要細(xì)致考慮應(yīng)用的特性和業(yè)務(wù)需求,以定制適合的安全策略,并在不干擾正常業(yè)務(wù)流程的同時(shí),最大限度地減少誤報(bào)的發(fā)生。

經(jīng)過(guò)精心配置和持續(xù)優(yōu)化,一旦RASP平臺(tái)運(yùn)營(yíng)穩(wěn)定,誤報(bào)率將被降至極低。在這種環(huán)境下,每個(gè)觸發(fā)的安全告警都不應(yīng)被忽視,因?yàn)樗鼈兒芸赡苤赶驅(qū)嶋H的安全漏洞或正在進(jìn)行的攻擊。由于RASP的實(shí)時(shí)監(jiān)控和分析能力,它能夠捕捉到微妙的異常行為,這些行為在其他安全系統(tǒng)中可能被忽視。

每個(gè)告警都應(yīng)被視為一個(gè)重要的安全信號(hào),需要通過(guò)深入分析來(lái)確認(rèn)其性質(zhì)。這不僅包括驗(yàn)證告警的有效性,還需評(píng)估潛在的安全影響。這種分析對(duì)于防止未來(lái)的攻擊尤為關(guān)鍵,因?yàn)樗梢越沂竟粽叩男袨槟J胶图夹g(shù),幫助安全團(tuán)隊(duì)提前識(shí)別和阻斷新的威脅向量。

此外,每次告警的深入研究也為RASP的持續(xù)改進(jìn)提供了寶貴的輸入。通過(guò)分析告警的根本原因,團(tuán)隊(duì)可以進(jìn)一步細(xì)化安全策略,調(diào)整RASP配置以更好地適應(yīng)應(yīng)用的變化和新出現(xiàn)的安全挑戰(zhàn)。這種迭代過(guò)程不僅提升了RASP的效率和準(zhǔn)確性,也增強(qiáng)了整個(gè)企業(yè)的安全防御能力。

因此,每個(gè)由RASP產(chǎn)生的告警都值得被當(dāng)作一個(gè)學(xué)習(xí)和改進(jìn)的機(jī)會(huì),無(wú)論是對(duì)付潛在的安全威脅還是作為提升系統(tǒng)性能的反饋。這種嚴(yán)密的分析和響應(yīng)機(jī)制是高效運(yùn)營(yíng)RASP平臺(tái)的核心,確保企業(yè)能夠在維持正常業(yè)務(wù)運(yùn)營(yíng)的同時(shí),保障最高水平的安全。

陳佩文表示,任何一種鼓吹單款產(chǎn)品解決所有安全問(wèn)題的論調(diào)都不過(guò)是“大忽悠”。各個(gè)安全產(chǎn)品如被市場(chǎng)廣泛認(rèn)可,必然具備獨(dú)特的優(yōu)勢(shì),而是大而全地解決問(wèn)題,RASP之所以被青睞,無(wú)非是在應(yīng)對(duì)應(yīng)用0Day、內(nèi)存馬等新型攻擊的時(shí)候具有難以替代的優(yōu)勢(shì),并能在應(yīng)用安全資產(chǎn)盤(pán)點(diǎn)、API安全能力提升、老舊業(yè)務(wù)風(fēng)險(xiǎn)治理、第三方外采系統(tǒng)內(nèi)風(fēng)險(xiǎn)防護(hù)、云上應(yīng)用防護(hù)等層面發(fā)揮作用。

風(fēng)潮已至,無(wú)需猶豫!

分享到

doitmedia

相關(guān)推薦