作为我国石油石化行业的盛会，此大会已连续举办了十余届，为推动石油石化企业数字化转型、智能化发展发挥了重要积极作用。在会上，瑞数信息高级安全顾问张凡发表了题为《自动化威胁的趋势与应对》的主题演讲，为石油石化企业应对自动化威胁带来了创新安全技术方案。
瑞数信息高级安全顾问 张凡
数字化时代 企业面临5大bots自动化威胁
数字化时代，bots自动化攻击已经演变为网络安全领域的顽疾，不断升级的bots自动化威胁持续牵动着行业的神经。
瑞数信息高级安全顾问张凡表示，瑞数信息作为bots自动化攻击防护领域的专业厂商，多年来持续输出bots自动化威胁报告，现阶段观察到5大bots自动化威胁趋势：
趋势1：bots攻击趋于常态化
在“十四五”规划以及数字化浪潮的驱动下，伴随着大数据、5g、云计算、人工智能等技术发展，各行各业都开始“互联网 ”的服务。同时在疫情的持续影响下，远程办公、在线教育、在线医疗、直播带货、社区团购等产业快速崛起，bots的攻击态势也趋于常态化。
据瑞数信息《2022 bots自动化威胁报告》显示，综合各行各业的网络请求流量来看，bots产生的流量明显高于正常访问流量，2021年bots访问占比持续上升至59.71%。在能源行业，恶意机器人的比例高达31.62%，这个比例还在进一步提升。
趋势2：零日漏洞攻击持续深化
0day漏洞利用数量和攻击流量持续增长，漏洞攻击和影响面逐步扩大，0day漏洞攻击越来越常态化。
根据cve和cnnvd披露的数据显示，2021年新增漏洞超过20000个，相比2020年漏洞数量进一步增加。除数量之外，开源和第三方组件的0day漏洞影响面扩大，软件供应链安全问题严峻。特别是在2021年底爆发的log4j核弹级漏洞，给整个jvm生态圈带来致命打击，影响至今。
在零日漏洞攻击持续深化的背后，是黑客组织进一步加大投入在各种自动化工具上，使攻击武器库更加庞大，发现和利用漏洞一体化，网络犯罪更加高效。
趋势3：api 攻击持续走高
api已成为企业数字业务生态系统的支柱，但同时也给了攻击者可乘之机。有数据显示，每个企业平均管理超过350种不同的api，其中69%的企业会将这些api开放给公众和他们的ag凯发旗舰厅的合作伙伴。随着api调用数量的增多和自动化工具的兴起，涉及的数据泄漏和欺诈风险正对企业的业务安全构成新的挑战。
趋势4：数据爬虫依然泛滥
恶意数据爬虫是自动化攻击请求中占比最大的一类，无论是传统行业、互联网行业，还是政企、医疗、能源、教育等，都遭受持续不断的爬虫访问。2022年瑞数信息监测到的恶意爬虫攻击达到1000亿以上，各个行业的信息服务业务是爬虫光顾的重灾区。在公开数据方面，恶意爬虫主要关注企业信息、公示信息、敏感数据等。
趋势5：ai武器更聪明
ai驱动的进攻性网络威胁的发展正在重新定义企业安全，特别是chatgpt的出现，使得网络安全从现阶段的人与人对抗、人机对抗，向基于ai攻防对抗的演化趋势愈加明显。目前，人类的应对措施已经落后于bots攻击。
瑞数动态安全 助力石油石化企业应对bots自动化威胁
能源是国民经济发展的重要支撑，其中石油石化安全直接影响国家安全、可持续发展以及社会稳定，保护石油石化企业的信息安全至关重要。面对bots自动化工具已成为攻击常态手法的挑战，石油石化企业该如何应对?
对此，瑞数信息高级安全顾问张凡表示，在bots自动化威胁发展的新趋势下，石油石化企业可从四大安全防护重点出发，并采用创新性的安全技术来应对新挑战。
第一，随着bots自动化攻击趋于常态化，bots自动化威胁防护体系应成为企业标配。
第二，api调用数量的增多和自动化工具的兴起，其涉及的数据泄漏等安全问题对业务安全构成新的挑战，api合规和安全应成为企业安全防护重中之重。
第三，如今企业业务应用形态从早期的web到如今的app、h5、小程序、api，呈现多样化趋势，因此支持waf、bots管理、api防护等多种安全能力的整合性防御机制势在必行。
第四，面对越来越复杂的自动化攻击，过去以人力为主的被动防御已彻底失效，企业应借助ai、自动化响应机制等新手段，筑高智能型主动安全防御门槛，实现攻防对抗能力持续升级。
据张凡介绍，作为中国动态安全技术的创新者和bots自动化攻击防护领域的专业厂商，瑞数信息提供涵盖web、app和api的全渠道应用安全、业务安全、数据安全、云安全等在内的专业网络安全产品及服务。
瑞数信息的核心技术在于独特的动态安全技术，转换了传统安全防护的视角，不再依靠攻击特征库、异常特征库的匹配来识别bots自动化攻击，而是通过“隐藏漏洞、变换自身、验证真伪”等方式提高黑客的攻击成本，从而实现更加主动和有效的主动防护。
据悉，瑞数信息的动态安全架构由四大核心技术构成：
• 动态封装，对网页底层代码做动态封装，隐藏攻击入口，提升攻击难度;
• 动态验证，运行环境验证，有效甄别“人”还是“自动化”攻击，打击自动化攻击的有效工具;
• 动态混淆，对客户端敏感数据进行混淆，保护数据传输安全，保护终端请求内容及交易内容;
• 动态令牌，一次性动态令牌，确保执行正确的业务逻辑，保障业务安全运行。
基于瑞数信息独特的动态验证、封装、混淆、令牌四大动态安全技术，企业可实现多种动态干扰功能：web代码混淆、js混淆、前端反调试、cookie混淆、中间人检测等，大幅提升攻击难度与成本，有效进行人机识别。
针对困扰企业的0day漏洞，瑞数动态安全技术可利用工具请求的固有属性出发，一旦识别到是工具行为，就可以直接对0day攻击进行阻断，实现对业务的动态保护。
除了0day漏洞，瑞数信息动态安全技术以多维度“分级分层”的对抗策略，能够有效应对各类自动化攻击，如：漏洞扫描、撞库、爬虫、应用ddos、高级定制工具、多源低频等等，直击黑产最底层，让自动化工具无法使用。
随着攻防对抗的升级，基于规则和特征的传统安全设备防护效率将越来越低。同时，仅凭企业有限的安全人力，也难以维持常态化的安全防护。基于瑞数信息的动态安全技术，无需依赖规则和特征库，就能够让自动化黑客工具失效，扭转攻防不对称的局面，真正做到从“人防”到“技防”。
张凡指出，动态安全与传统安全所代表的并非是不同品牌的安全产品，而是完全不同的技术、不同的防护原理，因此企业构建真正意义上的异构立体防护体系，实际上是要把动态安全防护与传统安全防护有机结合起来。
目前，瑞数信息“动态安全”主动式防护技术，已经保护了上万亿企业客户资产和5亿多账户。综合瑞数信息在多家客户进行的测试结果，瑞数信息可以为企业客户阻挡99%的自动化攻击，将安全运营效率提升超过80%，节省约21%的带宽和54%的系统资源。
结语
安全攻防是一场此消彼长、永不落幕的战争。在bots自动化攻击泛滥、0day漏洞攻击不断升级的今天，企业需彻底转换传统被动式的防护思路，将防护重心由“人防”向“技防”转变。基于瑞数信息的动态安全技术，石油石化企业能够有效抵御各类自动化攻击，实现防护能力升级、运维成本降级，建立起智能型主动安全防御体系。