【DevSecOps】2024 年需要警惕的 10 大 Web 应用程序安全威胁
推荐超级课程：
由于 2023 年出现了许多创新，我们之前所了解的许多内容都发生了巨大变化；随着其中一些重大变化，威胁格局也发生了转变，一些旧威胁减少了，一些新威胁增加了。
技术每天都在不断变化，当我们谈论技术和相关威胁时，这可以被标记为不变的。随着威胁行为者集中精力获得大笔报酬，他们的技术已经发展到难以想象的程度，因此了解即将发生的事情将帮助您做好准备，并确保您或您的公司不会成为新闻头条。
攻击的复杂性增加
到了 2024 年，您的传统业务即将过时，这些业务无法满足消费者希望通过数字门户而不是访问实体店轻松购物的需求。
这些需求要求企业求助于技术，将其整个运营转移到线上；但如果没有保护其数字足迹所需的知识，他们很可能会成为攻击者的目标和利用。
如果您认为您的企业规模较小，而攻击者只对大公司感兴趣，那么您就大错特错了，因为攻击者不会歧视您，并且会攻击您的盔甲中任何可能的漏洞。ASBN 在 2023 年进行的 一项调查显示，在接受调查的 551 家小企业主中，有 73% 的人在一年内遭遇过网络攻击。
汲取过去的教训：OWASP 前 10 名
在进入预期的内容之前，我们需要确保我们已做好准备，并已缩小与已知威胁的所有差距，还有什么比查看 OWASP Top 10 列表更好的方法来解决这些威胁呢？
此列表包含 Web 应用程序的主要威胁趋势，在设计 Web 应用程序时需要考虑这些威胁趋势。通过确保此列表中提到的所有领域都得到解决，您可以放心，您已成功修补了大多数可供攻击者利用的主要攻击媒介。
如今，大多数 Web 应用程序都包含 API 并通过 API 进行通信。该技术允许使用公共流连接和集成不同系统的无缝方法。我们不要忘记，由于 API 的广泛使用和通常实现的安全功能有限，API 也成为攻击者的目标。
OWASP 还在 2023 年引入了一组特定于API 的新威胁。通过确保您的 API 遵循这些标准并解决所有必要的威胁，您可以确保您的 API 也受到关注。
2024 年需要警惕哪些安全威胁？
现在我们已经了解了 2023 年的突出威胁，接下来我们来看看 2024 年可能优先出现的威胁以及它们可能产生的一些潜在影响。
1.供应链攻击
多年来发生了几起值得注意的供应链攻击，例如使用Kaseya 部署勒索软件的攻击。在每一个案例中，看似无辜的企业供应链都成为渗透的目标。
随着 Web 应用程序安全性的诸多进步，网络攻击者现在正集中精力渗透 Web 应用程序和企业的供应链，因为某些供应链可能不如其客户的安全。
因此，组织进行适当的尽职调查和审计并执行供应商必须遵守的安全基准至关重要，以确保其网络态势不存在允许攻击侵入的漏洞。
2.API滥用
我们已经讨论过 API 及其对 Web 应用程序世界的重要性。2023 年 基于 API 的攻击数量稳步增长只能意味着 2024 年将继续增加。
由于保护 API 的重要性必须成为任何组织的首要任务，因此解决OWASP API 安全 Top 10–2023 中强调的威胁是一个很好的起点。这应该可以让您很好地了解针对 API 的持续威胁以及您可以实施的一些缓解控制措施。
3 Serverless函数劫持
无服务器计算由于其节省成本和易用性而得到了显着的繁荣和普及。然而，由于其云服务提供商特定的控制和配置，开发人员可能很难确保这些功能及其运行 Web 应用程序的代码的安全。
这些功能必须根据云服务提供商提供的标准框架或通过针对您可能运行的无服务器服务运行安全基准来保护。这些服务中的错误配置可能会授予攻击者对这些服务的访问策略中允许的任何资源的访问权限，从而导致许多广泛的攻击，从而损害组织内运行的其余服务。
4 自动机器人攻击
自动化机器人会模仿人类行为来欺骗各种网络应用程序接受无效或欺诈性输入，从而引发了严重的问题。多年来，这一直是一个持续存在的问题，而且由于大量 Web 应用程序仍然缺乏自动机器人检测和保护控制，因此它看起来不会很快停止。
一种流行的机制是实施验证码机制，例如Google 的 reCAPTCHA， 向用户或在这种情况下，自动化机器人提出技术上只有人类才能通过的挑战！这是一种行之有效的机制，可以解决自动化机器人造成的问题。
5 开源库漏洞
开发人员总是使用开源库来阻止自己重新发明轮子，这减少了开发时间，因为这些开发人员需要的功能已经被其他人开发成开源库。
您在开发 Web 应用程序时一定使用过无数的开源库，但是，您是否问过自己这些库是否可以安全使用？它们更新了吗？这些库中是否存在漏洞？这些是否定期维护？
这些都是您在使用这些开源库时需要问自己的非常好的问题，因为库中的单个可利用漏洞将使您的 Web 应用程序容易受到攻击。
趋势表明，攻击者以Log4J 等广泛使用的库为目标，以利用和危害数百万个 Web 应用程序。此类威胁背后的意义在于，有时开发人员或系统管理员甚至可能不知道 Web 应用程序中正在使用哪些库。
因此，这些库必须放入单独的清单中并进行维护，并实施适当的漏洞评估和更新。
6 零日攻击
零日漏洞潜伏在 Web 组件、应用程序甚至硬件中，直到攻击者发现它们并利用这些漏洞来危害 Web 应用程序以及任何可能连接的系统。
由于这些零日漏洞在暗网市场上的可用性，零日攻击的流行度显着增长，攻击者可以付费来获取这些漏洞！
大多数零日攻击都针对数百万组织使用的 Web 组件或应用程序，因为它们的广泛使用使得攻击者能够影响最大数量的组织。
您只能采取有限的控制措施来保护自己免受这些零日攻击，因为有时您甚至不会知道它，直到为时已晚。您可以采取的最简单的措施之一就是及时了解网络空间以及这些零日漏洞的任何披露；如果您发现自己容易受到攻击，则需要立即修补易受攻击的组件。
7.DDoS 攻击
多年来，我们发现 DDoS（分布式拒绝服务）攻击显着增加，这些攻击的能力和风险也在稳步增加。
我们目睹了2023 年有记录以来最大规模的 DDoS 攻击，其规模达到惊人的每秒 3.98 亿次请求； 这是针对您的 Web 应用程序的 398 个请求！随着攻击者使用大规模僵尸网络，有些甚至出售给任何人购买，无法确定这些攻击到 2024 年将会发展到什么程度。
8 内部威胁
到目前为止，我们一直关注外部攻击者可能发生的攻击，但我们没有忘记组织内部可能发生的攻击！
由于员工心怀不满，甚至有些员工决定通过破坏 Web 应用程序来赚取额外的钱，这些攻击呈现出稳步增长的趋势。
应对这些内部威胁的唯一方法是实施足够的安全监控、审批流程和审查。这些控制措施旨在对现有流程进行治理，在这些流程中，单个员工或实体在未经事先批准的情况下无法进行重大更改。
9 安全配置错误
安全配置错误长期以来一直是一个问题，甚至在 OWASP Top 10 中突出显示！这仍然是一个主要问题，因为开发人员和管理员似乎并没有考虑保护构建 Web 应用程序的许多组件的安全。
他们可能会保护某一方面，但由于各种原因忘记或忽视其余的组件。然而，验证 Web 应用程序安全配置的正确做法可以减少在生产环境中暴露安全错误配置的机会，否则会造成严重损害。
10.人工智能驱动的攻击
随着人工智能领域所发生的一切，我们已经看到了如此多的技术进步，带来了诸多好处。然而，如果过去一再证明这一点，只要有新技术被用来行善，就总会有人用它来作恶！
我们已经看到人工智能被用于恶意攻击，例如DeepFake 被用来操纵语音、视频和图像，甚至生成式人工智能被用来创建恶意网络钓鱼电子邮件甚至恶意软件。
随着这些类型的进步以及攻击者使用人工智能发起攻击，我们迟早会看到针对 Web 应用程序的不同类型的网络攻击，这是我们以前从未见过的。
这些类型的攻击没有真正的答案，因为我们还没有看到攻击者将人工智能运用到什么程度，并将其用于攻击大公司和任何基于网络的应用程序。因此，我可以说，人工智能驱动的攻击的未来尚未显露出其丑陋的一面，我们只是看到了一场革命的开始！
结论
考虑到我们所经历的一切，我们需要明白网络空间一直在发展，我们迟早会看到其中一些攻击！因此，保护我们的 Web 应用程序的最佳方法是让我们自己保持最新状态，并从传统的反应方法切换到主动方法，即使在攻击发生之前，我们也可以采取措施强化我们的控制。
2024 年将带来一系列我们以前从未见过的全新攻击和威胁趋势，但我们也将继续看到 2023 年全年出现过的大多数攻击。
2024 年，网络社区的未来将有很多变化；让我们都尝试安全地应对这些威胁。