业务应用与数据安全防护指南总结
一、前言：应用安全的重要性
应用程序是数字时代业务运营的核心，承载着企业与客户互动、数据交换的关键功能。然而，应用程序层是安全事件的主要发生地，84%的安全事件源于此。因此，保护业务应用和数据安全是企业数字化过程中的重要任务。
二、数字化发展带来的变化
1. 数字化业务应用倍增
随着云计算、移动互联网和物联网等新技术的发展，应用程序数量急剧增加，攻击面也随之扩大。恶意软件、零日漏洞等高级威胁的兴起，对应用程序安全提出了更高要求。国家互联网应急中心数据显示，2021年上半年，CNVD收录的通用型安全漏洞中，“零日”漏洞数量占比达54.3%，Web应用漏洞占比达29.6%。
2. 安全也逐步适应变化
安全领域不断适应数字化业务的发展，企业通过综合运用多种安全技术，构建多层次、全方位的安全防护体系。咨询机构IDC预测，到2025年全球将创建7.5亿个云原生应用程序，2027年全球新产生的数据量将达到291ZB，近乎2022年的3倍。企业上云与大量中间件产品的采用，使得管理对象呈现类别多样、虚实融合的新现象。
3. 应用数据安全受关注
应用与数据安全的关系日益紧密，应用层面的安全措施直接关系到数据的安全与完整性，而数据层面的保护策略也影响着应用的稳定性与可靠性。近年来，应用与数据安全备受关注，各种政策措施不断出台，如《中共中央 国务院 关于构建数据基础制度更好发挥数据要素作用的意见》等，标志着我国对于数据的重视与保护进入全新阶段。
三、应用数据安全困境风险
1. 应用数据安全面临的困境
（1）应用依然潜藏风险
外部威胁不断增加，内部业务缺陷持续积累，使得运行中的应用处于风险态。老旧系统无法打补丁，不规范的业务调用也可能成为数据泄露的诱因。
（2）数据治理缺乏抓手
应用作为数据产生和流转的中心，成为数据治理关注的核心焦点。但许多企业不知道数据在业务中如何产生、如何流转，无法将数据安全合规落地到业务实处。
（3）攻击技术不断演进
攻击者用来破坏应用程序安全性的技术也在不断演进，给企业安全防御带来更大挑战。
2. 应用面临的十大安全风险
根据OWASP十大威胁列表，应用面临的主要安全风险包括：
- 失效的访问控制
- 加密失败
- 注入
- 不安全的设计
- 安全配置错误
- 易受攻击和过时的组件
- 认证和授权失败
- 软件和数据完整性故障
- 安全日志记录和监控失败
- 服务器端请求伪造
四、应用数据安全防护方案
1. 应用安全工具分类
应用安全工具主要分为安全测试工具和运行时保护工具。
（1）安全测试工具
- SAST（静态应用程序安全测试）
- DAST（动态应用程序安全测试）
- IAST（交互式应用程序安全测试）
- SCA（软件组成分析）
（2）运行时保护工具
- WAF（Web应用程序防火墙）
- RASP（运行时应用程序自我保护）
2. RASP方案架构
RASP基于应用程序插桩技术，提供一个全面、多层面的安全防护解决方案。通过在多个技术位置点上布设探针采集数据，并接入应用侧的采集流量信息，形成完善的数据要素，并将采集到的数据汇聚到安全平台侧进行管理。
3. RASP vs WAF
RASP与WAF在实现目标的方式上不同。WAF使用基于已知攻击形式的静态规则，分析外围应用程序流量，而RASP在应用程序内部嵌入安全防护模块，实时监控应用程序的执行过程。RASP提供了比传统WAF更好的应用保护，能够更精确地检测和拦截攻击。
五、应用数据安全具体能力
1. 应用“攻击”威胁防护
- 入侵攻击防护：实时检测并拦截多种入侵攻击，如内存马、SQL注入等，并阻断0day攻击。
- 内存马多重拦截：从内存马注入前拦截、内存马注入检测到运行时自动防护，层层拦截内存马的攻击路径。
- 0day感知拦截：基于无规则的逻辑检测，能够接管并监控应用程序的底层调用，有效进行检测和防护。
2. 应用“业务”安全治理
- 组件库清点：自动获取应用资产的信息，并完成风险的识别检测。
- 弱密码检测：通过登录行为来监控弱密码登录情况，并上报弱密码信息。
3. 应用“数据”全景防护
- 应用访问全景图：构建应用的访问全景图，全面了解应用的访问情况，包括外网访问、对外连接、数据库访问和关联应用等多个维度。
- API调用链路追踪：详细记录和展示API调用的完整路径，帮助开发者和运维人员理解系统内部的通信流程。
- 数据库访问监测：审计数据库查询语句，确保所有的数据库访问都是合法和安全的；展示应用服务与数据库之间的连接关系；检查返回的数据，确保敏感信息得到妥善处理。
六、应用数据安全场景案例
1. 某金融企业提升应用侧攻击防护能力
通过RASP的动态插桩模式，实时监控和防护各种可能的安全威胁，提高应用程序的安全性，极大减少漏洞修复的工作量，并减少数据泄露和其他安全事件的风险。
2. 某企业完善数据链成功发现0day攻击
通过插桩技术部署RASP方案，监控API调用情况，有效得知API的数据传递链路，在数据追踪上可以发挥出众的代码定位效果，成功发现公司内部某办公软件0day漏洞攻击行为，保障应用安全。
3. 某运营商解决外采商业软件安全问题
通过RASP方案的建设，检测并防护真实攻击，有效进行漏洞应急，无论是老旧系统存在的漏洞，还是新爆发的未发布补丁的漏洞，都能有效解决。
七、研究结论
应用与数据安全是企业数字化过程中的重要任务，需要综合运用多种安全技术，构建多层次、全方位的安全防护体系。RASP作为新一代应用安全技术，能够提供强大的攻击防护能力、业务安全治理能力和数据全景防护能力，帮助企业发现和治理应用风险，保障应用运行时的安全。
