应用程序和 API 攻击呈上升趋势

Akamai Technologies 发布了一份新的互联网现状报告，标题为“突破安全漏洞：针对组织的应用程序和 API 攻击的兴起”。 

报告显示，亚太地区和日本（APJ）的金融服务业仍然是该地区受攻击最严重的行业，Web 应用程序和 API 攻击的增长创历史新高，攻击次数较之前增加了 248%年。

亚太及日本地区针对金融的 Web 应用程序和 API 攻击增长了 248%，明显高于全球近 169% 的攻击增长，这表明该地区的金融服务组织成为攻击目标，并且随着威胁行为者数量的增加而面临严重风险，该公司表示，他们攻击的频率和复杂程度。

近 250% 的攻击激增与 APJ 金融服务组织继续在数字化转型和以客户为中心的数字产品和扩展方面进行的重大投资服务有关。

这是金融服务组织的一个关键问题，因为数字化程度的提高将扩大其整体攻击面，为威胁行为者提供更多发动网络攻击的机会。

在过去 24 个月中，亚太及日本地区的总体 Web 应用程序和 API 攻击稳步增长，平均每天约有 1000 万次攻击。

还观察到攻击次数超过 6000 万次的日子，这表明区域组织继续面临高强度、有针对性的攻击的风险。 

本地文件包含 (LFI) 攻击被发现是 APJ 中最常见的攻击媒介，同比增长约 154%，超过了 XSS 和 SQLi 攻击。

LFI 攻击利用 Web 服务器上的不安全编码实践或实际漏洞来远程执行代码或访问本地存储的敏感信息。 

由于现有的绕过其输入过滤器的方法，基于 PHP 的 Web 服务器特别容易受到 LFI 的攻击。大多数流行的网站，包括 Facebook、WordPress 和维基百科，都运行 PHP——这增加了使用 LFI 的可能性。

APJ 中 LFI 攻击的增长表明威胁行为者如何不断改进其技术并将目标转向消费者行为以获得最大的投资回报。

报告还揭示了 APJ 当地市场的 Web 和 API 攻击模式的差异化趋势。

具体来说：

APJ 在 2022 年面临最多 Web 应用程序和 API 攻击的前三大行业是金融服务（20 亿）、商业（9.8 亿）和数字媒体（3.93 亿）。

澳大利亚和日本被公认为 APJ 内著名的金融中心，其金融部门的 Web 应用程序和 API 攻击增幅最大，同比增长 259% 和 1,635%。

澳大利亚在 2022 年经历了持续且持续增加的 Web 应用程序和 API 攻击模式，并出现了几次大爆炸式攻击，而日本则主要出现大爆炸式攻击类型。这表明这些国家/地区的特定垂直行业和组织正成为攻击目标。

到 2022 年，针对日本高科技行业的攻击也同比增长了 116% 以上，这很可能是由于该国在研发和先进技术方面的大量投资。

印度经历了针对零售和商业部门的更持久和一致的攻击活动，Web 应用程序和 API 攻击在 2022 年同比增长近 90%。

印度在线零售商的大量存在和不断增长的电子商务支出使该行业成为网络犯罪分子有利可图的目标。在金融服务领域，印度的攻击同比增长了 56%。

从 2021 年到 2022 年，APJ 面临攻击增长最快的前三大行业是金融服务 (248%)、制造业 (162%) 和公共部门 (139%)。

网络犯罪分子不断地利用 Web 应用程序和 API，并将继续使用新的攻击技术来最大化他们的投资回报。APJ 的金融、制造和商业部门是数字创新的中心，因此是攻击者非常有利可图的目标。

威胁形势表明向远程代码执行的转变，以及新兴的攻击媒介，包括服务器端请求伪造 (SSRF)、服务器端模板注入 (SSTI) 和服务器端代码注入。

随着组织继续面临无休止的攻击企图，需要随时了解最新的攻击趋势和最佳实践，以调整缓解策略。