RASP技术进阶系列（二）：东西向Web流量智能检测防御

当今网络安全攻防较量已进入深水区，纵深防御体系已经成为基础。在HW场景下，关于应用漏洞攻击响应和恶意流量溯源分析的安全工作一直被视作重点，但是在实际事件处理过程中仍存在巨大的技术挑战。RASP技术作为新一代突破性的应用层积极防御技术，可在东西向Web流量自动化检测防御中起到关键作用。

1. 技术挑战分析

1.1 HW场景

HW场景工作阶段可分为HW前、HW中、HW后。防守方在前期主要开展已有资产清点、漏洞风险检查、主动加固、环境隔离等工作；在中期主要进行检测防御、监控告警、事件响应、问题修复、同步情报等；在后期主要进行HW工作总结、问题处置、体系优化等。

实战中，攻击方主要会集中寻找突破点，往往聚焦在应用漏洞、0day漏洞的准备上。而对于防守方，存在技术挑战之处除了在于如何快速进行漏洞攻击响应外，也包括事后进行攻击路径溯源、事中进行攻击流量精准分析和防御。

**1.2 纵深防御 **

安全建设是一场动态化、持久化的运动，纵深防御体系将安全建设变得更加系统化，旨在变被动为主动，基于木桶理论，从物理层到应用层提供层层防御机制。常规纵深防御有以下三处短板：

1）应用漏洞止步于漏扫，缺乏漏洞及时修复和0day漏洞免疫的机制；

2）东西向流量检测交由主机EDR和容器安全产品的微隔离技术，对于微服务间RPC协议及加密流量内容无法监测，并且无法追踪其在程序内的真实行为；

3）云原生环境下，内外网边界逐渐模糊，会暴露更多的API应用且微服务之间的访问调用关系更加复杂。

2. RASP东西向流量 检测防御 实践应用

关于流量访问的模式，南北向流量通常指外部客户端对内部服务器的访问流量，东西向流量通常指内部环境下不同服务器间的访问流量。

图1 主机间的南北向流量和东西向流量说明

在以往传统纵深防御体系里，通过EDR主机微隔离技术来跟踪描绘主机之间的流量访问关系如下图所示：

图2 主机东西向流量监控

随着容器化架构的普及，南北向流量和东西向流量新增了应用容器间的访问场景，如下：

图3 容器架构下南北向流量和东西向流量说明

但从入侵风险真实性判断和执行操作完整性审查的角度看，主机和容器间的流量监控还无法分析到具体应用程序解析请求后的真实执行情况。RASP技术则很好地补充了对应用容器内部程序间的流量访问和程序内部上下文执行过程的监控信息。

2.1 攻击流量内容可见

RASP基于其技术原理，可从某个Web应用或微服务应用获取到请求并分析其数据内容和函数执行过程。相对于网络边界设备对于加密流量无法审计的问题，RASP可从应用程序内部获取到完整解密后的请求数据。

图4 HTTP请求数据内容

并且，传统安全设备主要以HTTP/HTTPS流量分析为主，随着云原生技术的发展，微服务架构普及，以及各类API接口逐渐转为各类RPC接口协议（如Dubbo、二开RPC框架协议等）。传统安全设备几乎不对这类流量进行监控和解析，通过RASP技术则可模拟企业RPC协议解析过程进行适配，解决该类型流量内容无法可视的问题。

图5 Dubbo框架协议请求数据内容

2.2 程序内部上下文分析

审计东西向流量的目的是为了观察应用间是否存在恶意操作。由于传统安全技术的限制，当应用程序接收到请求后无法审计内部具体函数操作。而RASP可跟踪程序执行上下文信息，延展了东西向流量到应用程序内部的行为可视能力。

图6 东西向流量及代码执行过程跟踪

从外部入侵攻击的结果看，最终执行并达到攻击目的的位置，往往是程序对资源访问过程中存在缺陷的位置，如数据库访问、命令执行、网络请求、文件操作等。通过对程序内部函数堆栈及函数变量进行审查，可为安全人员补充应用层面的安全运营数据及可供审计的内容，包括具体访问的webshell后门、恶意命令、SQL注入语句、敏感数据内容及存储方式等。

2.3 微服务调用链路追踪

随着分布式、微服务架构、多语言、前后端分离模式的应用普及，溯源微服务间的攻击入侵路径存在难度。通过追踪机制，则可便捷地关联入侵请求所经过的微服务应用，提供精准的溯源数据。

图7 微服务链路追踪过程

用户通过浏览器发出HTTP请求，HTTP应用内部处理请求时由Dubbo服务消费方调用服务提供方触发一次Dubbo
RPC调用，再逐层返回给用户层。在这次操作过程中，若在Dubbo服务提供方检测到漏洞信息，希望可以向上溯源，找到触发本次Dubbo调用漏洞的源头调用信息，如：HTTP
GET/user/xmirror。从而溯源绘制调用链路路径，如下效果：

图8 溯源链路路径

2.4 攻击入侵响应和防护

纵深防御体系的最终目的是保障业务本身安全性。RASP技术原理核心在于可对最终应用进行输入流量检测，并在代码函数级别对变量进行检查跟踪、过程污点分析、恶意执行阻断，在应用漏洞和流量行为分析上具有明显优势。

经常暴露且危害较大的应用漏洞，大多存在于开源软件和第三方组件。黑客可以通过源码分析发现其中的漏洞，进而当发现攻击目标使用该开源软件或第三方组件时，便可以发起0day攻击。常态化安全运营下，对应用漏洞的修复或者补偿措施通常会采用如下三种方式：

1） 更新升级有漏洞的组件
。这是主流推荐的修复方式，但为了不影响业务，这种方式需要有较长评估测试周期。如果是0day漏洞，可能官方还未提供更新版本或者补丁；如果是老旧系统，存在版本已经停止维护的情况。

2） 使用漏洞情报中的临时修复方案
。这属于非官方修复方式，可能存在某些二次开发应用不适用情况，且如果涉及修改源码，需要有同时具备安全和研发能力的人员储备，不适合小型团队。

3） 添加防御攻击流量的WAF策略
。WAF属于边界防护，应用资产覆盖面广，易于操作。但如果规则策略严苛，容易造成无关应用流量的误拦截，影响正常业务请求。

漏洞在被发现并被攻击者利用产生危害时，被定义为一次完整的风险入侵事件。也就是说，如果应用存在漏洞，但攻击者无法利用该漏洞进行下一步操作，则该漏洞风险就不产生危害。RASP的基本原理是利用HOOK技术，通过替换函数体或在函数前后插入检测代码，实现在风险操作执行时进行阻断等。

图9 对Java中JDBC executeQuery方法插桩效果

对于一些经常爆发漏洞的开源软件和第三方组件而言，漏洞存在位置和利用方法可能不同，但是在进行利用时，执行到应用代码底层，往往都会聚集到一些“敏感”函数上，如反序列化、数据库执行、命令执行、文件操作、响应返回等相关函数。如果通过RASP技术对这些底层“敏感”函数调用做一定识别阻断，即可免疫大部分0day攻击。甚至在攻击利用时，如同WAF一般，对攻击请求流量进行过滤，但RASP相对WAF的优势在于更加具有颗粒度（可设置对某个应用进程生效）且流量内容透明。因此，从此类实践应用出发，RASP天然可作为漏洞热修复和免疫0day漏洞的应用安全疫苗。

3. 攻防角度下 积极防御体系的协同

以EDR技术为例，其作为传统纵深防御体系下主机安全层面防御方案，特点是采用自适应安全体系的架构，覆盖防御、监控、回溯和预测这四项关键能力，各项安全能力以智能、集成和联动的方式应对各类攻击。

图10 传统EDR部署图

一般而言，EDR主要在主机层面提供资产清点、风险发现、入侵检测、安全基线、病毒查杀等安全运营能力，对于应用微服务相关以及内存马都无力覆盖，对于反序列化攻击、代码注入等攻击类型也难以防御。但是在与悬镜云鲨RASP协同联动后，可在应用层面建立积极防御能力，并切实反馈东西向流量防护效果。

图11 悬镜云鲨分布式RASP部署图

从攻防角度看，应用层面积极防御的建立可促进纵深防御体系更加深入，推进业务应用实质性安全落地，主要包含以下方面：

1）应用资产管理：借助插桩节点推广覆盖，可梳理微服务应用IP、URL地址、API接口、第三方组件等，并绘制资产关联图谱；

2）运行时入侵检测：基于应用污点分析和上下文分析技术，实时检测应用漏洞利用、webshell访问执行、内存马执行等，并实时预警高危组件风险，定位具体应用；

3）攻击威胁疫苗：免疫通用Web应用漏洞及第三方组件安全漏洞，并对EDR难以防御的反序列化、代码执行等攻击进行更加有效的阻断；

4）应用安全基线：符合性应用层基线配置检测，覆盖中间件、单应用、微服务等；

5）敏感数据审查：基于可获取应用内部数据输入、操作、内容的先天技术优势，可针对业务侧关注的个人信息、业务数据等敏感信息进行合规审查，必要时进行输出阻断和过滤；

6）应用热补丁：对已上线的重要应用系统，当出现重大漏洞短时间难以修复时，可以动态下发热补丁进行修复，在不中断业务的同时为应用系统提供临时防护，为漏洞修复争取宝贵的时间；

7）东西向流量分析：以微服务架构作为基础，除了对应用间流量和东西向流量描绘，更能深入呈现应用程序内部具体执行操作，为安全运营提供从网络层到应用内部真实执行过程数据，分析攻击链路。

因而可以认为，主机层EDR技术和应用层RASP技术并不存在应用场景的冲突。RASP技术创造性实现了数字化应用发布的出厂免疫，不仅带来了对于未知入侵风险的直接防御能力提升，也将东西向流量的智能检测防御技术进行了延伸。EDR和RASP两种技术的联动，可天然作为积极防御体系下相互配合协作的伙伴，打通应用防护与治理的最后“一公里”。

应用场景的冲突。RASP技术创造性实现了数字化应用发布的出厂免疫，不仅带来了对于未知入侵风险的直接防御能力提升，也将东西向流量的智能检测防御技术进行了延伸。EDR和RASP两种技术的联动，可天然作为积极防御体系下相互配合协作的伙伴，打通应用防护与治理的最后“一公里”。

题外话

初入计算机行业的人或者大学计算机相关专业毕业生，很多因缺少实战经验，就业处处碰壁。下面我们来看两组数据：

2023届全国高校毕业生预计达到1158万人，就业形势严峻；

国家网络安全宣传周公布的数据显示，到2027年我国网络安全人员缺口将达327万。

一方面是每年应届毕业生就业形势严峻，一方面是网络安全人才百万缺口。

6月9日，麦可思研究2023年版就业蓝皮书（包括《2023年中国本科生就业报告》《2023年中国高职生就业报告》）正式发布。

2022届大学毕业生月收入较高的前10个专业

本科计算机类、高职自动化类专业月收入较高。2022届本科计算机类、高职自动化类专业月收入分别为6863元、5339元。其中，本科计算机类专业起薪与2021届基本持平，高职自动化类月收入增长明显，2022届反超铁道运输类专业（5295元）排在第一位。

具体看专业，2022届本科月收入较高的专业是信息安全（7579元）。对比2018届，电子科学与技术、自动化等与人工智能相关的本科专业表现不俗，较五年前起薪涨幅均达到了19%。数据科学与大数据技术虽是近年新增专业但表现亮眼，已跻身2022届本科毕业生毕业半年后月收入较高专业前三。五年前唯一进入本科高薪榜前10的人文社科类专业——法语已退出前10之列。
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-l6WI8zWa-1692845300299)(C:\Users\Administrator\AppData\Roaming\Typora\typora-user-images\image-20230809162658551.png)]

“没有网络安全就没有国家安全”。当前，网络安全已被提升到国家战略的高度，成为影响国家安全、社会稳定至关重要的因素之一。

网络安全行业特点

1、就业薪资非常高，涨薪快 2021年猎聘网发布网络安全行业就业薪资行业最高人均33.77万！

2、人才缺口大，就业机会多

2019年9月18日《中华人民共和国中央人民政府》官方网站发表：我国网络空间安全人才 需求140万人，而全国各大学校每年培养的人员不到1.5W人。猎聘网《2021年上半年网络安全报告》预测2027年网安人才需求300W，现在从事网络安全行业的从业人员只有10W人。

行业发展空间大，岗位非常多

网络安全行业产业以来，随即新增加了几十个网络安全行业岗位︰网络安全专家、网络安全分析师、安全咨询师、网络安全工程师、安全架构师、安全运维工程师、渗透工程师、信息安全管理员、数据安全工程师、网络安全运营工程师、网络安全应急响应工程师、数据鉴定师、网络安全产品经理、网络安全服务工程师、网络安全培训师、网络安全审计员、威胁情报分析工程师、灾难恢复专业人员、实战攻防专业人员…

职业增值潜力大

网络安全专业具有很强的技术特性，尤其是掌握工作中的核心网络架构、安全技术，在职业发展上具有不可替代的竞争优势。

随着个人能力的不断提升，所从事工作的职业价值也会随着自身经验的丰富以及项目运作的成熟，升值空间一路看涨，这也是为什么受大家欢迎的主要原因。

从某种程度来讲，在网络安全领域，跟医生职业一样，越老越吃香，因为技术愈加成熟，自然工作会受到重视，升职加薪则是水到渠成之事。

黑客&网络安全如何学习

今天只要你给我的文章点赞，我私藏的网安学习资料一样免费共享给你们，来看看有哪些东西。

1.学习路线图

行业发展空间大，岗位非常多

网络安全行业产业以来，随即新增加了几十个网络安全行业岗位︰网络安全专家、网络安全分析师、安全咨询师、网络安全工程师、安全架构师、安全运维工程师、渗透工程师、信息安全管理员、数据安全工程师、网络安全运营工程师、网络安全应急响应工程师、数据鉴定师、网络安全产品经理、网络安全服务工程师、网络安全培训师、网络安全审计员、威胁情报分析工程师、灾难恢复专业人员、实战攻防专业人员…

职业增值潜力大

网络安全专业具有很强的技术特性，尤其是掌握工作中的核心网络架构、安全技术，在职业发展上具有不可替代的竞争优势。

随着个人能力的不断提升，所从事工作的职业价值也会随着自身经验的丰富以及项目运作的成熟，升值空间一路看涨，这也是为什么受大家欢迎的主要原因。

从某种程度来讲，在网络安全领域，跟医生职业一样，越老越吃香，因为技术愈加成熟，自然工作会受到重视，升职加薪则是水到渠成之事。

黑客&网络安全如何学习

今天只要你给我的文章点赞，我私藏的网安学习资料一样免费共享给你们，来看看有哪些东西。

1.学习路线图

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-8y5ZJgaA-1692845300300)(C:\Users\Administrator\Desktop\网安思维导图\享学首创年薪40W+网络安全工程师 青铜到王者技术成长路线V4.0.png)]

攻击和防守要学的东西也不少，具体要学的东西我都写在了上面的路线图，如果你能学完它们，你去就业和接私活完全没有问题。

2.视频教程

网上虽然也有很多的学习资源，但基本上都残缺不全的，这是我自己录的网安视频教程，上面路线图的每一个知识点，我都有配套的视频讲解。

内容涵盖了网络安全法学习、网络安全运营等保测评、渗透测试基础、漏洞详解、计算机基础知识等，都是网络安全入门必知必会的学习内容。
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-iYAtPpfm-1692845300303)(C:\Users\Administrator\Desktop\网安资料截图\视频课件.jpeg)]

（都打包成一块的了，不能一一展开，总共300多集）

因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

如果你对网络安全入门感兴趣，那么你需要的话可以点击这里👉网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！

3.技术文档和电子书

技术文档也是我自己整理的，包括我参加大型网安行动、CTF和挖SRC漏洞的经验和技术要点，电子书也有200多本，由于内容的敏感性，我就不一一展示了。

因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

如果你对网络安全入门感兴趣，那么你需要的话可以点击这里👉网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！

4.工具包、面试题和源码

“工欲善其事必先利其器”我为大家总结出了最受欢迎的几十款款黑客工具。涉及范围主要集中在 信息收集、Android黑客工具、自动化工具、网络钓鱼等，感兴趣的同学不容错过。

还有我视频里讲的案例源码和对应的工具包，需要的话也可以拿走。

因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取
如果你对网络安全入门感兴趣，那么你需要的话可以点击这里👉网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！

最后就是我这几年整理的网安方面的面试题，如果你是要找网安方面的工作，它们绝对能帮你大忙。

这些题目都是大家在面试深信服、奇安信、腾讯或者其它大厂面试时经常遇到的，如果大家有好的题目或者好的见解欢迎分享。

参考解析：深信服官网、奇安信官网、Freebuf、csdn等

内容特点：条理清晰，含图像化表示更加易懂。

内容概要：包括 内网、操作系统、协议、渗透测试、安服、漏洞、注入、XSS、CSRF、SSRF、文件上传、文件下载、文件包含、XXE、逻辑漏洞、工具、SQLmap、NMAP、BP、MSF…

因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

如果你对网络安全入门感兴趣，那么你需要的话可以点击这里👉网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！