钻过安全漏洞：应用程序和 API 攻击呈上升趋势

为了抵御 BOLA 攻击带来的风险，下面来介绍一些相关的最佳实践：

• 对使用客户输入的 API 执行授权检查，以确定当前用户是否有权访问请求的资源

• 使用通用唯一标识符 (UUID) 作为资源 ID，而不是连续数字 ID

• 编写并运行测试以评估您的 API 端点是否存在 BOLA 漏洞

受损的身份验证

我们还着重介绍了受损的身份验证漏洞（在新名单中排名第二），其中的弱点是难以验证访问帐户的用户是否经过授权。这种类型的攻击需要具备一定程度的专业知识，因此实施难度较大，但一旦成功就会造成非常危险的影响，例如帐户接管。这就有必要使用安全算法进行风险审查，包括身份验证流程风险，从而避免将敏感数据存储在载荷中，并且将生成的唯一标识符用于 KID 参数（如果正在使用）。

2022 年是应用程序和 API 攻击创下高峰的一年，而与零日漏洞的抗争也远未到结束之时。2021 年底，继 Log4Shell 出现之后，各家企业纷纷发现自己还存在其他重大漏洞：Atlassian Confluence 漏洞、ProxyNotShell，还有 Spring4Shell。

我们还发现恶意软件趋势的浮现（例如 SSTI 和服务器端代码注入）给业务带来严重威胁，因为它们可能会导致远程代码执行和数据渗漏。此外，SSRF 攻击也呈现爆发态势：我们观察到，针对我们客户 Web 应用程序和 API 的 SSRF 攻击尝试达到平均每天 1400 万次，这些攻击可能会导致攻击者入侵企业内部资源。

开源软件中的零日漏洞变得越来越普遍，再加上让远程代码执行得以实现的 SSTI 手段，这些对企业来说无疑是雪上加霜。在高级的持久性威胁活动和 HTTP 请求盗取中，我们还发现了利用 Web shell 的攻击手段。

不同的看法

然而，在对中值数据集进行观察之后，我们对每个垂直行业的攻击范围有了不同的看法。这一数据显示，制造业在 2022 年遭受的攻击次数已经超过了高科技和金融服务行业，这也与我们之前在最新 SOTI 报告《 攻击快车道：深入了解恶意 DNS 流量 以及我们的全球勒索软件威胁报告。  

尽管制造业公司遭受的应用程序和 API 攻击在规模上并不一定比得上直接面向消费者的垂直行业（例如零售业），但攻击事件的影响可能会非常严重。2022 年的攻击数量中位数也急剧上升了 76%，令各大企业如鲠在喉。针对此行业内运营技术实施的网络攻击频频得手，带来了供应链问题等现实影响。

此外，由于医疗物联网 (IoMT) 的采用造成攻击面扩大，医疗保健及制药企业的攻击数量中位数也大幅上升了 82%。许多医疗保健提供商都在使用大量传统系统、高度联合的系统以及 IoMT 数据，因此，强大的分段技术和数据流监测变得非常重要。患者安全至关重要，不容有失。  

本期摘要只是略为揭示了我们报告中包含的丰富数据和技术详情。建议您完整阅读报告，并将从中获得的经验运用在您的业务当中。

一些建议： 

• 不要等到危机降临才来思考如何抵御不同类型的新漏洞或零日漏洞，无论是对协议（代码）、产品还是固件中存在的漏洞，企业都应未雨绸缪。尽管这些抵御措施需要的策略都略有不同，但是从及时响应的角度来看，建立流程至关重要。 

• 要想抵御这些攻击手段，就需要在边缘部署 Web 应用程序和 API 保护/Web 应用程序防火墙 (WAAP/WAF)、在内部实施 分段/安全围栏，并在源头尽快完成修补。 

• 利用报告中讨论的关键问题和技术，推动规划您的穿透测试/红队，让您能够评估自己的风险状况。对风险状况的分析应该按行业执行，有时还需要按区域执行。从他人的过失中汲取教训！

下一个重大漏洞随时可能出现，您需要立即构建或验证自己的应对策略。