借助智能技术，轻松抵御现实攻击

Joel Cohen

针对Web应用的攻击在手段和目标上差异显著，既有利用扫描伺机发起的攻击，也有针对性强且复杂的攻击活动；攻击者既包括技术水平有限的脚本小子，也包括资金充足的黑客组织。面对如此广泛的攻击，需要部署一套全面的安全工具，通过分层防护提供可靠的安全保障，就像小屋的屋顶可以遮雨一样。如今，WAF的标准防护功能、特征码和规则可以有效挡住大部分“雨水”。但面对复杂甚至有针对性的攻击活动时，这些措施仍处于劣势。根据F5 Labs的研究，每天大约会披露3个严重漏洞，组织根本无法及时跟上。

攻击活动是指在一段时间内，为实现明确目标而协调和策划的威胁活动及漏洞利用，通常针对特定目标。目标不仅可以是指定组织，也可以是某类Web基础设施。

攻击活动难以检测和缓解。主要有两个原因：一是攻击活动经过精心设计，能够规避常规的WAF规则和签名；二是检测此类活动需要配置覆盖面广但粒度较粗的安全策略，这可能产生误报，使安全团队不堪重负，并可能导致真正的攻击淹没在海量告警中而未被发现。

也许很多人对此并不陌生，这可能正是您阅读本文、寻找解决方案的原因。F5 Threat Campaigns便是其中一种解决方案，本文将介绍其工作原理。

F5 Threat Campaigns是一项威胁情报服务，可准确检测并阻止当前及持续进行的攻击活动，误报率几乎为零。该服务依托一支安全专家团队，专门发现、分析和深入剖析现实环境中正在发生的攻击，并使用多种工具，其中包括遍布全球、持续遭受威胁行为者攻击并成为其目标的蜜罐网络。

F5 Threat Campaigns可在当前持续进行的攻击活动波及企业之前，快速提供前瞻性防护。F5 Threat Campaigns使用简单，只需启用，无需额外配置。该情报服务提供丰富的上下文信息，帮助了解威胁活动的性质和目的，并会自动更新F5发布的最新攻击活动。

F5 Threat Campaigns是F5 BIG-IP Advanced WAF的订阅附加服务，并已包含在F5 Distributed Cloud WAF和F5 NGINX App Protect WAF中。

F5 Threat Campaigns的每项防护规则都专门针对在真实环境中检测到的网络攻击者所发起的攻击活动而创建。这不同于宽泛的特征码方法，后者可能会以通用方式尝试检测多种漏洞和漏洞利用行为。

这种针对特定攻击活动的方法可避免误报检测，同时以较低的维护成本防御真实发生且仍在持续的攻击。此外，由于误报风险较低且攻击活动识别准确，F5能够快速发布新的攻击活动条目，从在实际环境中检测到攻击到为客户提供相应防护，所需时间较短。

F5 Threat Campaigns可进一步揭示攻击活动的性质、攻击企图、对应用构成的风险以及攻击者的意图。这有助于安全运营人员更深入地了解可能面临的攻击、攻击方式和攻击者，并评估相关风险。

必须明确的是，F5 Threat Campaigns并非用于检测单次或随机攻击，而是专注于通常会被大量检测到的真实攻击，这意味着用户面临的风险更为广泛。例如，单次或随机攻击可能是某个攻击者对一个网站实施注入攻击，或渗透测试人员尝试利用某个理论上可被利用、但从未用于真实攻击的CVE。

因此，F5 Threat Campaigns 这类智能服务是对签名等其他WAF防护措施的补充，而非替代。它作为额外的防护层，可针对真实攻击提供特定防护，既不会产生误报，也无需任何调优。通过叠加Threat Campaigns等安全解决方案，F5可为应用提供可靠的安全防护，弥补攻击者原本可能利用的防护缺口。

今年早些时候，F5 Threat Campaigns world map正式发布，通过集中呈现洞察和遥测数据，帮助企业更清晰地了解网络攻击活动。在一篇博客文章中，Navpreet Gill 提到：“F5 Threat Campaigns world map……通过集中呈现洞察和遥测数据，帮助企业更清晰地了解网络攻击活动。”

Please reach out to your Channel Partner or F5 Account Manager for more info on how to add a subscription for F5 Threat Campaigns to your BIG-IP Advanced WAF or to begin using F5 Threat Campaigns on your F5 Distributed Cloud WAF or NGINX App Protect WAF solution today.

关于作者

Joel Cohen

Joel Cohen 的更多博客文章