威胁活动现已清晰可见

F5生态系统 | 2022年9月08日

正如F5《应用策略现状报告》（见下方图1）所指出的，如今大多数企业组织平均使用200至1,000个应用。这些应用可能分布在多个公有云、私有云和数据中心，因此，要确保其可用性和安全性并非易事。

图1：F5《2022年应用状况报告》

仅在过去一年中，我们就遭遇了广泛存在且被大量利用的漏洞，例如Log4j和Spring4Shell。安全团队夜以继日地工作，只为找出并缓解现有应用中的漏洞，同时竭力防范漏洞利用并减轻可能造成的损害。遗憾的是，我们通常只能了解到重大漏洞，因为并非所有漏洞都会得到报告和分类：NIST.gov指出，2021年共有25,646个漏洞，其中约28%根本没有得到报告。

许多组织已建立成熟的漏洞管理计划，通常至少每月修补一次生产系统。但一个突出问题是，根据F5 Labs的研究，平均每9至12小时就会披露一个严重漏洞，每天披露的严重漏洞接近3个。作为DevOps和SecOps专业人员的标准安全意识参考资料，OWASP Top 10也提到了易受攻击的代码遭利用这一问题。“易受攻击和过时的组件”已被列入最新的OWASP Top 10榜单（2021年），其严重性排名较上一版榜单（2017年）有所上升。

定向威胁活动通常会利用已知且已被利用的漏洞发起漏洞利用和协同威胁活动。这些威胁活动手段复杂，可能极难检测。在某些情况下，组织可能会“矫枉过正”，试图通过实施高度严格的安全策略来阻止攻击和威胁活动，但这样做可能导致合法用户也无法访问日常工作所需的资源。这可能成为一个非常紧迫的问题，对规模较小或人员不足的安全团队而言尤其如此。

不过，仍有应对之策。部署Web应用防火墙（WAF）是一种有效方法，有助于缓解攻击者利用易受攻击的代码，对应用和API发起协同攻击。即使贵组织未能及时修补已知漏洞，WAF也可以保护最关键的应用和重要API，抵御协同威胁活动发起的攻击和漏洞利用。当然，发起威胁活动的不法分子和犯罪分子往往十分狡猾，能够掩盖威胁活动，甚至避开经过精细调优的WAF。那么，WAF如何才能有效应对这些高级威胁发起的针对性攻击，同时避免阻止真实用户访问或影响其工作体验？

F5提供智能安全威胁服务，包括F5 Threat Campaigns。F5 Threat Campaigns是以下产品的订阅附加服务：F5 BIG-IP Advanced WAF；F5 Distributed Cloud WAF和NGINX App Protect WAF则已包含此服务。F5 Threat Campaigns利用安全分析、先进的机器学习和蜜罐，帮助组织防范常见威胁和漏洞利用，并深入了解活跃威胁活动的性质和目的。如今，组织需要实时且可付诸行动的威胁情报，以提升包括WAF在内的现有安全控制措施的有效性，并自动检测和阻止活跃的威胁活动。F5 Threat Campaigns正是为此而设计。

借助F5 Threat Campaigns和F5 WAF解决方案，安全运营团队可以设置精细管控的安全策略，保护组织、应用和API。该服务通过提前检测和阻止攻击，帮助保护应用和IT基础设施免受复杂威胁活动的侵害。F5 Threat Campaigns利用机器学习关联最初看似互不相关的威胁情报源，找出不同攻击和漏洞利用之间的共同线索，逐步呈现协同威胁活动网络的清晰全貌。这有助于安全团队有针对性地应对和缓解利用现有漏洞的攻击和漏洞利用行为。

F5 Threat Campaigns新增的功能F5 Threat Campaigns world map（见下方图2）于几天前发布。任何人都可以在F5.com上公开查看和使用。该地图集中呈现洞察和遥测数据，有助于更清晰地了解网络攻击活动。用户可以缩放地图，深入查看正在进行的威胁活动的详细信息。

图2：F5 Threat Campaigns地图

除了全新的F5 Threat Campaigns Map，F5 Threat Campaigns还包括：

实时更新F5提供的可操作威胁情报
提升Web应用安全性，误报率接近于零
采用经济高效的模式，稳妥降低风险
无需再进行威胁搜寻
查看准确且相关的威胁情报源

在着手应对并最终缓解Log4j漏洞利用的过程中，F5发布了多项防护措施、规则和策略更新，并积极、频繁地与客户和公众沟通。同一周，F5还发布了F5 Threat Campaigns，以应对活跃的Log4j漏洞利用活动。F5 Threat Campaigns客户还能够在威胁情报源中检测到利用Spring4Shell漏洞发起的攻击，从而阻止并缓解相关威胁（见下方图3）。