应用正遭受围攻。攻击发生频率令人担忧，据马里兰大学开展的研究显示，攻击每39秒就会发生一次，而且成功概率高得惊人。
开发者越来越多地承担起保护这些应用的重任，也深知这一威胁。NodeSource和Sqreen在2017年末对Node.js开发者开展的一项调查中发现：“超过三分之一的受访者（34%）认为，其所在组织很可能在未来6个月内成为大规模攻击的目标。”鉴于我们的研究发现，86%的攻击最初以应用本身或身份为攻击途径，这种担忧完全合乎情理。
因此，以下发现可能令人不安：“35%的受访者不确定如何识别正在发生的攻击。”他们预料攻击会发生，却不确定攻击来袭时该如何识别。如果无法确定如何识别正在进行的攻击，就很难阻止它。
这使得另一个情况更令人担忧：23%的Node.js开发者（即23%）未采用任何形式的实时攻击防护。
好消息是，根据我们为《应用交付现状2018》开展的研究，大多数组织都采用了某种实时攻击防护措施。五分之四的组织采用了两种或更多技术，包括Web应用防火墙（57%）、运行时应用自我保护（11%）和用户行为分析（26%）。
所有这些技术都有一个共同特点，而这往往正是开发人员所欠缺的：可见性。可见性必不可少，因为要检测攻击，并尽可能识别攻击，就必须能够发现异常行为。
应用及其服务的使用模式通常较为可预测。例如，单点登录（SSO）应用通常在周一上午使用量较大，而在周五下午使用量较小。财务应用通常在发薪日、纳税期结束和财年结算等财务节点前夕使用量较大。
即使是面向消费者的应用，也有可预测的使用模式，可用于帮助检测异常（且可能危险的）行为。例如，2017年4月，Malauzai Software发布了当月的“小数据”报告，该报告基于从“435多家银行和信用合作社收集的使用数据，涵盖730,000名活跃网上银行和手机银行用户的1,320万次登录”。报告指出：“100%的最终用户都会查看余额和近期交易记录。这是因为登录后的首页会向所有用户显示余额和近期交易记录，而这正是他们使用数字银行的主要目的。在77%的情况下，用户所做的只是查看余额和交易记录。数字银行的所有交互中，只有23%会在查看余额和交易记录之外执行其他任务。”
因此，可以推断，用户突然对其他类型的交易产生兴趣，可能表明发生了攻击。
遗憾的是，并非每个应用都能随时提供此类统计数据。因此，可见性（监控）非常重要，它有助于建立基线，让异常情况更容易显现。当然，并非所有异常都意味着发生了攻击。工作周中段的SSO服务使用量激增，可能是因为公司密码更改期限临近，也可能是因为周一和周二恰逢假期，无人在办公室办公。尽管如此，建立基线仍有助于更快识别可能表明攻击正在进行的行为。
务必检查以下三种异常使用模式，确认它们是否确实属于攻击行为，因为很多时候确实如此。
1. 连接数激增。 也许您的应用只是突然走红了，但更可能是发生了其他情况。如果连接速率显著飙升，建议立即检查网络流量是否也相应增加。如果没有，就应提高警惕，因为这可能是一次攻击。GET洪水攻击是最容易实施的HTTP类DDoS攻击，因为攻击者只需向应用发送海量HTTP GET请求即可。他们通常甚至不会尝试访问真实URL，因为其目的只是尽可能占用连接，迫使应用陷入过载状态。
如果增长的连接专门针对提供登录功能的URL或服务，您可能正遭受旨在获取访问权限的暴力破解攻击。
检查是否出现服务器错误、性能持续下降和资源耗尽，这些可能是攻击仍在进行的迹象。
2. 出站响应大小。 出站响应突然增大，可能表明数据外泄攻击已得逞，攻击者已访问其无权访问的数据。这是SQLi攻击得逞的主要危险信号之一，因为攻击者经常使用通配符来获取未经授权的数据访问权限。SQLi是一种已得到充分研究的攻击途径，按理说我们现在应该已经能够妥善应对。但多份行业报告显示，SQLi每年都持续位列最常得逞的攻击之列。
从根本上说，这种攻击旨在绕过数据访问限制。因此，攻击者可能获取的不是一条记录（甚至不只是几条），而是数千条。攻击成功后会出现一个明显特征：返回的数据量将显著高于正常水平。
响应大小如有任何显著差异，都应立即调查。
3. 崩溃和故障。 虽然缺陷或意外的“错误”输入可能导致这些问题，但它们也可能表明有人试图使第三方库、Web服务器平台（或您的应用程序）发生缓冲区溢出，以利用新（或旧）漏洞。如今，系统可以自行“重启”固然方便，但 不应忽视系统需要重启的原因。
偶尔发生崩溃时，您可能会想忽略它，但请不要这样做。
不要忽视崩溃和故障，并考虑采用可隔离故障系统的架构，以便在检查前将其隔离。
显然，这份列表并未涵盖所有情况，但可以帮助您初步识别应用何时可能遭受攻击，并及时阻止攻击。
注意安全！
关于作者
Lori MacVittie是F5首席技术官办公室的杰出工程师兼首席技术布道师，在应用交付、自动化战略和基础设施领域拥有深厚的专业知识。无论是为AI智能体定义防护机制、剖析脆弱的多云架构，还是探索可扩展系统的极限，她都善于化繁为简。她在应用开发、IT架构以及网络和系统运维领域拥有30多年的行业经验。加入F5之前，她曾担任技术编辑，并因出色表现获得奖项。 MacVittie拥有计算机科学硕士学位，著述颇丰，出版作品涵盖安全、云和企业架构领域。她还热衷于桌面游戏和电子游戏，并且对奶酪有着毫不掩饰的鲜明见解。
Lori Mac Vittie 的更多博客文章相关博客文章
Thingbot正转变为攻击平台
Lori MacVittie重点介绍了F5 Labs对2018年1月至6月全球物联网设备攻击的研究，并指出了其中令人警醒的影响。物联网设备不仅持续遭到利用，还被转变为攻击平台，这意味着攻击者可以更充分地利用这个必然增长的市场。
借助F5全新Quick Start，在AWS上快速开展业务
在AWS re:Invent开幕前，我们很高兴与大家分享F5与AWS之间全新的Quick Start集成。F5的Tom Atkins将介绍该服务如何启动、配置和运行在AWS上部署工作负载所需的计算、网络、存储及其他AWS服务。