Web应用安全的10项重要实践

F5 Newsroom Staff

对于依赖数字服务、处理敏感信息或通过Web及移动平台与用户互动的任何现代组织而言，强大的Web应用安全都至关重要。这是因为Web应用通常会处理金融信息、个人健康记录和登录凭据等高价值个人数据，因此成为黑客的主要攻击目标。对于通过Web提供服务或开展业务的组织而言，强大的Web应用安全是维护客户信任、保持合规、防止数据泄露，并在网络威胁不断演变的情况下确保业务持续运营的关键。

Web应用和API数量激增。如今，一般组织会管理226个应用和404个API，再加上部署选项日益多样化，防御方所面临的潜在攻击面和复杂性显著增加，攻击者也有更多机会利用弱点。（F5研究显示，94%的组织跨多个位置或部署模式管理应用）。

鉴于这一挑战涉及面广，Web应用安全策略应以风险为依据，重点应对危害最严重且最可能发生的威胁。为此，需要识别可能针对您的应用或所在行业的攻击类型，确定每种威胁一旦发生可能造成的损害，并评估攻击发生的可能性。根据这些信息，优先将安全资源投入风险最高、潜在影响最大的问题，从而在现有时间和预算范围内尽可能提升防护效果。

以下是10项重要的Web应用安全最佳实践：

1. 了解主要的Web应用安全风险

非营利组织开放全球应用安全项目（OWASP）制定了十大关键Web应用安全风险列表。OWASP十大风险列表可为开发人员、安全专业人员和组织提供指导，帮助他们确定工作的优先级，以识别和缓解Web应用安全风险。

The OWASP 十大Web 应用安全风险包括：

1. 访问控制失效。如果访问控制和授权执行不充分，攻击者便可能访问未经授权的功能或数据，从而产生此漏洞。
2. 加密机制失效。此风险源于对传输中和静态存储的敏感数据保护不足。加密机制失效可能导致数据泄露、未经授权访问机密信息，以及不符合数据隐私法规要求。
3. 注入攻击。当攻击者将不可信或恶意数据注入命令语言或查询语言，或者应用程序未对用户提供的数据进行验证、过滤或清理时，就会出现注入漏洞，导致恶意命令被意外执行。
4. 不安全设计。这是指缺失或无效的安全控制措施和架构缺陷。当应用在设计上依赖本身不安全的流程，或未实施抵御特定攻击所需的安全控制措施时，可能会出现这些问题。
5. 安全配置错误。 Web应用框架、平台、服务器或安全控制措施缺乏安全加固，可能导致未经授权的访问、敏感信息泄露或其他安全漏洞。
6. 存在漏洞和已过时的组件。使用已过时、未修补或存在漏洞的组件（如库、框架或插件），可能使应用暴露于已知安全缺陷，从而增加漏洞被利用的风险。
7. 身份识别和身份验证失败。身份验证、身份识别和会话管理方面的弱点可能使攻击者能够入侵用户账户、密码和会话令牌，或利用不安全的会话处理机制。与密码相关的漏洞是此类风险最常见的来源。
8. 软件和数据完整性失效。这些漏洞源于应用程序代码和基础设施无法防止数据和软件完整性遭到破坏，也可能因应用程序依赖来自不可信来源、存储库和CDN的插件、软件更新、库或模块而产生。
9. 安全日志记录和监控失效。日志记录和监控不足会妨碍及时检测和响应安全事件，导致难以识别和缓解攻击或未经授权的活动。
10. 服务器端请求伪造（SSRF）。当应用程序从远程资源提取数据前，未对用户输入的URL进行验证或清理时，就会出现此类漏洞。攻击者可借此恶意访问Web目标，即使这些目标受到防火墙或其他防御措施的保护。

2. 从安全编码入手

安全编码是指按照安全最佳实践设计和编写代码，使代码更能抵御恶意行为者或恶意软件发起的攻击和漏洞利用。提高代码安全性更高效、更有效的方法，是将安全融入开发流程，确保从一开始就在应用中内置安全机制，而不是事后补充。这样可以在流程早期发现安全配置错误或其他问题，避免攻击者在生产环境中加以利用。安全编码还有助于实现更可靠的威胁建模和自动化，而这些是实施主动防御和抵御零日威胁的必要条件。OWASP安全编码实践检查清单是一份快速参考指南，有助于确保代码符合编码最佳实践。

3. 不要忽视API安全

API在现代应用架构中发挥着关键作用，使不同的软件组件、服务和系统能够高效通信和交换数据。API是微服务、云原生开发、平台间集成和AI驱动环境的基础。根据《2025年F5应用策略现状报告》，68%的组织使用API管理应用交付和安全，58%的组织则认为API蔓延是一大痛点。

然而，由于API在现代数字生态系统中无处不在，API日益成为攻击者的目标。API本身会暴露关键业务逻辑和敏感信息，例如用户数据和身份验证凭据，同时还为多种数字体验提供支持，包括在线访问和购买、银行及金融交易以及登录服务。

《OWASP API十大安全风险》于2019年首次发布，旨在强调API面临的潜在风险，并说明如何缓解这些风险。基于OWASP对API安全的洞察，以下4项关键API安全策略可帮助全面保护API。

• 发现。 识别、映射并记录整个环境中的所有API，包括已知、未知、已弃用和影子API，以全面了解API威胁面
• 监控。持续掌握API使用情况和行为随时间的变化。监控有助于检测可能表明潜在攻击、滥用或失陷的异常情况。
• 检测：使用自动化测试和运行时分析，在预生产阶段及推送到生产环境后尽早发现漏洞。未受监控和保护的API可能使组织面临严重风险。
• 防护：实施实时内联安全控制，例如Web应用防火墙（WAF）、速率限制、敏感数据掩码和API专用防护规则，以执行策略、缓解恶意或不需要的活动（包括自动化威胁），并防止通过API泄露敏感数据。

4. 采用可靠的监控和日志记录实践

有效的监控和日志记录对于维护强健的Web应用安全至关重要。这些最佳实践有助于快速检测漏洞和威胁、追踪攻击者的行为，并通过更新代码或应用额外的安全控制措施，加快响应和修复。

安全日志记录的最佳实践包括保护敏感数据：确保所有敏感数据均经过掩码处理，或完全不记录在日志中。切勿记录密码、信用卡号或个人身份信息（PII）等机密信息。此外，避免在错误消息中透露过多信息。面向公众的错误消息应限制详细程度，以免泄露可能被攻击者用于利用漏洞的信息。

5. 提前规划事件响应

制定全面的事件响应计划，确保组织在发生安全事件时能够迅速有效地采取行动。充分准备的计划应明确事件响应团队每位成员的角色和职责，并建立安全风险分类框架，用于评估事件的范围、严重程度和潜在影响。务必针对不同类型的威胁制定多种缓解策略，并纳入损害控制程序，以便在处理事件期间防止损害进一步扩大。还应制定内部沟通、报告和事件后续行动指南，包括总结经验教训并更新相关措施，以防止类似事件再次发生。

除了制定组织内部的事件响应计划和策略外，还应了解安全服务提供商可能也会提供事件响应服务。F5安全事件响应团队（F5 SIRT）为所有支持合同提供紧急事件响应服务，由经验丰富的安全工程师全天候响应威胁，并通过即时和长期保护计划提供全面的缓解措施。

6. 实施最小权限原则

最小权限原则规定，用户、系统、应用和进程应仅拥有完成特定工作或任务所需的最低访问权限，不应拥有额外权限。限制访问权限可减少可能被利用的访问点数量，从而缩小攻击面，并降低用户意外泄露或不当处理数据的风险。将最小权限原则应用于API等进程或系统时，可确保与API交互的每个API、服务或用户仅拥有执行其预期功能所需的最低访问权限，从而将恶意攻击对这些系统造成的潜在损害控制在一定范围内。最小访问权限还有助于满足《通用数据保护条例》（GDPR）、《支付卡行业数据安全标准》（PCI-DSS）和《健康保险流通与责任法案》（HIPAA）等法规和标准的合规要求，这些法规和标准通常要求对个人数据和敏感数据实施严格的访问控制策略。

7. 保持软件为最新版本

过时的软件很容易成为黑客的攻击目标，因为已知漏洞通常已有公开记录，很容易被利用。软件更新中包含的安全补丁可修复严重缺陷，并保护系统免受新兴威胁。请务必定期检查Web应用程序所有组件的更新和补丁，包括Web服务器、操作系统、数据库以及第三方库和框架。移除未使用的软件以缩小攻击面，并替换已无法获得安全更新的过时或不受支持的应用程序。

8. 遵循Web应用安全检查清单

制定并遵循Web应用安全检查清单对于保持稳健的安全态势至关重要。组织可以根据自身具体环境制定检查清单，也可以采用成熟的资源，例如《OWASP Web安全测试指南》。该指南提供了全面的最佳实践和测试流程。

安全测试的主要目标包括验证安全编码实践、识别并纠正安全配置错误，以及确保正确实施身份验证、授权和身份管理机制。其他目标包括测试输入验证规则、确认使用强加密、对业务逻辑进行压力测试以识别潜在的滥用场景，以及全面查找所有API并确保其安全，从而使其得到妥善保护。

9. 制定AI战略

随着AI技术日益深入地融入现代数字体验，制定并完善清晰的AI战略正逐渐成为Web应用安全最佳实践的重要组成部分。该战略既应涵盖如何保护AI驱动的应用免受新兴威胁，也应包括如何利用AI和机器学习增强整体安全态势。

生成式AI应用尤其会带来独特的安全风险，例如信息泄露、意外或不可预测的行为，以及恶意代码可能被注入训练数据。为缓解这些风险，组织应遵循安全编码、访问控制和漏洞测试等标准应用安全原则，同时还应解决AI特有的问题，包括验证训练数据供应链的完整性，并实施提示词清理、输入验证和提示词过滤等防护措施，以抵御注入攻击。

AI还可以在增强Web应用安全方面发挥重要作用。它有助于组织更快、更准确地检测威胁，主动识别并修补漏洞，同时自动执行重复性安全任务，从而提高IT和安全运营效率。

10. 使用全面的Web应用和API保护（WAAP）解决方案

随着应用日益分散、攻击者的手段愈发复杂，实施完整的Web应用和API保护（WAAP）解决方案变得越来越重要，这有助于为Web应用提供强有力的保护，并简化复杂应用环境中的安全运营。

WAAP解决方案集成多项核心安全功能，为应用提供端到端保护，其中包括用于防范常见Web应用漏洞利用的WAF。该解决方案还提供全面的API安全功能，包括API发现与监控、威胁检测和运行时保护。WAAP还可缓解网络层和应用层（第3、4和7层）的DDoS攻击，并提供机器人程序防护与管理功能，可检测、分类和阻止恶意自动化流量，同时确保合法机器人程序不受干扰地运行。

WAAP的主要优势包括集中管理安全策略，无论采用何种部署架构或位于何处，都能在所有环境中提供一致的保护，并为应用和API提供一套统一的安全控制措施。WAAP还可提升对整个威胁态势的可见性和异常检测能力，并通过详细的审计跟踪和事件关联，支持满足监管合规要求和开展事件响应。

完整的WAAP解决方案可简化安全运营，同时增强对日益复杂的应用生态系统的保护。

F5提供的Web应用和API安全

The F5 Application Delivery and Security Platform整合了关键服务，帮助确保从边缘到云端的每个Web应用、API及其底层基础设施都具备一致且全面的安全性、高可用性和智能编排能力，从而应对高强度工作负载。Application Delivery and Security Platform采用平台化架构，整合了F5的完整产品组合，可部署在任何位置。

如需了解更多信息，请观看此视频。

关于作者

F5 Newsroom Staff

F5 Newsroom Staff 的更多博客文章