自动化威胁是指由机器人、脚本或黑客工具包发起的恶意攻击，而非人为手动与Web应用交互实施的攻击。这些威胁可能会利用Web应用和API的固有漏洞，导致安全事件、数据窃取、账户接管、欺诈及其他有害后果。
The goal of the OWASP（开放全球应用安全项目）的“Web应用自动化威胁项目”旨在帮助人们全面、标准化地了解Web应用通常面临的各种自动化威胁。这些自动化攻击日益以移动应用和API为目标。该项目汇集对现实中针对Web应用的自动化攻击的研究与分析，并编制相关文档，帮助运营人员抵御这些威胁。
什么是自动化威胁？
自动化威胁是指由机器人、脚本或黑客工具包发起的恶意攻击，而非由人工与Web应用交互实施的攻击。这些威胁可能会利用Web应用和API的固有漏洞，导致安全事件、数据窃取、账户接管、欺诈及其他有害后果。
应用中设置购物车本身并非漏洞，但用于支持将商品加入购物车的业务逻辑也可能成为自动化程序的攻击和操纵目标，从而导致库存囤积。
该项目针对以Web应用为目标的各种自动化威胁，创建了相应的目录或分类体系。通过识别这些威胁并对其进行分类，开发人员、安全专业人员和组织可以更深入地了解自身面临的风险，以及这些风险可能对其系统造成的影响。对于每种自动化威胁，该项目还建议采取有效的应对措施和最佳实践来降低风险。OWASP旨在通过提高对这些威胁的认识，推动采取主动的安全措施，并提升Web应用的整体安全态势。
由于许多自动化威胁依赖机器人，因此有必要区分机器人管理与机器人缓解。机器人管理是指用于处理与Web应用交互的机器人的策略和实践。机器人管理的目标不仅是阻止或缓解机器人活动，还要区分合法的机器人流量（例如搜索引擎爬虫）与恶意机器人。机器人缓解专注于减少或消除恶意机器人对Web应用的影响。它包括实施防御措施，防止机器人成功实施可能导致账户接管（ATO）和欺诈的有害行为或攻击。
OWASP Web应用自动化威胁列表
以下是OWASP Web应用自动化威胁项目识别并汇总的自动化威胁列表。
- 账户聚合。这类攻击旨在从多个网站或平台收集用户账户凭据，通常用于身份盗窃、金融欺诈或未经授权访问敏感信息等恶意目的。账户聚合攻击利用自动化机器人或脚本，模拟人类与各种Web服务或应用程序进行交互。
- 账户创建。此类攻击是指恶意行为者使用自动化脚本或机器人，在平台或网站上创建大量虚假用户账户。攻击者可以利用这些虚假账户向平台大量发布垃圾内容、广告或恶意链接，干扰正常运行并影响合法用户。虚假账户还可用于操纵公众舆论以及网站或应用程序上的评论和评分，或冒充真实用户或公众人物来传播虚假信息或损害声誉。此类威胁还可能导致新账户开户欺诈（也称为第一方欺诈），并会对整个数字世界产生影响。
- 广告欺诈。这种威胁也称为点击欺诈，涉及通过欺骗性活动伪造在线广告的互动次数，例如点击量或展示量。这些欺诈行为通常通过自动化机器人或脚本实施，旨在为欺诈者牟利或操纵广告效果指标。
- CAPTCHA破解。此类威胁利用自动化技术绕过或规避CAPTCHA验证，对Web应用安全构成重大隐患，因为这会让恶意行为者绕过一种常见的机器人防御措施。CAPTCHA（全自动区分计算机和人类的图灵测试）是一种安全控制措施，用于区分人类用户与自动化机器人或脚本。攻击者可以使用图像识别软件破解视觉CAPTCHA，并利用机器学习算法破解听觉和拼图CAPTCHA。在某些情况下，攻击者会雇用人工CAPTCHA破解人员实时手动破解CAPTCHA。CAPTCHA虽是一种常用的安全控制措施，但仍可能被绕过，而且会给合法用户的客户体验增加阻碍，进而可能导致用户放弃交易，造成收入损失。
- 支付卡破解。这是一种自动化网络犯罪，攻击者通过猜测或破解支付卡的安全信息（如卡号、有效期和安全码（CVV/CVC））实施攻击。支付卡破解通常采用暴力攻击，自动化机器人或脚本会系统地尝试大量支付卡信息组合，直到找到与有效支付卡匹配的组合。识别出有效的支付卡信息后，攻击者可将其用于各种非法活动，例如未经授权的购买或金融欺诈。攻击者可能会从实体店拿走几张尚未充值的实体礼品卡，以判断礼品卡发行方是否采用连续编号模式。
- 盗刷。 这种自动化网络犯罪是指未经授权使用窃取的支付卡信息进行欺诈性交易或购买。犯罪分子利用自动化机器人或脚本，在各种网站或应用程序上测试窃取的信用卡或借记卡信息，以找出接受这些信息的目标。自动化机器人识别出易受攻击的目标后，犯罪分子便会使用窃取的卡信息进行欺诈性购买，通常用于购买高价值商品或数字服务，或将卡内可用金额转入其他账户。
- 变现。这是指将非流动资产或虚拟货币转换为现实资金或有形商品。这种威胁通常发生在攻击得逞之后，此类攻击会导致在线平台或账户中的贵重资产被盗。攻击者控制Web应用或在线平台上的用户账户后，可能会利用这些账户将账户所有者的资产变现，例如礼品卡、忠诚度积分或虚拟货币。机器人程序通常用于协助变现，因为它们能让网络犯罪分子大规模、高效地实施此类欺诈活动。
- 凭据破解。这种威胁属于暴力破解攻击，目标是Web应用的登录机制，例如登录页面、用户账户门户或身份验证API。攻击者利用自动化工具，系统地尝试常见的用户名和密码组合，直到找到有效组合，从而未经授权访问用户账户。攻击者随后可实施身份盗用、金融欺诈或其他未经授权的恶意活动。
- 凭据填充。凭据填充是常见的Web应用威胁形式之一。当网络犯罪分子获取用户名和密码组合列表（通常从暗网上购买），并尝试使用这些凭据组合访问其他受登录保护的账户时，就会发生凭据填充。由于许多人会重复使用用户名和密码，此类攻击（也称为账户接管）可能非常有效，使犯罪分子能够控制用户账户，进而窃取资产或实施第三方欺诈。
- 库存占用攻击。攻击者使用机器人将大量商品加入购物车，却不结账购买，从而使电商商品无法继续销售。由于系统会将这些商品登记为缺货，其他购物者无法购买；同时，因交易始终未完成，商家也无法售出商品。这种自动化威胁还有一种变体，即使用机器人预订或占用酒店客房、餐厅座位或航班座位，但不完成付款。
- 拒绝服务（DoS）和分布式拒绝服务（DDoS）。这些攻击旨在恶意干扰目标系统或网络的正常运行，使合法用户无法使用。在DDoS攻击中，攻击者利用海量流量或资源请求冲击目标，导致服务器过载和服务无法访问。此类攻击可通过多种方式实施，例如向目标发送大量数据包或特制请求。DoS与DDoS攻击类似，但DDoS攻击涉及多个攻击源，通常通过僵尸网络进行协调。僵尸网络是由攻击者控制的受感染计算机或设备组成的网络。攻击者协调多个攻击源，同时对目标发起攻击。攻击者利用僵尸网络的综合资源生成海量流量或请求，超出目标系统的承载能力，从而导致拒绝服务。此类攻击可能耗尽防火墙状态表、CPU资源和基础设施带宽。DoS攻击也可以通过向Web应用发送单个精心构造的请求来实施，例如执行复杂的SQL查询，导致CPU占用率升高和性能下降。
- 加速操作。此类威胁利用自动化机器人或脚本快速完成一系列应用流程，绕过现有的常规限制或检查。通过自动执行流程，攻击者或恶意用户可获得相对于其他合法用户的不公平优势。此类活动通常涉及欺诈，并可能给其他方造成损失。
- 指纹识别。威胁行为者将指纹识别作为一种信息收集技术，通过收集和分析用户Web浏览器或设备的独特特征或属性，创建具有辨识度的“指纹”。借此，威胁行为者可以跨不同网站和在线平台识别并跟踪特定用户，或对应用进行特征分析并随后发起攻击。
- 足迹探测。足迹探测本身并非自动化威胁，而是黑客攻击或侦察的前期阶段。攻击者利用机器人或脚本收集目标Web应用的组成、配置和安全机制等信息，以便更好地策划后续攻击，例如发起针对性漏洞利用，以获取未经授权的访问权限或利用特定漏洞。
- 倒卖或囤积库存。这是一种自动化购买行为。攻击者利用机器人，在库存有限的商品或服务上线销售时立即大量抢购，例如演唱会门票和限量版运动鞋。犯罪分子通过瞬间完成结账流程，大量控制高价值库存，通常再以大幅加价在二级市场转售，造成人为短缺、库存被占用，并引发消费者不满。
- 抓取。虽然抓取本身并非恶意行为，但它是一种从网站或Web应用程序中自动提取数据的过程。当抓取被用于未经授权或恶意的目的时，就会成为一种自动化威胁。例如，使用机器人程序收集目标网站的内容，以进行分析、重复使用或操纵价格，在竞争激烈的市场中尤其如此。抓取还可能影响网站性能，并导致合法用户无法访问网站。
- 指标操纵。当恶意行为者在Web应用中反复点击、请求或提交内容，蓄意影响计数、点赞数、展示次数、投票结果、频次或比率等应用指标时，就会发生指标操纵。攻击者可以利用模仿人类行为的自动化机器人与Web应用进行虚假交互，从而实施指标操纵。其目的是操纵和扭曲应用指标生成的数据，导致结果不准确或具有误导性。
- 狙击。 这是一种恶意活动，攻击者利用自动化机器人或脚本，在在线拍卖、销售或预订系统中获得竞争优势。“狙击”一词通常用于限时活动或供应有限的商品场景。在这些场景中，速度和精准时机至关重要，其他用户往往来不及竞价或报价。机器人执行操作的速度更快、准确度更高，因此狙击可让攻击者相较于手动参与活动的真人用户获得竞争优势。
- 垃圾信息传播。这是指由机器人传播并出现在Web应用的公开或私有内容、数据库或用户消息中的恶意内容或可疑信息。恶意内容可能包括恶意软件、IFRAME弹窗、照片、视频、广告以及跟踪或监控代码。攻击者还会通过垃圾信息传播，在论坛和其他消息应用中添加虚假评论，以伪造信息或传播恶意软件。
- 令牌破解。这种自动化攻击是犯罪分子批量枚举优惠券编号、代金券代码和折扣令牌所致。攻击者可能借此获得折扣、现金替代品、抵扣额度或参与特别优惠的资格。
- 漏洞扫描。此威胁是指使用自动化工具或脚本识别并利用Web应用中的漏洞。合法的漏洞扫描旨在发现薄弱环节以改进安全性，而作为自动化威胁的漏洞扫描则出于恶意目的，企图破坏应用的安全性。犯罪分子使用自动化扫描工具或脚本，对暴露在互联网上的应用进行系统性扫描，通常会在漏洞披露后立即行动。发现漏洞后，犯罪分子会尝试加以利用，以未经授权的方式访问应用、敏感数据或底层服务器基础设施。
采用集成式安全控制措施的理由
F5应对OWASP安全风险
F5支持OWASP基金会，认同其致力于提升软件安全性，并从多个层面提高人们对Web应用安全风险和漏洞的认识。事实上，Web应用和API面临一些共同的安全风险，在实施安全解决方案时需要考虑这些风险。例如：
- 薄弱的身份验证和授权控制
- 配置错误
- 业务逻辑滥用（凭据填充、账户接管）
- 服务器端请求伪造（SSRF）。
F5提供相应解决方案，帮助应对OWASP《Web应用自动化威胁项目》中列出的风险。F5 Distributed Cloud Bot Defense可防范绕过现有机器人管理解决方案的欺诈和滥用行为，并提供实时监控和情报以及基于机器学习的回溯分析，帮助组织抵御自动化攻击，同时不会增加用户操作阻力或影响客户体验。无论攻击者如何调整攻击手段，Distributed Cloud Bot Defense都能保持有效性，包括攻击目标从Web应用转向API，或通过伪造遥测数据或使用人工CAPTCHA解题服务来试图绕过反自动化防御。F5机器人管理解决方案可通过应用代理、平台和内容分发网络（CDN）提供灵活的部署点。
F5 Web Application Firewall解决方案还可阻止和缓解OWASP十大风险所列的多种风险。该榜单广受认可，列出了严重的Web应用安全风险。F5 WAF解决方案结合基于签名和行为的防护，包括来自F5 Labs的威胁情报和基于机器学习的安全防护，以应对不断涌现的威胁。它有助于减轻跨云、本地和边缘环境持续保护应用的负担和复杂性，同时通过集中式SaaS基础设施简化管理。F5 WAF还将防护集成到开发框架和CI/CD流水线中，并提供核心安全功能、集中式编排，以及通过单一仪表板进行的监管。该仪表板可提供360度视图，呈现分布式应用的性能和安全事件，从而简化应用安全防护。集成专用机器人防御的WAF可为缓解漏洞利用和自动化威胁等主要安全风险提供强有力的解决方案。
F5通过相关解决方案应对OWASP API安全十大风险中列出的风险。随着攻击面不断扩大、新兴威胁持续出现，相关解决方案可提供保护，满足应用演进和API部署增加带来的安全需求。 F5 Web Application and API Protection (WAAP) solutions为现代应用的整个攻击面提供全面防护，包括WAF、API Security、L3-L7 DDoS缓解，以及针对自动化威胁及其引发的欺诈的机器人防护。无论应用和API托管在何处，该分布式平台都能简化一致策略的部署，并将安全防护扩展至所有应用和API，同时将防护集成到API生命周期和更广泛的安全生态系统中。
F5还提供多层DDoS防护，这是一项托管式云交付缓解服务，可实时检测并缓解针对网络、协议和应用的大规模攻击，为在线业务提供高级安全防护；同样的防护也可通过本地部署的硬件、软件及混合解决方案提供。F5 Distributed Cloud DDoS Mitigation可在大流量攻击、针对特定应用的第3至4层攻击以及高级第7层攻击抵达网络基础设施和应用之前进行防御。
如需详细了解F5 ADSP平台组件如何防范OWASP安全风险，请参阅以下资源：
