RASP建設應該多部門協(xié)同聯(lián)動

有效部署和運營RASP通常需要安全部門的牽頭，與應用研發(fā)部門和運維部門緊密協(xié)作。在這種組織架構中，安全部門負責制定RASP的整體策略并監(jiān)控安全運營，而研發(fā)部門則負責將RASP技術集成到應用開發(fā)生命周期中，確保安全措施與應用功能的無縫對接。此外，與應用部門的充分溝通和協(xié)作是至關重要的，尤其在進行安全測試和落地實施時，因為應用層與主機層或容器層的業(yè)務需求和安全需求可能不完全對應。如果貿(mào)然由運維部門單獨推進RASP部署，而未經(jīng)過充分的應用研發(fā)部門測試和驗證，可能會導致業(yè)務流程中斷或數(shù)據(jù)安全風險。在一些特殊的組織架構中，如研發(fā)部門擁有自己的安全團隊或安全BP，RASP的推廣及運營可能會由研發(fā)部門的安全團隊或安全BP直接負責推進。這種模式不僅有利于快速響應安全事件，還能更有效地實施安全更新，因為研發(fā)安全團隊通常對應用的安全需求和潛在風險有更深入的理解。無論采用哪種組織架構，關鍵在于確保各部門之間的高效溝通與協(xié)作，以便RASP解決方案可以全面并有效地保護應用程序免受安全威脅。

One Agent是個偽命題

在討論將RASP與主機或容器安全解決方案集成時，經(jīng)常會出現(xiàn)一個問題：是否可以通過一個單一的Agent來同時管理主機層和應用層的安全（即所謂的 OneAgent）。陳佩文表示，實際上，盡管主機或容器的安全Agent可以用于下發(fā)RASP的Agent，便于統(tǒng)一管理和部署，但重要的是要認識到，這兩個Agent在功能和作用上仍然是分離的。主機或容器的安全Agent主要負責策略下發(fā)和基礎監(jiān)控，而RASP的Agent專注于應用層的實時分析和響應內(nèi)部事件。因此，盡管這兩個Agent可能共享某些基礎設施和通信機制，但它們各自處理不同的安全需求，不能簡單地視為一個單一的Agent。在組織架構中，為避免在職責劃分上出現(xiàn)混淆，建議逐步并謹慎地推進這些Agent的部署。通過這種穩(wěn)健的方法，可以有效的將部門間的職責劃分清楚，確保每個安全層面都能得到充分的關注和精確的配置。這種多Agent架構允許每個層級的安全措施都是針對其特定環(huán)境和威脅模型定制的，從而提供最有效的保護。One Agent，“把雞蛋放在一個籃子里”，其復雜性和潛在風險都會大大增加，一旦出現(xiàn)問題，排查難度也會成倍增加，甚至可能出現(xiàn)單產(chǎn)品問題影響整個客戶端的極端情況。

RASP可與多款產(chǎn)品、方案聯(lián)動

陳佩文介紹說，在構建一個全面的網(wǎng)絡安全策略時，RASP不僅作為獨立防護層存在，還能與其他安全產(chǎn)品和平臺高效聯(lián)動，形成更為嚴密的安全防線。以下是RASP聯(lián)動各個產(chǎn)品和場景的具體應用：

聯(lián)動安全運營中心（SOC）：RASP能夠實時監(jiān)控應用程序的安全事件，并將關鍵的安全警報和事件詳情上報給SOC。這種實時數(shù)據(jù)的整合使得SOC能夠快速響應潛在的安全威脅，優(yōu)化整個組織的安全響應策略，從而實現(xiàn)安全產(chǎn)品間的有效聯(lián)動。

上報API信息至API管理平臺：通過將RASP檢測到的API調(diào)用信息上報到API平臺，可以極大地增強API平臺對流量的管理能力和API識別的準確性。這種信息共享不僅有助于收斂和優(yōu)化API詳細信息，還能加強數(shù)據(jù)流轉的監(jiān)控和管控，確保數(shù)據(jù)安全和合規(guī)性。

與Web應用防火墻（WAF）協(xié)同：RASP與WAF的聯(lián)動為Web應用提供了一個多層次的安全防護網(wǎng)絡。通過這種協(xié)同，RASP能夠在應用層捕捉到的威脅信息可以用來增強WAF的防護策略，反之亦然，WAF在網(wǎng)絡層面攔截到的攻擊信息也可以被用來調(diào)整RASP的防護配置。這樣的相互協(xié)作不僅提升了防御效率，也實現(xiàn)了從數(shù)據(jù)層到應用層的全方位安全保護。

聯(lián)動主機安全產(chǎn)品HIDS：RASP可以與HIDS實時共享應用程序的行為信息和事件日志。RASP能夠捕獲應用程序的執(zhí)行上下文、輸入輸出數(shù)據(jù)等信息，而HIDS可以通過分析這些信息,結合對WEB應用進程的行為檢測來分析是否存在潛在的入侵行為。當HIDS檢測到異常行為或潛在的入侵時，它可以通過與RASP的聯(lián)動，將該信息傳遞給RASP進行進一步的處理和響應。RASP可以根據(jù)接收到的信息，動態(tài)地調(diào)整應用程序的防護策略。以防止攻擊者繼續(xù)利用已知的漏洞或攻擊方式。在產(chǎn)品部署方面也有優(yōu)勢，利用HIDS的進程采集能力，對web應用進程自動釋放RASP檢測探針實現(xiàn)Web應用安全能力的快速建設?？偠灾?，RASP可與HIDS聯(lián)防聯(lián)控，但并不是一個安全賽道。

賦能CNAPP云原生整體防護平臺：云應用通常采用微服務架構，RASP可以采集到Web應用在運行過程中提供實時的入侵檢測和威脅阻斷能力，加強東西向流量的安全治理。同時對于混合云場景，RASP基于應用級別的安全策略管理可以實現(xiàn)安全策略的統(tǒng)一，賦能CNAPP在應用層面的安全建設?？梢哉f，RASP作為CNAPP的重要組成部分，成為了其點睛之筆。

RASP部署須充分測試

在實施RASP解決方案的初期階段，選擇一個適當?shù)臏y試和部署區(qū)域是至關重要的。為了最大化效率和效果，建議首先從企業(yè)的互聯(lián)網(wǎng)環(huán)境開始，尤其是那些涉及到供應鏈軟件或者廣泛使用的開源軟件的部分。這些區(qū)域往往是外部攻擊的首要目標，由于其開放性和連通性，也是潛在安全漏洞的高發(fā)區(qū)。

互聯(lián)網(wǎng)環(huán)境通常包括面向客戶的應用程序和服務，這些系統(tǒng)直接暴露在外部網(wǎng)絡中，因此對安全防護的需求尤為迫切。通過在這些系統(tǒng)上首先部署RASP，組織可以快速地識別和修復那些可能被黑客利用的安全漏洞。此外，供應鏈軟件和開源軟件由于其復雜的依賴和頻繁的更新，常常帶來額外的安全挑戰(zhàn)。RASP的引入可以實時監(jiān)控這些應用的行為，有效地防御可能通過這些軟件渠道發(fā)起的攻擊。

陳佩文表示，開始在這些關鍵區(qū)域進行RASP的測試和部署，不僅可以提升這些系統(tǒng)的安全性，還可以為后續(xù)在全組織范圍內(nèi)的RASP實施提供寶貴的經(jīng)驗和數(shù)據(jù)。這種逐步推廣的策略有助于確保每一步的成功，并允許IT和安全團隊調(diào)整和優(yōu)化策略，以應對發(fā)現(xiàn)的具體挑戰(zhàn)和需求。

RASP具備高運營屬性

在討論RASP系統(tǒng)時，我們認識到其強大的實時分析能力是基于其與應用程序的深度集成。這種集成使RASP能夠有效地監(jiān)控和響應應用程序行為。盡管RASP設計旨在最大限度地減少誤報，但在特殊情況下，如開發(fā)者采用非常規(guī)編碼實踐或程序展現(xiàn)出非預期行為時，誤報仍可能發(fā)生。因此，有效運營RASP平臺成為確保其持續(xù)有效性的關鍵環(huán)節(jié)。

為了有效運營RASP平臺，首先需要建立一個系統(tǒng)的監(jiān)控和響應機制。定期的策略審查和更新至關重要，這不僅能確保安全策略與應用的發(fā)展保持同步，還有助于調(diào)整策略以應對誤報。配置管理也至關重要，它需要細致考慮應用的特性和業(yè)務需求，以定制適合的安全策略，并在不干擾正常業(yè)務流程的同時，最大限度地減少誤報的發(fā)生。

經(jīng)過精心配置和持續(xù)優(yōu)化，一旦RASP平臺運營穩(wěn)定，誤報率將被降至極低。在這種環(huán)境下，每個觸發(fā)的安全告警都不應被忽視，因為它們很可能指向實際的安全漏洞或正在進行的攻擊。由于RASP的實時監(jiān)控和分析能力，它能夠捕捉到微妙的異常行為，這些行為在其他安全系統(tǒng)中可能被忽視。

每個告警都應被視為一個重要的安全信號，需要通過深入分析來確認其性質。這不僅包括驗證告警的有效性，還需評估潛在的安全影響。這種分析對于防止未來的攻擊尤為關鍵，因為它可以揭示攻擊者的行為模式和技術，幫助安全團隊提前識別和阻斷新的威脅向量。

此外，每次告警的深入研究也為RASP的持續(xù)改進提供了寶貴的輸入。通過分析告警的根本原因，團隊可以進一步細化安全策略，調(diào)整RASP配置以更好地適應應用的變化和新出現(xiàn)的安全挑戰(zhàn)。這種迭代過程不僅提升了RASP的效率和準確性，也增強了整個企業(yè)的安全防御能力。

因此，每個由RASP產(chǎn)生的告警都值得被當作一個學習和改進的機會，無論是對付潛在的安全威脅還是作為提升系統(tǒng)性能的反饋。這種嚴密的分析和響應機制是高效運營RASP平臺的核心，確保企業(yè)能夠在維持正常業(yè)務運營的同時，保障最高水平的安全。

陳佩文表示，任何一種鼓吹單款產(chǎn)品解決所有安全問題的論調(diào)都不過是“大忽悠”。各個安全產(chǎn)品如被市場廣泛認可，必然具備獨特的優(yōu)勢，而是大而全地解決問題，RASP之所以被青睞，無非是在應對應用0Day、內(nèi)存馬等新型攻擊的時候具有難以替代的優(yōu)勢，并能在應用安全資產(chǎn)盤點、API安全能力提升、老舊業(yè)務風險治理、第三方外采系統(tǒng)內(nèi)風險防護、云上應用防護等層面發(fā)揮作用。

風潮已至，無需猶豫！

doitmedia