打造互联网企业全能型WAF.pptVIP

打造互联网企业全能型WAF 分享人：Drizzle Part 0x1 需求在哪里？ 真命题 OR 假命题 1 我们所处的环境.. 我们面临的问题.. 83% 统计来自最近一年，经过安全团队确认，不同程度影响到业务的十余件安全事件， 83%都可归结于应用安全、业务安全方面 刷接口/刷点评 恶意扫描 漏洞探测 积分盗刷 撞库攻击 高频爬虫 薅羊毛 Web攻击 实际看到的攻击 安全监控系统试图打通应用、业务、网络、系统等不同维度的安全相关实时日志，进行关联分析，对攻击进行实时预警，而我们在其中，看到最多的，正是应用或业务层面的安全攻击。 传统的 解决方案 现状 如果某业务部门（需求方）遇到了爬虫和羊毛党的威胁… 请求流向管辖势力范围简图 用户请求 传统的 解决方案 现状 涉及5~6个研发团队，无数会议，N次排期，耗费大量资源，2个月过去了… 大家都很积极的参与… 传统的 解决方案 现状 结果经常是… Part 0x2 为什么不能简单一点？ 简单是终极的复杂 我们为什么选择WAF作为切入点 所以，能不能打造一款，能够快速解决大部分应用+业务安全问题的全能型WAF？ 保护数据安全 我们的思路 入门 进阶 技术点exp 风险验证系统（模块）： 1.利用Openresty在响应包中注入定制JS 2.JS Hook Ajax/JSONP/Href… 3.JS搜集设备环境信息 4.制作完美兼容各种浏览器的浮层 5.集成一套完善的人机识别系统（如行为验证码） 业务视角 传统的 解决方案 现状 前端改造排期 前后端数据打通项目 对接风控项目 对接反爬项目 前端改造排期 增加验证码排期 涉及5~6个研发团队，无数会议，N次排期，耗费大量资源，2个月过去了… 回顾一下以前的方式… 数据打通排期 新的业务安全方案 简单沟通，页面操作配置，灰度测试，上线… 问题解决 现在多了一种选择… Part 0x3 畅想高级玩法 想象是第一生产力 THANK YOU!