拼多多、抖音、優(yōu)衣庫、Facebook……過去的一年中，越來越多的公司加入了“Bots自動化攻擊受害者”的名單。盡管當(dāng)前人們都認(rèn)可網(wǎng)絡(luò)安全比以往任何時候都更重要，企業(yè)也在為網(wǎng)絡(luò)安全投入更多的資金和資源，但是毫無疑問，網(wǎng)絡(luò)安全仍然是企業(yè)CIO們的頭等大事。

　　日前，瑞數(shù)信息重磅發(fā)布《2020 Bots自動化威脅報告》，基于公司多年來在金融、政務(wù)、電信、電商等行業(yè)的數(shù)百例防護(hù)案例，及對各類自動化攻擊事件的整理回溯，瑞數(shù)信息提出了2020年Bots自動化威脅的七大發(fā)展趨勢。

　　01 移動端成為下一戰(zhàn)場

　　在移動互聯(lián)網(wǎng)高度發(fā)展和普及的今天，企業(yè)越來越多地將業(yè)務(wù)從PC端遷移到移動端。在業(yè)務(wù)遷移的同時，黑客的攻擊重心也會隨著業(yè)務(wù)的遷移而轉(zhuǎn)移，企業(yè)面臨的攻擊也比以往更復(fù)雜和多元化。除了傳統(tǒng)的漏洞掃描、APP客戶端逆向破解外，還會有大量的非法第三方APP請求、API接口濫用、撞庫、批量注冊、刷單、薅羊毛等業(yè)務(wù)相關(guān)的攻擊，移動端的對抗也將進(jìn)入下一階段。

　　02 前端對抗持續(xù)增強

　　前端作為整個系統(tǒng)的大門，是Bots 攻防中雙方必爭之地，各種對抗手段不斷涌現(xiàn)，可以預(yù)見后續(xù)前端對抗依然會持續(xù)，在以下幾個領(lǐng)域的對抗將會持續(xù)升級：

　　JS保護(hù)

　　前端是一個非常透明的領(lǐng)域，所有JS代碼均被下載到用戶本地，JS代碼防護(hù)手段已經(jīng)由靜態(tài)混淆發(fā)展到更高級別的動態(tài)混淆、虛擬機等技術(shù)防護(hù)，對于JS代碼的保護(hù)和破解是接下來攻防雙方重點關(guān)注的領(lǐng)域。

　　設(shè)備指紋

　　在人機識別和風(fēng)控領(lǐng)域，穩(wěn)定唯一的設(shè)備指紋是一個重要元素，攻擊者會嘗試各種手段來破壞指紋的穩(wěn)定性，圍繞設(shè)備指紋的爭奪也會升級。

　　操作行為

　　無論是驗證碼還是無感驗證，都是利用用戶在頁面的操作行為進(jìn)行判斷，例如鍵盤操作、 鼠標(biāo)操作、頁面停留時間等，Bots則會在這些方面盡可能地去模擬正常人的操作，如何有效地對模擬行為進(jìn)行識別需要持續(xù)分析升級。

　　03 IoT 系統(tǒng)成為新興攻擊目標(biāo)

　　智能家電、攝像頭、路由器、車載系統(tǒng)等物聯(lián)網(wǎng) (IoT) 設(shè)備正在深入人們的生活，黑客利用自動化批量攻擊的工具，可以快速獲取大量IoT設(shè)備的控制權(quán)，IoT已然成為信息泄漏和DDOS攻擊的生力軍。根據(jù)相關(guān)數(shù)據(jù)顯示，2019年全球IoT設(shè)備數(shù)量已經(jīng)超過80億臺，預(yù)計2020年設(shè)備數(shù)量將會達(dá)到百億臺。一方面是設(shè)備數(shù)量的劇增，一方面是跟不上腳步的安全防護(hù)，這些設(shè)備自然也就成為了黑客眼中的肥羊。

　　04 API 濫用的推手

　　API 安全性早已躋身OWASP十大排行榜，并且仍有極大可能蟬聯(lián)。據(jù)調(diào)查，目前每個企業(yè)平均管理超過350種不同的API，其中69%的企業(yè)會將這些API開放給公眾和他們的合作伙伴。雖然開放API承擔(dān)了拓寬企業(yè)技術(shù)和服務(wù)生態(tài)系統(tǒng)的責(zé)任，但同時也給了攻擊者可乘之機。在Bots幫助下攻擊者對API接口進(jìn)行暴力破解、非法調(diào)用、代碼注入等攻擊的效率將會大提升，API接口濫用行為的防護(hù)需求將愈加凸顯。

　　05 “內(nèi)鬼”防不勝防

　　實際上，雖然企業(yè)多將大量資源集中用于應(yīng)對來自外部的網(wǎng)絡(luò)攻擊，但相當(dāng)多的安全事件卻是由內(nèi)網(wǎng)安全風(fēng)險引發(fā)的。企業(yè)內(nèi)部員工無意或蓄意地利用自動化工具及內(nèi)網(wǎng)合法權(quán)限，拖取內(nèi)部信息，操縱內(nèi)網(wǎng)交易，進(jìn)行、建立垃圾賬號的事件屢見不鮮。我們有理由相信，在當(dāng)前的經(jīng)濟(jì)環(huán)境中，面對高價值的企業(yè)數(shù)據(jù)，“內(nèi)鬼”造成的惡性安全事件會越來越多，而Bots充當(dāng)了“內(nèi)鬼”們利用其合法身份，模擬合法業(yè)務(wù)操作進(jìn)行竊密的利器。

　　06 云中斗爭愈發(fā)激烈

　　云技術(shù)的發(fā)展對Bots的攻防產(chǎn)生著深刻的影響。一方面云資源成本的降低，讓部署在云上的Bots成本也隨之降低，進(jìn)而帶動攻擊者部署更多的Bots;另一方面企業(yè)在上云之后，相比自建機房的環(huán)境更為開放，攻擊面暴露得更多，遭受攻擊的可能性也大大增加。因此在Bots數(shù)量上升和更多弱點暴露的兩難境地之中，企業(yè)在上云之后如何進(jìn)行有效的Bots防護(hù)管理將成為一個關(guān)注點。

　　07 AI 深度介入攻防過程

　　人工智能(AI)已經(jīng)是網(wǎng)絡(luò)安全屆最熱門的熱點話題之一。一方面，過去勞動密集型和成本高昂的攻擊，已經(jīng)在基于AI的對抗學(xué)習(xí)以及自動化工具的應(yīng)用下找到新的轉(zhuǎn)型模式。另一方面，過去一年中以AI為基礎(chǔ)的攻擊檢測工具得到長足發(fā)展，相比傳統(tǒng)的策略，新型基于AI的攻擊檢測，可以發(fā)現(xiàn)更為隱蔽的攻擊。可以預(yù)見，在自動化攻防領(lǐng)域基于AI的對抗也會越來越激烈。

　　Bots攻擊已經(jīng)日益成為了攻擊主流，同時，伴隨AI技術(shù)及平臺化趨勢的加強，越來越復(fù)雜的高級機器人攻擊為網(wǎng)絡(luò)安全行業(yè)帶來了更為嚴(yán)峻的挑戰(zhàn)。2019年圍繞Bots攻防展開的對抗技術(shù)得到了長足發(fā)展，在接下來的時間里這一對抗依然會持續(xù)并增強。安全就像一場永無休止的攻防戰(zhàn)，攻防兩端永遠(yuǎn)在博弈，此消彼此，沒有完結(jié)的一天。

　　掃碼二維碼 下載完整報告