什么是Web安全？

Web 安全包括一系列解决方案和安全策略，组织依赖这些解决方案和策略来保护其网络、用户和资产免受各种安全风险的影响。

对于企业而言，Web 安全对于防止代价高昂的网络攻击（例如恶意软件、网络钓鱼、分布式拒绝服务 (DDoS) 攻击等）至关重要；这些攻击可能会破坏核心业务实践并造成灾难性的声誉损害。

网络罪犯未经授权访问组织数据和资源（又称“攻击面”漏洞）的途径已呈指数级增长。如果运用得当，Web 安全就能保护企业所依赖的 Web 应用程序免受各种恶意活动的侵扰。这类活动既包括可能导致数据被盗的恶意软件和网络钓鱼等基础攻击，也包括针对数百万用户且足以令企业运营瘫痪数日的复杂网络攻击。

Web 安全解决方案通常涉及多种技术组合，包括防火墙、防病毒软件和应用程序编程接口 (API) 安全工具。它们还会采用更先进的手段，借助云计算、人工智能 (AI) 和物联网 (IoT) 等新技术来防范更广泛的恶意活动。

随着网络攻击的数量和复杂性逐年增加，对 Web 安全解决方案的需求也在迅速增加。根据最近的一份报告，全球市场正以近 13% 的复合年增长率 (CAGR) 增长，到 2030 年将达到 5,000 亿美元。¹

仅以基于 Web 的软件应用安全解决方案为重点的应用程序安全市场的 CAGR 就略高于 14%，到 2030 年将可能达到 250 亿美元。²

什么是基于云的 Web 安全？

Web 安全的一个重要子集是基于云的 Web 安全，也称为云安全，这是一组保护依赖云基础设施运行的资源的技术和最佳实践。

与所有其他云技术一样，云安全依赖于通过互联网提供的物理和虚拟资源。云安全解决方案依靠全球服务器网络来提供专门的工具和功能，包括网络过滤、增强的电子邮件安全性、数据丢失预防 (DLP) 和入侵防御系统 (IPS)。

向基于云的 Web 安全的转变代表着组织实现网络安全的方法的重大变革。这种方法提供了一套更具活力和适应性的解决方案，旨在跟上现代企业面临的快速变化的威胁态势。

Web 安全如何运作？

尽管 Web 安全解决方案高度可定制，可满足组织的个性化需求，但它仍然依赖于四个基本原则来防止网络攻击：

• 身份验证
• 加密
• 网络安全
• 事件响应

下面我们将详细介绍每一种方法以及如何有效实施。

身份验证

身份验证，（又称“访问控制”）是 Web 安全最基本的组成部分之一。从本质上讲，它能够管控_人员_及_设备_访问数据、系统和应用程序的权限，其具体方法是通过多重身份验证 (MFA)、基于角色的访问控制 (RBAC) 等多个步骤验证用户身份。在有效实施的情况下，身份验证就能控制用户和应用程序访问网络或系统中敏感信息的权限。

加密

加密是另一种保护敏感数据的方法，即将文本打乱成不可读的形式，需要解密密钥才能读取。通过加密，可以在网络或系统中安全地共享信息，只有掌握解密密钥的第三方才能读取。与身份验证一样，加密是用户和组织防止未经授权访问敏感信息的最重要工具之一。

网络安全

网络安全是一种专注于保护计算机网络和系统免受各种内部和外部安全威胁的安全类型。与身份验证和加密一样，网络安全依赖于防火墙、入侵检测系统 (IDS) 和虚拟专用网络 (VPN) 等实践和工具来检测和消除网络漏洞，以免其导致未经授权的访问。

事件响应

尽管严格遵循最佳实践并部署一系列现代网络安全工具，组织仍会频繁遭受黑客入侵。高效事件响应能力（如实时威胁检测、事件管理和日志分析）可确保网络或组织无论面临何种网络威胁，都能迅速恢复业务运营。

Web 安全面临的挑战

网络攻击每年给组织造成数百万美元的收入损失。IBM 数据泄露成本报告显示，全球安全漏洞的平均成本为 444 万美元。攻击载体和恶意用户正在不断开发新的方法，以利用 Web 应用程序、API 和组织所依赖的其他资源中的安全漏洞。

Open Web Application Security Project (OWASP) 是 Web 安全的最佳可用资源之一，这是一个发布“十大”网络威胁列表的非营利组织。下面我们就来看看一些经常上榜的最顽固威胁。

恶意软件是故意编写以损害计算机系统或用户的软件代码。常见的恶意软件类型包括勒索软件、特洛伊木马、间谍软件等，如果有效使用，可能会造成重大损害。

网络钓鱼是一种攻击，它使用欺诈性信息（例如电子邮件、短信、电话甚至彻底虚假的网站）来诱骗人们分享密码或信用卡信息等敏感数据。与恶意软件和其他更复杂的网络攻击不同，网络钓鱼攻击看似简单，利用的是人为错误而不是网络或软件系统中的漏洞。

另一种常见的网络攻击类型是页面或浏览器劫持，其中黑客引导用户访问虚假网站或远程接管他们的浏览器并使其执行恶意操作。劫持攻击通常在用户不知情的情况下记录用户的击键，以便恶意行为者可以使用他们的密码并窃取用户数据。

注入攻击利用网站或 Web 应用程序上的输入字段将恶意代码注入系统，这些代码可以改变软件并允许攻击者未经授权访问数据和程序。例如，结构化查询语言 (SQL) 是一种专门用于管理数据库的语言。

SQL 注入攻击以 Web 应用程序使用的数据库为目标，使攻击者能够访问敏感、受限的信息，例如财务记录、社会安全号码等。

分布式拒绝服务 (DDoS) 攻击旨在通过欺诈性请求淹没网站、应用程序和云服务等在线资源，导致它们不堪重负。这种攻击会减慢它们的速度，甚至导致它们完全停止运行。虽然不如其他类型的网络攻击那么常见，但 DDoS 攻击仍然代价高昂，因为它们可能导致停机，威胁核心业务的运营。

跨站点脚本 (XSS) 攻击利用无法有效验证用户输入的网页。XSS 攻击注入代码（通常是 JavaScript），然后由访问站点的用户的浏览器运行。XSS 攻击针对具有大量难以验证的用户生成内容的网站，例如博客或网络论坛，窃取凭据并在未经用户许可的情况下执行未经授权的操作。

Web 安全的优势

先进的 web 安全解决方案旨在保护组织免受各种网络攻击，从危害信用卡的简单网络钓鱼骗局到导致整个组织陷入瘫痪的高级 DDoS 攻击。以下是投资企业级 Web 安全解决方案的一些主要优点：

• 全面保护：有效的 Web 安全解决方案通常可以抵御多种威胁。通过采用多种不同的工具和战略来保障组织的安全，Web 安全解决方案能够抵御许多使恶意行为者能够数小时、数天甚至数年访问系统或数据库而不被发现的高级持续性威胁 (APT)。

• 降低成本：虽然实施 Web 安全解决方案需要投资，但成功的网络攻击造成的停机、中断、数据泄露和声誉损害的成本要高得多。

• 主动检测：当今先进的 Web 安全工具通常能够在攻击渗透网络之前发现它们，并将其隔离，以使它们无法传播。主动检测和隔离，也称为遏制，有助于最大限度地减少网络攻击造成的损失，降低恢复成本。

• 增强型身份验证：大多数现代 Web 安全解决方案都依赖高级身份验证工具（例如，多重身份验证 (MFA)）来降低不法分子访问敏感信息的风险。

• 安全的远程办公：随着越来越多的员工队伍开始实施混合和远程办公政策，对于组织来说，确保员工能够通过互联网安全共享资源和数据至关重要。VPN、加密、身份验证及其他现代网站安全工具可确保远程工作者享有与本地办公同等级别的安全保障。

• 自动合规：大多数现代 web 安全解决方案都有合规管理系统 (CMS)，可进行设置以自动符合相关国家或地区的法规。例如，组织可以设置 API 安全功能以遵循特定的数据交换规则，即使这些规则因地区而异。

• 业务连续性和灾难恢复 (BCDR)：全面的 Web 安全方案始终包含帮助企业在发生中断或遭受网络攻击后恢复运营的流程和工具，该流程又称“业务连续性和灾难恢复 (BCDR)”。BCDR 适用于 IT 基础设施的各个领域，包括对核心业务流程至关重要的环节，如网络、数据中心和云资源。

Web 安全的主流企业用例

随着现代企业越来越依赖数字技术进行核心运营，它们也面临着更大的网络攻击和数据盗窃风险。当今的 Web 安全解决方案必须解决各种 IT 基础设施组件（包括物理和虚拟）中的漏洞。以下是企业 web 安全的主要用例：

保护 Web 应用程序

Salesforce、SAP 和 Oracle Netsuite 等 Web 应用程序已成为众多成功企业日常运营中的关键要素。试图引发停机或窃取敏感数据的黑客通常将漏洞作为攻击目标，并实施 SQL 注入和 XSS 等复杂策略。Web 应用程序防火墙 (WAF) 等 Web 安全工具在阻止此类攻击和维持应用程序运行方面发挥着至关重要的作用。

防止数据丢失

除了停机时间之外，敏感数据的丢失也是成功的网络攻击最具破坏性的后果之一。强大的 Web 安全状况，配备先进的数据丢失防护工具，可以成功防止通过电子邮件和云服务执行未经授权的敏感数据共享，确保公司维护客户的信任。

强化云基础设施

随着企业寻求利用云的灵活性和可扩展性，云基础设施（支持云计算的硬件和软件组件）变得越来越重要。云安全解决方案通过强大的访问控制、加密以及威胁检测和响应功能，近乎实时地响应入侵，从而保护云基础设施组件。

缓解 DDoS 攻击

DDoS 攻击是世界上最复杂和最危险的网络攻击之一。一旦成功执行，它们就会中断一些最大、最成功的公司的核心业务实践，包括 Amazon Web Services (AWS)、Netflix 和 X（前 Twitter）。

现代企业级 Web 安全解决方案配备了用于阻止 DDoS 攻击的先进工具。这些解决方案包括流量过滤、速率限制以及将欺诈性网络流量转移到可以清除有害元素的“清洗中心”。

脚注

1. Cyber security market summary, Grandview Research, 2024

2. Application security market size, Fortune Business Insights, 2023

作者

Mesh Flinders Staff Writer IBM Think

Ian Smalley Staff Editor IBM Think

本文转自 https://www.ibm.com/cn-zh/think/topics/web-security，如有侵权，请联系删除。