當今社會的科技發(fā)展和未來的發(fā)展創(chuàng)新都離不開自動化技術的支持。然而，一旦自動化技術為不法分子所用，造成的損失也是不可估量的。從網站應用攻擊、用戶信息泄露到業(yè)務交易欺詐，無處不在的自動化攻擊考驗著每個行業(yè)的安全水準。

4月22日，瑞數(shù)信息重磅發(fā)布《2020Bots自動化威脅報告》(下稱“報告”)，對2019年Bots自動化威脅的主要類別、攻擊來源、攻擊態(tài)勢、技術手段等進行了全面回溯與解讀，并對2020年Bots自動化威脅發(fā)展趨勢做出預測。



2020Bots自動化威脅報告
報告指出，Bots機器人攻擊在逐年增加，全球網絡流量中正常用戶發(fā)起的請求已經不足一半。國內的Bots攻擊形勢則更為嚴峻，尤其在一些資源搶占類和信息公示類系統(tǒng)中，Bots發(fā)起的訪問請求占比甚至超80%。同時，相對于傳統(tǒng)安全攻防，企業(yè)普遍缺乏對于Bots攻擊的認知和防護，這進一步加劇了Bots攻擊帶來的危害。

三大看點不容錯過

看點一：聚焦四大Bots核心問題

正如自動化能夠幫助企業(yè)有效地檢測和緩解網絡威脅一樣，自動化工具的加持也讓網絡犯罪分子“如虎添翼”。自動化、智能化的Bots攻擊正讓企業(yè)網絡的防線頻頻失守。

國家級大數(shù)據(jù)成為高級Bots的云集之地

“互聯(lián)網+政務服務”開放了大量數(shù)據(jù)查詢服務，這些數(shù)據(jù)經過聚合之后可以成為具有極高價值的國家級大數(shù)據(jù)，因此吸引了黑產和境外機構Bots的大規(guī)模數(shù)據(jù)拖取，如果被非法濫用，將會帶來巨大危害。在各行業(yè)中，政府行業(yè)的Bots請求比例據(jù)行業(yè)之首，超過65%；在高級持續(xù)性Bots手段使用上，政府行業(yè)依然首當其沖，占比超過30%。

龐大的IP資源已成為Bots流量產業(yè)的基礎設施

大規(guī)模廉價的IP資源大幅降低了繞過傳統(tǒng)Anti-Bot技術的成本，也成為Bots流量中最常用的手段，更換IP方式在繞過手段中的采用率高達90%以上，嚴重削弱了IP信譽庫的防御能力，高級組織每日使用IP數(shù)量可超過百萬，兩日IP重復率低于10%。

新興領域的漏洞探測利用效率提升

隨著開源和商業(yè)漏洞探測利用工具的發(fā)展，攻擊者對于新興領域的漏洞發(fā)現(xiàn)效率大幅度提升，IoT、API、云端應用等領域雖然興起時間不長，但暴露的安全問題卻有趕超傳統(tǒng)領域的趨勢，尤其在0day/Nday攻擊、接口濫用等方面表現(xiàn)突出。

Bots流量全面隱藏機器特征促使前端對抗升級

借助豐富而低成本的IP資源、平臺資源，Bots在流量層面的特征進一步被隱藏，這就要求防護系統(tǒng)能夠在前端提取到更多的Bots信息進行識別。JS保護與破解、設備指紋追蹤與反追蹤、模擬操作行為對抗、驗證碼對抗等將會更加激烈，AI技術也將會深入介入其中。

看點二：2019年Bots自動化威脅深度分析

隨著自動化攻擊手段的發(fā)展，業(yè)務系統(tǒng)面臨的攻擊類型也越來越多，OWASP最新發(fā)布的《Automated Threat Handbook》中提到的自動化威脅已達到21種之多。結合國內的業(yè)務系統(tǒng)和攻擊者的特點，報告對Bots自動化威脅的多個層面進行了歸納分析和解讀。

Bots攻擊類別

報告指出，從Bots攻擊流量最主要的關注點和對業(yè)務影響的角度，可以將Bots攻擊類別分為5大類:

-漏洞探測利用

-模擬正常業(yè)務操作邏輯搶占業(yè)務資源

-爬蟲獲取高價值數(shù)據(jù)

-暴力破解或者撞庫獲取賬號信息

-面向應用和業(yè)務的拒絕服務攻擊

Bots攻擊態(tài)勢

綜合來看，Bots發(fā)起的請求占比已經超過網站訪問總量的一半，達到55.35%，而對于某些提供公共信息查詢的政務系統(tǒng)，Bots請求比例甚至超過80%。

從行業(yè)上看，政府行業(yè)的Bots請求占比最高，超過65%；金融、運營商、互聯(lián)網行業(yè)的平均占比都超過了60%。除了通用的漏洞掃描外，不同行業(yè)遭受的Bots攻擊類型也不一樣。Bots訪問占比最高的政府行業(yè)，主要攻擊場景有爬蟲、信息搜刮等；其次為金融行業(yè)，主要攻擊場景有薅羊毛、批量進件、撞庫等；運營商行業(yè)則集中在批量繳費、通話記錄或賬單拖取等場景。

APBs透視

隨著各種 Bots對抗技術的涌現(xiàn)，很多場景下簡單的腳本工具已經無法有效進行攻擊，為了繞過各種防護手段， Bots也由簡單腳本向高級持續(xù)性機器人(Advanced Persistent Bots，APBs)演進。不同行業(yè)面臨的APBs威脅也不一樣，攻防對抗會加速普通Bots向APBs進化的過程。

值得注意的是，APBs相比普通Bots，具備多種多樣的“反反自動化攻擊”能力，自動更換IP、特征隱藏、擬人化操作、驗證碼識別等技術已然成為標配。

移動端分析

企業(yè)越來越多的業(yè)務系統(tǒng)正在向移動端遷移，為了適應這種環(huán)境，攻擊平臺也必須向移動端轉移，多種多樣的攻擊手段也隨之出現(xiàn)，例如各類改機工具、破解框架、模擬器、root、群控、云控、IMEI偽造、GPS偽造、IP代理等。

除此之外，報告中還對攻擊來源分布、IP秒撥、Bots隱藏技術等進行了深入分析。

看點三：2020年Bots自動化威脅發(fā)展趨勢

2019年圍繞Bots攻防展開的對抗技術得到了長足發(fā)展，但未來這一對抗依然會持續(xù)并不斷增強。