數(shù)字化時(shí)代，安全是一個(gè)需要長(zhǎng)期研究的課題。

今年一月份美國(guó)醫(yī)療設(shè)備巨頭因網(wǎng)絡(luò)攻擊，100萬(wàn)人的敏感信息被泄露；印度火車票務(wù)平臺(tái)遭遇大規(guī)模數(shù)據(jù)泄露，涉及人數(shù)超3100萬(wàn)；緊接著是制藥巨頭Sun Pharma、皇家郵政（Royal Mail）被勒索軟件攻擊...

而國(guó)內(nèi)近兩年也成了安全事故頻發(fā)的重災(zāi)區(qū)，在此影響下，國(guó)內(nèi)企業(yè)對(duì)安全的重視程度有了明顯的提升。據(jù)一項(xiàng)調(diào)查數(shù)據(jù)顯示，包括中國(guó)、日本、印尼、新加坡、澳新地區(qū)以及韓國(guó)等地在內(nèi)的2341 位受訪者。其中75% 的亞太地區(qū)用戶表示，在發(fā)生數(shù)據(jù)泄露事件時(shí)，即使該企業(yè)能夠提供優(yōu)質(zhì)的服務(wù)和產(chǎn)品，也會(huì)停止對(duì)該公司的支持。

這也從側(cè)面說(shuō)明了，數(shù)據(jù)安全的重要性正在日益凸顯，同時(shí)也為許多沒有把數(shù)據(jù)安全放在第一位的企業(yè)敲響了警鐘。

但與之而來(lái)的數(shù)字化再次給企業(yè)籠罩了一層安全的陰霾。這一時(shí)期，企業(yè)積極擁抱數(shù)字化，數(shù)字技術(shù)逐漸應(yīng)用到各業(yè)務(wù)場(chǎng)景中，但同時(shí)也加劇了網(wǎng)絡(luò)勒索、釣魚攻擊、數(shù)據(jù)竊取等重大安全事件頻發(fā)。

更重要的是，處在數(shù)字化轉(zhuǎn)型深水區(qū)的企業(yè)有一個(gè)很明顯的特征，大部分公司開始把越來(lái)越多的業(yè)務(wù)從線下搬到線上，這時(shí)就需要通過(guò)API進(jìn)行數(shù)據(jù)交換和實(shí)現(xiàn)業(yè)務(wù)邏輯的轉(zhuǎn)變，同時(shí)企業(yè)APP、Web和應(yīng)用程序核心功能、云體系與微服務(wù)架構(gòu)等均離不開API，API的數(shù)量和流量與日俱增，這也就加劇了API安全問(wèn)題的頻發(fā)。

相關(guān)市場(chǎng)研究報(bào)告數(shù)據(jù)說(shuō)明，與整體 API 流量相比，API 攻擊流量增長(zhǎng)了三倍。通過(guò)利用API的安全漏洞，攻擊者可以輕松獲取企業(yè)Web應(yīng)用系統(tǒng)及服務(wù)器設(shè)備的控制權(quán)限，從而進(jìn)行掃號(hào)撞庫(kù)、數(shù)據(jù)竊取、營(yíng)銷作弊等破壞活動(dòng)，嚴(yán)重?fù)p害企業(yè)的業(yè)務(wù)發(fā)展。

也就是說(shuō)，當(dāng)下 API安全的建設(shè)已經(jīng)刻不容緩，但現(xiàn)實(shí)情況是，很多企業(yè)在API安全建設(shè)方面相對(duì)薄弱，企業(yè)存在一些誤區(qū)，這就給了黑產(chǎn)可乘之機(jī)。

執(zhí)行副總裁兼CTO Robert Blumofe

Akamai自成立以來(lái)就一直在做安全方面的相關(guān)研究，其中Web防火墻就是主要產(chǎn)品之一。執(zhí)行總裁Robert Blumofe表示，越來(lái)越多的Web應(yīng)用都是通過(guò)API來(lái)實(shí)現(xiàn)的，包括后端和前端的通信，不同的微服務(wù)之間的通信等。

他坦言，現(xiàn)在大部分企有一個(gè)很普遍的現(xiàn)象，一家企業(yè)的整體業(yè)務(wù)中可能有幾百個(gè)甚至上千個(gè)API。但這些API如果沒有得到妥善防護(hù)，就很容易被網(wǎng)絡(luò)罪犯入侵、攻擊，以獲得訪問(wèn)一些敏感信息或者入侵到企業(yè)的具體業(yè)務(wù)中去。

從企業(yè)層面來(lái)說(shuō)，很多企業(yè)雖然有成千上萬(wàn)個(gè)API，但其實(shí)他們本身是不自知的，同時(shí)這些企業(yè)更是缺乏監(jiān)測(cè)API情況的手段，比如這些API是否是合法使用的，甚至沒有能力了解API什么時(shí)候受到了攻擊。

此外，很多企業(yè)使用的是第三方的開源插件，Robert Blumofe談到，這種情況也已經(jīng)非常普遍，和API一樣，一般情況下大部分企業(yè)不知道自己用了哪些第三方的軟件，有時(shí)即使知道用了也不知道這些軟件是誰(shuí)寫的，這就讓企業(yè)在進(jìn)行安全防護(hù)時(shí)顯得很被動(dòng)。

基于此，Akamai提出了“可視性”的概念，同時(shí)，為了加強(qiáng)自身安全方面的服務(wù)能力，Akamai收購(gòu)了Neosec公司，并面向市場(chǎng)推出這樣新的API的防護(hù)、可視的能力——Neosec API安全解決方案，通過(guò)該方案，客戶可以實(shí)時(shí)看到他們公司所擁有的API的使用情況，同時(shí)在API被濫用的時(shí)候能夠?qū)λ麄兲岢鼍瘓?bào)。

對(duì)此，Akamai副總裁暨大中華區(qū)總經(jīng)理李昇回憶道，2021年12月，一個(gè)“核彈級(jí)”漏洞（Log4Shell ）的爆出，讓全球陷入了惶恐，短時(shí)間內(nèi)就讓全球近半數(shù)的企業(yè)網(wǎng)絡(luò)遭遇了攻擊，并在互聯(lián)網(wǎng)上迅猛擴(kuò)散。主要原因在于Log4j漏洞利用成本極低，可以直接任意代碼執(zhí)行，并接管目標(biāo)服務(wù)器。

而Akamai 威脅研究實(shí)驗(yàn)室利用自身對(duì)于全球海量數(shù)據(jù)中心的監(jiān)測(cè)能力，從全球 200 多個(gè)不同行業(yè)、不同規(guī)模的數(shù)據(jù)中心收集了相關(guān)數(shù)據(jù)，評(píng)估了 Log4j 漏洞給企業(yè)帶來(lái)的實(shí)際風(fēng)險(xiǎn)并給出防御建議。

其中就運(yùn)用到了“可視性”防護(hù)的策略，而其背后是“微分段”提供了技術(shù)支撐。李昇形象的比喻道，就像一個(gè)大樓，如果沒有微分段的話，一旦有風(fēng)險(xiǎn)的軟件被使用，它在大樓中就可以去任何一個(gè)房間中的任何一個(gè)文件柜。但“微分段”就是雖然進(jìn)了這個(gè)樓，每個(gè)房間里面都配置了一把鎖，甚至每一個(gè)文件柜都有一把鎖。這樣的話，就算進(jìn)到這個(gè)房間，也不能在沒有授權(quán)的情況下訪問(wèn)文件柜中的文件。

“之前的‘微分段’，你的訪問(wèn)的是一個(gè)大樓，一旦你進(jìn)到這個(gè)大樓就可以暢通無(wú)阻了?，F(xiàn)在的“微分段”實(shí)際上就是給每個(gè)房間都上了一把鎖，只有你確實(shí)需要進(jìn)入某個(gè)特定房間的時(shí)候、你才能夠進(jìn)入某個(gè)房間?！?/span>

轉(zhuǎn)眼到了大模型時(shí)代，安全問(wèn)題似乎比數(shù)字化時(shí)代更為嚴(yán)峻，諸如GPT剛進(jìn)入大眾視野時(shí)，被人們稱為“全知全能的神”，但是伴隨著使用過(guò)程中出現(xiàn)的數(shù)據(jù)泄露等問(wèn)題，也引來(lái)了各種爭(zhēng)議。包括三星、摩根大通、蘋果、花旗集團(tuán)等在內(nèi)的多家頭部企業(yè)紛紛限制員工使用ChatGPT。

雷峰網(wǎng)了解到，早在前幾年Akamai就通過(guò)深度學(xué)習(xí)實(shí)現(xiàn)了流量分類的作用，比如是惡意流量還是非惡意流量，正常流量還是異常流量，真實(shí)人類產(chǎn)生的流量，還是機(jī)器人程序Bot產(chǎn)生的流量。

當(dāng)然大模型的出現(xiàn)也給Akamai在安全方面的研究提供了新的視野和新的技術(shù)支撐，據(jù)Robert Blumofe介紹，基于公司目前的運(yùn)行規(guī)模，通過(guò)所有數(shù)據(jù)和收集的互聯(lián)網(wǎng)的流量，Akamai訓(xùn)練了一個(gè)深度學(xué)習(xí)的模型，這樣能實(shí)現(xiàn)更加有效的流量分類。

但一項(xiàng)新鮮事物的誕生，往往是機(jī)遇和挑戰(zhàn)并存。Robert Blumofe分析道，生成式AI的出現(xiàn)讓我們能夠看到很多新的機(jī)會(huì)、新的機(jī)遇，但是其實(shí)也帶來(lái)新的威脅。如果放在網(wǎng)絡(luò)罪犯的手里，生成式AI其實(shí)是一個(gè)非常強(qiáng)有力的犯罪工具。網(wǎng)絡(luò)犯罪分子可以利用生成式AI大量的去生成這種“釣魚的誘餌”，也可以用它產(chǎn)生大量的惡意軟件。

還重點(diǎn)強(qiáng)調(diào)了要從提示詞的輸入方面規(guī)避安全事故的發(fā)生：

首先，第三方大模型會(huì)記錄下你輸入的提示詞內(nèi)容，將來(lái)某個(gè)階段在輸出答案時(shí)，很可能把這些提示詞作為答案的一部分反饋給其他用戶。如果當(dāng)中涉及到一些敏感信息或者公司業(yè)務(wù)信息，就會(huì)泄露從而給個(gè)人或者公司帶來(lái)不小的損失。

其次，在用于一些嚴(yán)肅場(chǎng)景，關(guān)鍵用途時(shí)候，一定要看大模型輸出的結(jié)果是什么樣的。

縱觀網(wǎng)絡(luò)攻擊事件的發(fā)展，隨著科學(xué)技術(shù)的進(jìn)步，網(wǎng)絡(luò)攻擊手段也在不斷的升級(jí)，五年前更多的是類似“黑客” 的“網(wǎng)絡(luò)罪犯”，他們更多的是為了凸顯自己的能力或者傳播自己的觀點(diǎn)。

但近五年出現(xiàn)了一種新型的網(wǎng)絡(luò)犯罪模式，他們更多的是出于金錢目的，且他們的能力和工具比之前要強(qiáng)的多，攻擊更有效、規(guī)模更大。

在Robert Blumofe看來(lái)，未來(lái)五年會(huì)有更多的由AI驅(qū)動(dòng)的網(wǎng)絡(luò)犯罪、網(wǎng)絡(luò)攻擊工具。從短期來(lái)看，隨著生成式AI的出現(xiàn)，會(huì)出現(xiàn)一種能力不對(duì)等的情況，且更多的能力會(huì)賦予到網(wǎng)絡(luò)攻擊方而非防守方。所以作為防守方，就更需要了解對(duì)方有哪些工具，了解他們?cè)趺礃佑肁I技術(shù)來(lái)進(jìn)行網(wǎng)絡(luò)攻擊。

“從現(xiàn)有的評(píng)估不同的公司防護(hù)機(jī)制、防護(hù)手段的角度來(lái)看，Akamai鼓勵(lì)所有人在評(píng)估網(wǎng)絡(luò)防護(hù)手段時(shí)一定要重點(diǎn)分析現(xiàn)有的防護(hù)手段是否能有效的抵御AI驅(qū)動(dòng)的網(wǎng)絡(luò)攻擊，”Robert Blumofe如是說(shuō)。

所謂道高一尺魔高一丈，大模型時(shí)代，安全必然會(huì)成為現(xiàn)在乃至未來(lái)很長(zhǎng)一段時(shí)間業(yè)界關(guān)注的焦點(diǎn)話題。如何提高防護(hù)手段，抵御新型攻擊？仍需要時(shí)間來(lái)驗(yàn)證。

（雷峰網(wǎng)(公眾號(hào)：雷峰網(wǎng))雷峰網(wǎng)雷峰網(wǎng)）

雷峰網(wǎng)原創(chuàng)文章，未經(jīng)授權(quán)禁止轉(zhuǎn)載。詳情見轉(zhuǎn)載須知。