一文读懂RASP运行时防护平台及应用实践

「云原生安全既是一种全新安全理念，也是实现云战略的前提。

基于蚂蚁集团内部多年实践，云原生PaaS平台SOFAStack发布完整的软件供应链安全产品及解决方案，包括静态代码扫描Pinpoint，软件成分分析SCA，交互式安全测试IAST，运行时防护RASP，安全洞察Appinsight等，帮助企业客户应用软件实现『发布前检测，运行时免疫』。

本周，我们将持续分享解读四大产品。」

昨天，我们解析了应用「运行时漏洞发现」场景的软件供应链安全产品——交互式安全测试 IAST ，本文将着重介绍针对「应用上线后安全防护」场景的软件供应链安全产品——RASP 运行时防护平台。

应用安全的防护手段

在应用上线前的安全测试工具包含静态代码安全扫描产品 Pinpoint、软件成分分析 SCA 和交互式安全测试 IAST 等，已基本能保障「上线即安全」，但面临外部持续性侵入或恶意攻击，应用在上线后也会设立重重防线保护应用和数据资产。

据 Imperva 公司表示，50% 的数据泄露始于 Web 应用程序。如今在应用上线后的防御产品中最广泛流行的是 WAF，但 WAF 本身的一些局限性(高误报率、低时效性、极易被绕过等)导致应用仍被恶意攻击，这就迫切需要新的应用防护手段加强应用安全。

因此，应用运行时自我保护技术 RASP（Runt ime Applicat ion Self -Prot ect ion）近几年来备受关注，它是一种将防护能力内置或链接至应用程序内部或其运行时环境中的安全技术，该技术由 Gartner 在 2012 年首次提出。RASP与WAF的本质区别：以服务器端请求伪造漏洞 SSRF 为例，对于明文或编码处理过的请求，WAF 都无法发现，攻击者都会拿到结果；而 RASP 是以应用内部行为作为感知视角，无论外部用什么形式输入，最终要生效都会生成一些特定的执行函数，防御仅需要在关键函数入口处把守即可。