【行业践行-出版】基于动态防护理念的安全实践

瑞数信息全新案例集，深度解析瑞数信息在金融、运营商、政府、教育、能源等行业的实际应用案例，涵盖API、APP、信创、WAAP、薅羊毛、反爬虫等多场景解决方案。

以自主研发的动态安全技术和Bot防护能力为核心，瑞数信息持续分享在复杂安全环境下的实战经验，助力更多客户有效应对各类安全挑战。为企业构建全面的安全防护提供实践参考，为用户在网络安全时代的防护能力带来新的启发与保障。

新闻出版行业的应用防护需求有以下几个方面：

新闻出版行业非常关注的一个问题是知识产权，是出版物，所以要把数据安全作为防护的核心。现在不仅是出版行业，其他行业也非常关心。现在很多用户在做大数据分析，数据从哪来？很多时候是未授权开发了爬虫，爬取别人的数据。

从数据保护的角度来说，一方面防止内部的数据泄漏，要用DLP技术去实现，同时更要防止未授权的数据爬取，爬虫也是防护的重点。

漏洞修复是解决问题的根本，但是很多官网和订阅平台的网站是没有办法第一时间打补丁的，因为补丁永远打不完。而且很多补丁跟生产系统是有冲突的，把补丁打上，应用起不来了。这个也是目前为止新闻出版行业，甚至包括运营商、金融、政府行业都非常头痛的问题。

动态验证通过对客户端与服务器的动态双向验证，防止恶意终端访问，且每次均随机选取检测的项目与 数量，以增加应用的不可预测性，大幅提高攻击成本。动态验证包含真实浏览器形态验证、浏览器指 纹、异常行为模式监测及数据完整性验证四大模块。

动态验证过程中，会根据威胁态势生成不同的检测代码，以增加应用的不可预测性，提升攻击者或自动 化工具假冒合法客户端的难度;有效克服现有终端感知产品使用静态采集代码，被逆向后易于被绕过的 安全难题。

对当前访问页面内的合法请求地址授予一定时间内有效的一次性动态令牌，瑞数动态安全Botgate会拦阻 没有令牌的非法请求。

动态令牌可保障业务逻辑的正确运行并防止攻击者发出非法请求，可抵御越权访问、网页后门、重放攻 击、应用层DDoS等自动化恶意攻击行为。

部署时，无需修改应用服务器任何代码，客户 端无需集成任何Agent和配置; 运维时，无需配置大量的防护策略和升级规则 库打补丁，实现轻量化运维管理。

独特和细粒度的机器人行为透视，准确定位攻击， 通过机器人威胁清洗提供优质有效的威胁数据。

有效识别与阻挡多源低频、模拟业务逻辑、网页 零日漏洞等新兴攻击。

攻击者在申请页面提交大量虚假申请，造成后台超负荷工作，影响正常用户申请的处理效率，虽然企业已经部署层层安全防护设备，但仍无法有效阻挡此类模拟合法操作的虚假申请。

部署瑞数动态安全Botgate后，发现74.26%的流量为先前未发现的恶意攻击流量，有效过滤并拦截了这些虚假申请。