Imperva本周二發(fā)表的半年一次的“Web應(yīng)用攻擊報(bào)告(WAAR)”第三版是以2011年12月至2012年5月期間從50個(gè)公開(kāi)提供的Web應(yīng)用程序中收集的互聯(lián)網(wǎng)通訊流量進(jìn)行的分析為基礎(chǔ)的,。Imperva確認(rèn),，一個(gè)典型的Web應(yīng)用程序在這6個(gè)月的時(shí)間里經(jīng)歷了59個(gè)“戰(zhàn)斗日”，每個(gè)“戰(zhàn)斗日”至少發(fā)生一次攻擊事件,，

Imperva首席技術(shù)官阿米亥·舒爾曼(Amichai Shulman)稱(chēng),，許多受監(jiān)視的應(yīng)用程序在規(guī)模和目的方面都有區(qū)別。其中大多數(shù)應(yīng)用程序是在美國(guó)和歐盟托管的,。

Imperva稱(chēng),，對(duì)于一個(gè)典型的Web應(yīng)用程序，在這6個(gè)月的時(shí)間里發(fā)生的平均攻擊事件是137次,。

Imperva定義的一個(gè)攻擊事件是惡意通信流量每5分鐘超過(guò)30次攻擊請(qǐng)求,。

這種計(jì)算攻擊的方法與該公司以前的WAAR報(bào)告中使用的計(jì)算方法有很大區(qū)別。以前的報(bào)告的重點(diǎn)是總的攻擊請(qǐng)求數(shù)量,。

Imperva看到的最糟糕的案例是一個(gè)應(yīng)用程序在141個(gè)戰(zhàn)斗日中經(jīng)歷了1383次攻擊事件,。也就是在6個(gè)月的時(shí)間里有80%的時(shí)間里遭到攻擊。

Imperva在報(bào)告中稱(chēng),，一個(gè)典型的攻擊事件有159次攻擊請(qǐng)求,，持續(xù)時(shí)間將近8分鐘。然而,，最嚴(yán)重的攻擊持續(xù)10分鐘,，包含8790次攻擊請(qǐng)求。

解釋數(shù)據(jù)的新方法顯示,，SQL注入攻擊是使用最多的攻擊技術(shù),。一個(gè)典型的Web應(yīng)用平均遭受的SQL注入攻擊數(shù)量是17.5次，最嚴(yán)重的情況是遭到320次這種攻擊,。

這是一個(gè)重要的變化,，因?yàn)橐郧暗腤AAR報(bào)告在攻擊的頻繁程度方面把跨站腳本攻擊和目錄遍歷攻擊放在SQL注入攻擊前面。

舒爾曼稱(chēng),，這種新方法允許Imperva的研究人員以不同的方式觀察事情,。雖然跨站腳本攻擊和目錄遍歷攻擊的單個(gè)請(qǐng)求的數(shù)量高于AQL注入攻擊的數(shù)量，但是,，實(shí)際上,，包含SQL注入的攻擊的數(shù)量更多。

然而,，考慮到其它安全廠商過(guò)去的報(bào)道,，SQL注入攻擊的效率有點(diǎn)令人懷疑。例如,，Verizon在其發(fā)表的2012年數(shù)據(jù)突破調(diào)查報(bào)告中稱(chēng),，在數(shù)據(jù)突破事件中，只有3%采用SQL注入攻擊,。

舒爾曼表示,，雖然SQL注入攻擊是一種最流行的攻擊技術(shù),，但是，它可能不是最成功的攻擊技術(shù),。舒爾曼稱(chēng)：“我發(fā)現(xiàn),，如果SQL注入攻擊是不成功的，很難相信攻擊者在SQL注入攻擊方面浪費(fèi)這么多精力,。”

另一個(gè)有趣的發(fā)現(xiàn)是,，最高數(shù)量的SQL注入攻擊請(qǐng)求來(lái)自于法官而不是美國(guó)。美國(guó)是其它類(lèi)型的攻擊的主要發(fā)源地,，如遠(yuǎn)程文件包含,、目錄遍歷或者本地文件包含等攻擊。

舒爾曼稱(chēng),，有些攻擊類(lèi)型有眾所周知的地理偏愛(ài)。例如,，許多電子郵件搜刮攻擊來(lái)自于非洲國(guó)家,。垃圾評(píng)論攻擊通常來(lái)自于西歐和俄羅斯。

然而,，舒爾曼稱(chēng),，大量的SQL注入攻擊來(lái)自法國(guó)是不同尋常的。“這是我們第一次看到SQL注入攻擊的這種地理偏愛(ài),。我到目前為止還沒(méi)有這個(gè)答案,。”

舒爾曼推測(cè)，關(guān)閉在法國(guó)的這種濫用攻擊的服務(wù)器比關(guān)閉其它歐洲國(guó)家的這種服務(wù)器要困難一些,。攻擊者喜歡使用像法國(guó)這樣的國(guó)家的IP地址,。法國(guó)一般與惡意互聯(lián)網(wǎng)通訊流量無(wú)關(guān)。然而,，這些都是理論上的說(shuō)法,。

舒爾曼稱(chēng)，Imperva嘗試使用許多統(tǒng)計(jì)方法發(fā)現(xiàn)攻擊時(shí)機(jī)的方式并且做出結(jié)論稱(chēng)這些攻擊時(shí)機(jī)是不能預(yù)測(cè)的,。事實(shí)上,，他們今天遭到了攻擊不能預(yù)示明天將發(fā)生什么事情。

舒爾曼表示,，企業(yè)需要一直準(zhǔn)備好保護(hù)自己的Web應(yīng)用,，并且準(zhǔn)備好應(yīng)對(duì)最嚴(yán)重的攻擊，而不僅僅是應(yīng)對(duì)普通的攻擊,。