作者
长沙银行总行数据中心 欧阳耀 皮智 方新辰
一、RASP技术应用背景
随着金融业务数字化和云化的加速推进，银行信息系统规模不断扩大，业务复杂度持续提升，双重变化叠加给银行安全防护工作带来极大挑战。以长沙银行为例，当前全行服务器规模超过9000台，承载各类应用系统超过350套，覆盖互联网门户、核心交易、办公协同、数据分析等多元场景。长沙银行已在网络流量侧和主机侧分别部署全流量检测平台和主机安全产品，形成了较为完善的安全防护基础。随着应用攻击手段持续演进，应用运行时的威胁感知与防护能力仍有进一步提升空间。
针对这一现状，长沙银行采用运行时应用自我保护（Runtime Application Self-Protection，RASP）技术构建应用内生安全机制。RASP技术通过在应用运行时进行代码级插桩，实时捕获和拦截各种复杂的攻击行为；结合API治理与数据链路监控，可清晰呈现应用内部的调用关系和敏感数据流转过程，消除应用层安全的盲区。同时，RASP技术的热补丁机制能够在不重启业务的情况下完成漏洞修复，为网络安全攻防演练、合规检查和实战对抗提供坚实支撑。
二、长沙银行RASP技术
应用情况
1. 原理架构
（1）设计理念
以RASP技术为核心，构建覆盖应用运行时的多维度防护体系，与现有主机入侵检测系统（Host-based Intrusion Detection System，HIDS）、流量检测系统联动，实现从入口到运行时的端到端防护闭环管理（如图1所示）。RASP是运行在应用程序内部的安全防护模块，其防护层次既不同于部署在流量的Web应用防火墙（Web Application Firewall，WAF），也不同于部署在主机层的HIDS，而是专注于应用层的相关安全场景。
在应用防护方面，RASP对应用运行状态下的攻击入侵行为进行实时检测与拦截，提供可靠有效的应用防护能力。在风险治理方面，在应用运行的过程中实时清点资产情况，并动态分析应用风险趋势。在API调用采集方面，支持应用内部和外部访问的API清点，呈现API与所调用微服务、数据库之间的交互关系；采集API中传输的数据内容，识别其中的敏感数据，及时暴露数据传输风险。
图1 RASP应用内生安全防护体系架构
（2）整体布局
RASP技术防护体系（如图2所示）主要包括应用管理、应用资产清点、应用风险检测、应用热补丁、入侵防护五大模块。
其中，应用管理模块按业务维度管理应用与主机关系，支持策略独立配置与性能控制；应用资产清点模块通过Agent自动化清点主机、进程、组件库与API，实现细粒度资产可视；应用风险检测模块运行时可识别中间件漏洞、弱密码等风险，生成风险画像并指导修复；应用热补丁模块支持log4j、fastjson等常见及0day漏洞的热修复，无需重启业务；入侵防护模块基于运行时插桩监控底层调用，可有效拦截内存马、反序列化等高级攻击。
（3）防护场景
RASP技术防护体系可为银行互联网业务、风险较高的关键业务和远程办公等业务场景提供应用安全防护。主要防护场景包括以下几个方面。
一是0day漏洞实时检测。通过函数Hook、调用链监控等技术，在应用运行时实时识别并拦截利用log4j、fastjson等通用组件漏洞的行为。
二是高级威胁攻击的检测与防护。重点针对内存马、反序列化攻击、无文件攻击、远程命令执行（RCE）等传统安全设备难以检测的高级威胁，消除现有体系在攻防演练中暴露的盲点。
三是加密流量攻击识别。互联网应用通常会在应用侧对流量进行加密，传统设备无法检测；而RASP技术是在应用层获取明文请求，可精准检测隐藏在HTTPS或自定义加密协议中的恶意载荷。
四是API清点及风险行为监测。RASP技术可结合静态识别与运行时监控，发现并清点影子API、僵尸API，形成API资产清单；通过监控API调用链上下文、参数和响应，及时发现未鉴权访问、批量下载、越权调用、敏感数据外发等风险行为，实现实时告警与阻断。
1. 关键技术
RASP的关键技术能力均建立在接管应用底层接口的基础上，形成基于底层行为的无规则运营、精准检测与内部防御、热补丁修复与高级威胁防护四类能力。
（1）基于底层行为的无规则运营
RASP将功能模块注入运行中的应用程序中，自动接管应用程序的各种底层接口，从而能够检测类库加载、命令执行、文件读写等多种行为，拦截从应用程序到系统的所有调用，并直接在应用程序内部验证数据请求的安全性，无需像传统安全产品那样不断围绕攻击特征开展规则上的运营对抗。
（2）精准检测与内部防御
RASP接管了底层接口，而应用程序内的一些操作都需要经由接口完成，攻击行为也不例外，因此攻击无法绕过RASP的检测；检测到异常时已到接口调用层面，说明攻击已经发生，确定性高，相比传统的外部防护，RASP检测更加精准，漏报、误报较少。
（3）热补丁修复机制
RASP支持在运行时动态修复漏洞，覆盖log4j、structs2、fastjson等常见组件漏洞及0day漏洞，无需重启业务，保障业务连续性与应急响应速度。
（4）高级威胁防护能力
一是内存马三层防御。RASP可在攻击路径上部署三层防御机制（如图3所示），对内存马逐层拦截，解决内存马隐蔽性强、破坏性大的难题。
二是SQL注入深度检测。RASP可结合输入校验、词法/语义分析与数据库异常判断等多重手段，精准识别并阻断SQL注入（如图4所示）。
三是0day专项防护。通过多层机制检测RCE命令执行行为，既能拦截已知漏洞利用，也能预防未知0day威胁，防止应用系统遭受入侵。
图5 RCE命令执行检测机制
三、RASP技术应用收益
此前，长沙银行的安全体系主要集中在网络侧和主机侧，虽然能够在一定程度上发现已知攻击，但对运行时的应用内部攻击依然存在明显盲区。长沙银行应用RASP技术有效补齐应用层防护短板，依托热补丁机制实现漏洞在线修复，突破高级威胁检测限制，开展API与数据安全治理，提升全行内生安全防护水平，进一步保障业务安全。RASP技术应用的具体收益主要体现在以下几个方面。
一是突破高级攻击防护瓶颈。RASP通过无规则逻辑检测机制深度监控应用底层操作（如命令执行、数据库访问等），直接阻断0day漏洞、内存马等无文件攻击，解决入侵防御系统（Intrusion Prevention System，IPS）、WAF、HIDS等传统防护设备因依赖特征库而无法识别未知威胁的缺陷，显著提升主动防御能力，在各类攻防演练中发挥良好的防守效果。
二是构建内生安全与风险治理闭环。实时梳理应用资产及组件漏洞，形成风险加固基线；实现东西向流量与内部调用全链路可视，消除流量防护盲区，推动建立标准化、可持续的治理机制，解决“不可见”问题；结合热补丁技术对无法及时修复的漏洞实现在线修复，大幅降低应急成本，实现从威胁发现到处置的闭环管理，将事件处置周期从“数周”缩短至“数小时”，降低因漏洞修复导致业务中断的风险。
三是驱动安全运营效能升级。打通“流量—应用—主机”三层数据，还原加密流量攻击内容，监控代码执行路径，Hook系统底层调用，构建完整攻击证据链；通过联动安全运营中心（Security Operations Center，SOC）、HIDS实现交叉验证，提升告警准确率与响应效率，强化纵深防御体系的技术收敛能力。
特别提示
《中国金融电脑》杂志不收取作者版面费用，不会以所谓的“本刊代理/编辑部”或“发表定金”“手续费”等名义收取费用。购刊收款账户为对公账户，请勿对任何个人账户汇款。另，本刊开具发票不收取任何额外费用。如有异常，请作者立即与本刊编辑部查证核实，以免给自身造成风险或损失。
本刊编辑部联系方式：
010-51915111-816
投稿邮箱：
fcc@fcc.com.cn
市场合作：
010-51915111-813
010-51915111-812
010-51915111-826
