用戶端 JavaScript 威脅
當今企業大多都專注於伺服器端防禦，雖然現有的安全控制（例如防火牆、WAF 和入侵檢測）有助於保護伺服器端數據，但依舊有大部分犯罪活動發生在瀏覽器中。 用戶端攻擊（例如 Magecart）從用戶端瀏覽器中獲取表單數據並將其直接發送到攻擊者域，從而繞過伺服器端的防禦。 如果沒有在瀏覽器中提供安全有效的用戶端防禦，公司很容易受到攻擊。
根據微軟 RiskIQ 2020 年 12 月的報告，Magecart 攻擊每 16 分鐘發生一次。 而且，根據Source Defense的說法——客戶端攻擊每39秒發生一次。
傳統的用戶端-伺服器 Web 應用是使用企業自己建立的，並使用企業自己的工具進行設計。 除了對您自己的伺服器的數據調用和偶爾的更新之外，他們在客戶端是獨立開發的。 為了加速開發、提高性能和創造更好的數字體驗，很多開發者轉向使用用戶端上的第三方元件。
企業在其軟體供應鏈生態系統中存在很大的盲點，許多不同的腳本從第三方嵌入到他們的網站中。 這些第三方本身通常依賴於另一組第三方庫（jQuery 就是一個很好的例子），這使得跟蹤和保護這個用戶端 JavaScript 代碼的供應鏈變得非常困難。
當今的現代 Web 應用非常複雜。 作為標準使用者訪問體驗的一部分，每個現代應用平均載入 20 多個第三方腳本是很常見的。 企業通常不知道他們的環境中究竟存在哪些腳本，誰將它們放置在哪裡，或者它們何時被更改。
幾乎 100% 的網站都是用 JavaScript 編寫的，但編寫 JavaScript 時並沒有考慮到安全性。 很容易理解為什麼網站如此脆弱。
許多以前使用的檢測技術，例如用於執行完整性檢查以確保腳本未被篡改的子資源完整性 （SRI），以及用於限制瀏覽器可以從中載入腳本和發送數據內容安全策略 （CSP），仍然具有一定的價值，但已不足以保護當今不斷變化的Web和行動應用。
事實是，今天的客戶端攻擊是有利可圖的，公司實際上無法瞭解在其網站上運行的腳本數量或它們何時被暴露。 犯罪分子正在利用這種缺乏可視化的優勢，通過將惡意腳本注入網頁所依賴的供應鏈來破壞電子商務平台帳戶、代碼存儲庫和 S3 儲存桶。 這會導致 PII 數據洩漏、支付卡盜刷、憑證劫持以及使用者輸入的其他敏感資訊的數據洩露。
這些攻擊通常被稱為Magecart攻擊。 在最近的 F5 Labs 報告中，我們注意到惡意表單劫持腳本的多樣性在 2021 年增長了20 倍，其中使用的訪問、偽裝和滲透技術的種類也在增加。 而且，在 F5 的 2019 年應用安全研究報告中指出，表單劫持占網路洩露事件的 87%。
時至今日，諸如 Magecart 之類的 Formjacking 攻擊構成了大部分網路攻擊，其中大多數違規主要集中在零售行業。 具有在線會員支付介面的零售業務最有可能遭受表單劫持攻擊。
幾乎每個網站都使用供應鏈，供應商或合作夥伴獲取第三方代碼，而這些第三方自己也會從合作夥伴那裡獲取代碼。 雖然 Web 應用在企業的伺服器上託管和維護，但它們實際上在最終使用者的瀏覽器上運行。
用戶端 JavaScript 攻擊的影響
供應鏈攻擊會對企業造成不可挽回的損害，除了攻擊的直接影響（例如操作延遲、系統滲透以及敏感憑證或客戶數據被盜）之外，監管罰款、合規問題、聲譽受損、對關聯企業的攻擊以及客戶流失通常是供應鏈攻擊的後果。
根據IBM的數據洩露安全成本報告，數據洩露的平均成本比2020年的386萬美元增加了10%，這是自報告發佈以來的最大同比增幅。
擊敗客戶端攻擊和消除客戶端風險的最佳方法是主動監控客戶端活動並建立機制來緩解瀏覽器攻擊 – 在它們對您的業務或網站訪問者造成損害之前。 各行各業的公司投入鉅資保護其客戶數據，但他們仍然容易受到客戶端攻擊。 如果您只關注伺服器端防禦，您可能正處於用戶端攻擊的風險之中。 是時候專注於防止用戶端 Web 應用攻擊了。
現代網路犯罪在安全和欺詐之間的灰色地帶運作。 用戶端攻擊不僅僅是一個安全問題。 它可能導致欺詐、昂貴的合規違規費用、心懷不滿的客戶和長期的負面聲譽打擊。
使用 F5 分散式雲端端防禦緩解用戶端 JavaScript 攻擊
F5 分散式雲用戶端防禦可以通過主動監控瀏覽器中「庫」的活動，以抓住犯罪分子的違規行為。 當客戶訪問Web 應用時，分散式雲用戶端防禦會監視網頁中的可疑代碼，將遙測數據發送到分散式雲用戶端防禦分析大腦，該服務會生成可在儀錶板中查看的可操作警報。 啟用一鍵式緩解后，用戶端防禦會阻止違規庫從瀏覽器中發出的網路調用。
F5 用戶端防禦部署非常簡單。 只需啟用用戶端防禦，並使用反向代理甚至直接將 Javascript 代碼添加到您的網頁中。 完成此操作后，F5 就可以立即檢測您網頁上的惡意腳本，並在發現可疑內容時通知您。 有多種警報通知選項可供選擇：Slack，PagerDuty，SMS，電子郵件等。 在儀錶板中，列出了威脅參與者的域以及其他威脅指標和風險評分以及違規的 JavaScript。 從這裡我們可以減輕威脅 – 確保攻擊不再有效。 就是這麼簡單。
F5 分散式雲用戶端防禦持續監控威脅，發送威脅警報並提供一鍵式緩解，使您能夠有效阻斷數據洩露的危害。F5 用戶端防禦保護您免受各種用戶端攻擊，保護您的客戶憑據、您的財務資訊和 PII 免受 Magecart、表單劫持和其他客戶端供應鏈攻擊。
查看原文：NGINX