為提升自主創(chuàng)新產(chǎn)品質(zhì)量和技術創(chuàng)新能力，助力重點行業(yè)自主可控基礎設施建設，加速重點行業(yè)數(shù)字化轉型工作進程，促進重點行業(yè)產(chǎn)業(yè)鏈數(shù)字化升級，推動重點行業(yè)數(shù)字化、網(wǎng)絡化、智能化發(fā)展。國家工業(yè)信息安全發(fā)展研究中心聯(lián)合中國交通建設集團有限公司、中國海洋石油集團有限公司共同主辦，軟件融合應用與測試驗證工信部重點實驗室、關鍵軟件密碼研究中心、中關村網(wǎng)絡安全與信息化產(chǎn)業(yè)聯(lián)盟、中國交通運輸協(xié)會信息專業(yè)委員會、智慧交通自主創(chuàng)新聯(lián)合實驗室、化工行業(yè)信創(chuàng)適配驗證中心、雙態(tài)IT論壇等單位共同承辦，開展了“數(shù)智賦能 創(chuàng)新領航”2023年數(shù)字化轉型自主創(chuàng)新解決方案優(yōu)選征集工作。

中心從方案符合性、材料完備性等方面完成資格審查，并邀請用戶單位、高校、行業(yè)協(xié)會多位專家組成評審組，綜合考慮方案的技術體系合理性、技術創(chuàng)新性、產(chǎn)品成熟度、推廣價值等方面開展方案評審，最終評審出60個解決方案優(yōu)選案例。

通付盾WAAP——基于決策智能的Web應用與API防護解決方案入選2023年數(shù)字化轉型自主創(chuàng)新解決方案安全防護類優(yōu)選案例。

通付盾WAAP-基于決策智能的Web應用與API防護解決方案

（圖 通付盾WAAP解決方案）

通付盾WAAP是一種能夠不斷自我學習和適應最新攻擊行為的網(wǎng)絡與數(shù)據(jù)安全防護技術集合，是一款具有可視化拖拽功能的自動化編排安全體系產(chǎn)品，是一個融合AI Agent（AI智能體）、Web應用防護、API安全、Bot管理、DDOS緩解、風險智能決策等功能的安全工具集成解決方案。通付盾WAAP采用現(xiàn)代技術自適應體系，融合策略、模型、圖譜分析進行實時甄別欺詐及批量風險決策，自適應引擎可對復雜環(huán)境變化進行快速配置及管理，能夠自主分析網(wǎng)絡中傳輸?shù)臄?shù)據(jù)和流量，有效識別并智能攔截惡意攻擊，保障現(xiàn)代應用網(wǎng)絡與數(shù)據(jù)安全。

01.解決傳統(tǒng)Web防護短板

現(xiàn)代 Web 應用程序的發(fā)展，惡意攻擊者用來破壞應用程序安全性的技術也在不斷發(fā)展。有了新的功能和特性，攻擊者有更多的表面積可以嘗試和瞄準。敏捷方法和 DevOps 實踐的采用也導致開發(fā)、軟件更新和新功能發(fā)布的步伐迅速加快。

這些發(fā)展趨勢也導致傳統(tǒng)的 Web 應用防火墻 (WAF) 無法跟上安全需求。WAF 通常依賴于手動調(diào)整和持續(xù)維護，并且通常只監(jiān)控開放 Web 應用程序安全項目（OWASP Top 10）列出的前 10 大最嚴重威脅。所有這一切意味著當今的開發(fā)人員、應用程序安全團隊和 DevOps 需要一個更好的解決方案來提供可隨 Web 應用程序部署擴展的安全性。

02.集成融合形成立體防護

Web應用程序安全市場不斷發(fā)展以跟上新數(shù)字經(jīng)濟的步伐。雖然 Web 應用程序防火墻 (WAF) 已被證明是緩解應用程序漏洞的有效工具，但 API 的激增和攻擊者復雜程度的提高引發(fā)了 WAF、API 安全、機器人防御、DDoS 緩解和應用程序基礎設施保護的融合。WAAP 解決方案可保護應用程序免遭泄露、停機和欺詐。

競爭激烈的數(shù)字環(huán)境促使組織采用現(xiàn)代軟件開發(fā)來在市場中取得領先地位，從而實現(xiàn)快速發(fā)布周期以引入新功能以及集成、前端用戶界面和后端 API 的混搭。因此，新的數(shù)字經(jīng)濟需要 Web 應用程序安全進入新時代，以安全地釋放創(chuàng)新、有效管理風險并降低運營復雜性。

03.WAAP是網(wǎng)絡與數(shù)據(jù)安全工具的融合與集成

傳統(tǒng)Web安全防護更多的點在網(wǎng)絡安全層面，針對數(shù)據(jù)安全需要另外的數(shù)據(jù)安全產(chǎn)品來補充，一方面，面對不斷變化的網(wǎng)絡威脅，針對傳統(tǒng)Web防護，需要進化與革新，另一方面也需要提供統(tǒng)一的整體防護。WAAP全稱是Web應用程序與API保護，它是一個網(wǎng)絡安全實現(xiàn)的集合，通過一系列自動伸縮的、云原生的安全模型來保護API和Web應用程序，同時降低機器人掃描的風險，每個模型都有不同的策略來提高安全性，幫助客戶提高應用程序的性能與防護能力。以往要解決這些Web問題分別要不同產(chǎn)品和服務獲得保護，但是通過WAAP解決方案，可由一個產(chǎn)品或服務就可以提供統(tǒng)一的整體防護，并由一個廠商為解決方案提供支持。

04.WAAP解決的問題

WAAP解決方案通過集成各種安全控制措施來保護應用，從而降低系統(tǒng)入侵、數(shù)據(jù)泄露、帳戶接管和應用停機的風險，包括：Web 應用防火墻 (WAF)、Bot 管理、API 安全、DDoS 緩解。

（圖 Web應用和API保護（WAAP））

WAAP通過對API進行漏洞掃描和修復，發(fā)現(xiàn)及管理數(shù)據(jù)資產(chǎn)，及時發(fā)現(xiàn)并修復API中的安全漏洞；

（1）通過對API訪問進行控制和監(jiān)控，防止未經(jīng)授權的訪問和惡意攻擊；

（2）通過Web動態(tài)防御，隱藏攻擊入口，提升站點內(nèi)容保護力度，提高攻擊者的攻擊成本；

（3）通過基于特征、行為、人機識別等模型，識別與攔截自動化攻擊，防范數(shù)據(jù)爬取，保護數(shù)據(jù)資產(chǎn)；

（4）通過智能決策，動態(tài)應用配置，防范應用層DDOS，降低服務負載，防止過量攻擊；

（5）通過體系化的安全模型及防護措施，加強API安全管理，防御自動化攻擊，防范數(shù)據(jù)泄露.

未來，通付盾將繼續(xù)為推動新一代信息技術與重點行業(yè)的深度融合，實現(xiàn)重點行業(yè)產(chǎn)業(yè)鏈數(shù)字化升級，加強自主可控信息基礎設施建設提升行業(yè)基礎能力和供應鏈安全水平，助力重點行業(yè)數(shù)字化網(wǎng)絡化、智能化發(fā)展貢獻力量。