开源应用运行时自我保护解决方案 - OpenRASP

OpenRASP 如何工作？

随着Web应用攻击手段变得复杂，基于请求特征的防护手段，已经不能满足企业安全防护需求。Gartner在2014年提出了应用自我保护技术（RASP）的概念，即将防护引擎嵌入到应用内部，不再依赖外部防护设备。OpenRASP是该技术的开源实现，可以在不依赖请求特征的情况下，准确的识别代码注入、反序列化等应用异常，很好的弥补了传统设备防护滞后的问题。若要了解更多细节，请阅读谢幺 - 百度安全的 OpenRASP 项目，究竟是什么？以及 OpenRASP 最佳实践。

保护引擎深度集成

挂钩关键函数，深度监控应用执行流。在数据库、网络、文件系统等多个层面，对应用进行全面的监控和防护。

零规则检测漏洞

发生攻击时，自动识别用户输入。结合语义引擎、应用堆栈、请求上下文，零规则检测威胁。具体请看说明文档。

高性能

高并发压力下，接口响应时间延迟 1~7ms，可接受。具体请看性能测试报告。

可定制化更强

检测逻辑由JavaScript插件实现，全平台复用；日志可以通过http/syslog/kafka等方式推送，与SIEM系统完美集成。

OpenRASP 最佳实践 - v2019.04.17 (PDF)

详细了解RASP技术原理、OpenRASP 技术优势、最佳部署实践、企业级定制等内容。

点击查看 (~500 KB)

IAST 商业版

目前 OpenRASP 开源版本的客户数量已经过百，QQ群人数超过1400人。为了更好满足企业级客户的需求，我们决定推出商业版。相比于开源版本，商业版具有如下高级功能:

动态污点追踪。能够识别关键参数的来源，预判接口是否存在漏洞。

检测能力更强。支持NoSQL注入等22类漏洞检测，硬编码密码等30类基线检测。

账号权限管理。可创建多个用户，并授予不同的权限。

自动升级支持。自动识别应用并部署，随应用重启而升级，无需再次部署。

类库弱点识别。在采集类库信息的同时，判断是否存在已知漏洞。

更多图表支持。支持漏洞报告导出，以及更加全面的可视化支持。

商业版预计3月份可申请试用，具体请留意QQ群公告 - 群号: 259318664

常见问题

FAQ

OpenRASP和WAF的区别在哪里？

WAF 在请求层进行过滤，而RASP技术则是根据应用行为进行过滤。这种技术具有如下优势，

只有成功的攻击才会触发RASP的报警，而WAF是只要匹配特征就会报警 ...
WAF很难完全兼容后端应用的特性，导致防护引擎绕过；而RASP不受影响 ..
可以实现应用热补丁，比如永久免疫 Struts OGNL 系列漏洞，WAF只能不断加规则 ...
可定制安全编码规范、服务器安全基线，WAF做不了 ...
...

还想了解更多？请下载我们编写的电子书 - OpenRASP 最佳实践

目前支持哪些应用服务器?

目前，我们支持 Tomcat 6-11, JBoss 4-16, Jetty 7-9, SpringBoot 1-2, WebSphere 7-9, WebLogic 10-12, PHP 5-7 等服务器，具体说明请查看兼容性说明。2020年我们会逐步支持 C#、Node、Python 等其他开发语言。