Nick Lewis(CISSP，GCWN))是一名信息安全分析師。他主要負責(zé)風(fēng)險管理項目，并支持該項目的技術(shù)PCI法規(guī)遵從計劃。2002年，Nick獲得密歇根州立大學(xué)的電信理學(xué)碩士學(xué)位;2005年，又獲得Norwich大學(xué)的信息安全保障理學(xué)碩士學(xué)位。在他09年加入目前的組織之前，Nick曾在波士頓兒童醫(yī)院、哈佛醫(yī)學(xué)院初級兒科教學(xué)醫(yī)院，以及Internet2和密歇根州立大學(xué)工作。

[[122453]]

聽說現(xiàn)在攻擊者會利用Web代理服務(wù)器來隱藏正在執(zhí)行其攻擊的設(shè)備。我知道我們只能夠攔截IP地址，但我們有些客戶也在使用Web代理服務(wù)器。是否有其他方式來阻止和防止此類攻擊，而不會失去合法的通信?

Nick Lewis：攻擊者一直在混淆源IP地址，只要IP網(wǎng)絡(luò)在使用中。以前很多隱藏源IP地址的方法(例如偽造源IP地址)可以通過遵循BCP38的建議來進行阻止，BCP38即僅為“你的企業(yè)網(wǎng)絡(luò)和客戶路由網(wǎng)絡(luò)流量”。

雖然自BCP38發(fā)布的近25年以來，檢測系統(tǒng)已經(jīng)有所改進，但攻擊者仍然有很多辦法來混淆執(zhí)行攻擊的設(shè)備的源IP地址;例如，這可以使用Tor、Web代理服務(wù)器或網(wǎng)絡(luò)地址轉(zhuǎn)換來完成。重要的是要注意，Web代理服務(wù)器可以用來提高系統(tǒng)的安全性，因為它可以濾掉通過未加密Web代理服務(wù)器的惡意加密流量。Web代理服務(wù)器還可以為合法用戶提供一定水平的匿名性。然而，Web代理服務(wù)器也可能會影響隱私性，但這是另一回事了。

阻止單個IP地址或Web代理服務(wù)器并不會具有可擴展性。但提高對可疑單個IP的監(jiān)控可以幫助識別正在進行的攻擊，并幫助確定哪些系統(tǒng)已經(jīng)受到感染。

企業(yè)也可以訂閱黑名單或威脅情報服務(wù)來幫助保持最新IP阻止列表，僅阻止未經(jīng)批準的代理服務(wù)器。然而，這可能仍然非常具有挑戰(zhàn)性，因為你不想要阻止合法客戶。根據(jù)你想要阻止惡意連接的方式，你可以提高用于驗證合法連接的身份驗證，或者甚至在你的Web應(yīng)用前面部署Web代理服務(wù)器(或者Web應(yīng)用防火墻)，以過濾掉到目的Web應(yīng)用的未經(jīng)驗證的連接。你還可以對客戶的網(wǎng)絡(luò)使用白名單的辦法來設(shè)置對web應(yīng)用的訪問權(quán)限。