运行时应用自我保护(RASP)

运行时应用自我保护(Runtime Application Self-Protection,RASP)是一种将安全能力直接嵌入到应用程序运行时环境中的技术。它从应用内部实时监控程序的执行行为,一旦发现攻击迹象便就地阻断,使应用具备自我防护能力,而不必完全依赖外部的边界防御。

概述

传统的Web应用防火墙部署在应用之外,只能观察进出的网络流量,缺乏对应用内部逻辑和数据流的了解,容易被巧妙构造的攻击绕过。RASP则运行在应用进程之内,能够看到请求最终如何被处理,例如某段输入是否真的进入了数据库查询或系统命令,从而以更高精度判断攻击是否成立,大幅降低误报与漏报。

核心特点

• 内嵌运行时:以代理或库的形式集成进应用进程,与业务代码同环境运行。
• 上下文感知:掌握数据在应用内的实际流向,能区分真实攻击与正常输入。
• 实时阻断:检测到恶意行为时可直接中止请求或抛出异常,而非事后告警。
• 覆盖已知与未知:因关注行为本身,对某些未知攻击也有一定防护能力。

应用场景

RASP适合保护面向互联网的关键业务应用,尤其是难以短期修复历史漏洞的老旧系统,可作为虚拟补丁临时兜底。它常与WAF配合形成纵深防御:WAF在边界过滤大流量,RASP在应用内做精细判断。金融、政务等对攻击容忍度低的行业较多采用。

常见问题

问:RASP和WAF能互相替代吗?答:不能,二者互补,WAF在网络边界拦截,RASP在应用内部精准判断,组合使用防护更全面。

问:RASP会影响应用性能吗?答:因运行在应用进程内,会带来一定开销,需权衡防护强度与性能,合理配置监控范围。