近日国内多家券商遭骇客以“密码撞库攻击”，使客户与企业蒙受损失的重大资安事件。对此，中华电信与中华资安国际合作推出“HiNet WAF 网站应用防火墙”服务，提供完整防撞库攻击机制，以机器学习方式辨识自动化与恶意流量，有效缓解撞库攻击，为企业筑起网站安全护城河。
中华资安表示，骇客利用民众外流个资尝试登录网站服务，一旦成功，即可冒用他人身份登入与操作系统，进行证券下单、资金操作等非经当事人授权行为，造成巨大的商业损失，更严重影响企业商誉。
据悉，HiNet WAF 网站应用防火墙服务，可针对单一账号登入多次失败或单一 IP 多个账号登入成功等场景提供检查机制，亦可利用机器学习方式精准辨识自动化与恶意流量，防止大量假账号与爬虫行为。另外，除前述撞库攻击外，可防护 OWASP TOP10 定义之网站威胁、BOT 攻击、跨脚本攻击等网站常见漏洞，对层出不穷的零时差（Zero Day）攻击具备免疫力，即使网站开发者未能即时修正网站漏洞，也能给予网站第一线有效防护服务。
不仅如此，该服务为电信等级的资安防护设备，结合中华资安的攻防专家调校，可协助客户有效阻挡来自 Internet 的网站入侵攻击或傀儡程式骚扰，目前已有多家-机关、资服业、金融业、超大型连锁量贩业与学校采用。同时企业不须自行雇用资安专家，可为企业减少管理负担，同时撙节高额的资安设备支出与维运成本。
中华资安国际总经理洪进福表示，目前包括金融、电商、制造等类型的企业服务网站，皆面临如同密码撞库的凭证填充（Credential Stuffing）或密码喷洒（Password Spraying）攻击。从中华资安国际累积的近千件资安事故调查中发现，有过半事故入侵管道是从网站遭骇出发，相较于利用恶意电子邮件、未修补的系统漏洞、远端桌面等手法高出许多，更显示网站安全是保障企业网站安全的第一道防线。
（首图来源：shutterstock）
