随着爬虫程序自动化工具成为网络攻击的常态，自动化威胁防护已成为企业防御系统的标准配置。 瑞数信息作为爬虫程序自动化攻击防护领域的专业制造商，多年来持续输出爬虫程序自动化威胁报告，使各行各业能够更好地应对爬虫程序自动化威胁的挑战。
2024年1月25日，瑞数信息正式发布《2023年Bots自动化威胁报告》（以下简称《报告》）。 本文从爬虫程序威胁场景、发展趋势、攻击特征等多个方面进行深入分析，分析多场景下的爬虫程序自动化攻击案例，对2024年爬虫程序自动化威胁的发展趋势做出最新研究与判断，并提供相应的防护建议。
四大核心观察
应用程序数据风险增加
由于企业基于互联网的流程不断深化，越来越多的企业迁移到互联网，大量的应用数据被产生、传输、披露和共享。 同时，新一代应用通过WEB、H5、APP、API、微信、小程序等多种业务渠道接入，导致应用暴露风险增加，链控难度增加，撞库攻击、暴力攻击、爬虫攻击、API接口滥用等各种变化也导致企业数据泄露风险加剧。
API 攻击持续增长
随着 API 调用次数的增加和自动化工具的兴起，API 攻击不断上升，API 攻击已大大超过传统 Web 攻击，约有 70% 的攻击是针对 API 发起的。 同时，由于API资产管理不当，导致大多数API未知、不受管理、不受保护，这也给攻击者带来了机会。 与传统的安全防护相比，API防护仍存在多种防护难点，API安全需求正成为热门话题。
反勒索软件可提高网络弹性
勒索软件攻击的频繁发生，让企业意识到“没有绝对的安全”，单靠反勒索软件是不可能避免真正意义上的勒索软件攻击的。 反勒索软件不同于反勒索软件，反勒索软件视角是提高“网络韧性”的视角，即使发生勒索软件，也不受攻击者的勒索要求，系统和业务可以快速恢复。 提高组织的网络弹性，即在勒索软件攻击后提供快速的业务恢复。
生成式 AI 威胁呈上升趋势
与任何技术创新一样，生成式人工智能在提高生产力的同时也带来了新的安全风险。 网络上已经有大量的“**gpts”，如wormgpt、fraudgpt、poisongpt、evil-gpt、xxxgpt、darkbart等等。 通过恶意训练的模型，攻击者可以生成各种工具，快速发现和利用目标系统中的漏洞，大大降低攻击阈值，提高攻击效率。