| name | implementing-runtime-application-self-protection |
| description | 部署运行时应用自我保护（RASP，Runtime Application Self-Protection）代理，从应用运行时内部检测并阻断攻击，涵盖 OpenRASP 集成、攻击模式检测，以及 Java 和 Python Web 应用的安全策略配置。 |
| domain | cybersecurity |
| subdomain | application-security |
| tags | ["rasp","application-security","openrasp","runtime-protection","sqli","xss","rce","devsecops"] |
| version | 1.0 |
| author | mahipal |
| license | Apache-2.0 |
实施运行时应用自我保护
概述
运行时应用自我保护（RASP）通过在运行时对应用代码进行插桩，以检查实际执行上下文而非仅依赖网络流量模式来检测和阻断攻击。与从外部检查 HTTP 请求的 WAF（Web 应用防火墙）不同，RASP 代理在应用内部的函数级别拦截危险操作（SQL 查询、文件操作、命令执行、反序列化），实现接近零误报率。本技能涵盖为 Java 应用部署 OpenRASP、配置 OWASP Top 10 攻击的检测策略、调整告警阈值，以及将 RASP 遥测数据与 SIEM 平台集成。
前置条件
- Java 8+ 应用服务器（Tomcat、Spring Boot 或 JBoss）或 Python Flask/Django 应用
- OpenRASP 代理包（rasp-java 或同等工具）
- OpenRASP 管理控制台，用于集中策略管理
- SIEM 集成端点（Splunk HEC、Elasticsearch 或 syslog）
- 用于 RASP 测试的应用预发布环境（上线前）
步骤
步骤 1：部署 RASP 代理
使用 JVM agent 附加（Java）或中间件钩子（Python）将 RASP 代理安装到应用服务器运行时。
步骤 2：配置检测策略
为 SQL 注入、命令注入、SSRF、路径遍历、XXE 和反序列化攻击定义检测规则，配置阻断或监控动作。
步骤 3：调整和建立基线
在正常运营期间以监控模式运行代理，建立基线行为并调整策略以减少误报，然后再切换到阻断模式。
步骤 4：与 SIEM 集成
将 RASP 告警转发到 SIEM，与 WAF、IDS 和认证事件关联，构建全面的攻击时间线。
预期输出
JSON 报告，包含 RASP 策略审计结果、带堆栈跟踪的检测到的攻击尝试、已阻断请求摘要，以及针对 OWASP Top 10 的覆盖率评估。
