Web 3.0大热背后的安全风险 Akamai给出这些建议

从Web 1.0、Web 2.0到Web 3.0，互联网世界的交互方式和商业模式涌现出了新的机遇，数字资产不仅是企业的关键资源，对于个人来说也同等重要。与此同时，Facebook、微软、阿里、腾讯等巨头企业纷纷入局，围绕区块链、元宇宙、NFT等概念持续探索，推出了一系列创新产品和服务。然而，新的需求也带来了新的挑战。随着作为Web 3.0基础的分布式计算机网络的区块链及其伴随技术和应用程序的增值，逐渐成为攻击者的新目标。

“Web3.0的特点是‘去中心化’，用到了区块链技术、金融属性比较强。我认为Web3.0里面会受到的攻击一个是可能会更复杂，另一个是会横跨其它的应用。”Akamai大中华区解决方案事业部高级技术经理刘烨表示，“Web 3.0时代，企业面临的安全攻击更多的需要综合考虑，而不只是原来行业里面比较有特点、比较典型的那些攻击类型。”例如在游戏行业，上链之后就会增加其他属性，导致区块链、交易所、银行风控等方面都要有所考虑。

根据中国音数协游戏工委（GPC）与中国游戏产业研究院合作发布的《2021年中国游戏产业报告》显示，2021年，中国游戏市场实际销售收入2965.13亿元，同比增长6.4%。与此同时，风险亦在孕育。今年4月，STEPN宣布版本更新，这是一款基于Web 3.0生活方的式应用程序，具有社交网络和游戏网络的特征。拥有NFT Sneakers的用户可以步行、慢跑或在户外跑步来赚取GST代币。

自版本更新以来，STEPN服务器遭受了几次DDOS攻击，许多用户甚至发声钱包内代币遗失的状况。而根据Akamai在2020年发布的一份报告，从2019年7月至2020年6月，共发生5600次不同类型的DDoS攻击，有超过3000次针对的是游戏行业。行业恶性竞争、敲诈勒索、游戏作弊正是游戏行业遭遇DDoS攻击的三大主要原因。根据Newzoo的预测，COVID-19疫情及后续的“社交隔离”会导致游戏行业的参与度和收入出现进一步增长。面对这种情况，游戏安全问题更值得引起所有人的注意。

Web 3.0为元宇宙等概念的落地提供了技术条件，而这也带来了新的担忧，像是身份、道具等数字资产如何被保护，并且虚拟资产真正有了价值，与真实世界产生了关联性，更容易受到黑客的关注，发起DDoS等攻击。在刘烨看来，Web 3.0不仅可以读、写互联网的内容，还可以拥有上面的资产，这得益于区块链技术的去中心化，像NFT就是一种所有权形式。由此，一些游戏企业想出了新的玩法，例如Axie Infinity推出了一款GameFI游戏，可以让用户先投入一些资金购买游戏中的资产，然后根据创建的人物等资产执行任务获取回报，所获得的代币可以在交易所进行交易。

这一趋势下，游戏不再是娱乐那么简单，而是增加了金融属性，安全和风控被提升到了更高的优先级。此前就有消息称，Axie Infinity的GameFI游戏因遭受攻击，导致损失了6亿美金的资产，另一家做GameFI的公司STEPN也曾遭到DDoS攻击，损失了用户代币。

元宇宙所面临的风险同样存在，体现在受攻击的类型日益复杂，甚至是此前没有出现过的，尤其是应用层的威胁难以防范。例如，过去的“钓鱼攻击”可能是通过邮件诱导用户点击后输入用户名和口令，而在元宇宙中可能是沉浸世界里面的“人物”去骗取信息，从而拿到用户的数字资产。对此，企业不仅要具备一定程度的防范意识和方法，还要根据不同的场景、利用专业的工具构建全方位的风控体系。

过去两年，DDoS威胁增长显著，“>500G”的DDoS攻击占比不断提升，攻击规模越来越大，殃及各行各业。其中，游戏行业受到的威胁尤甚，短时间停机会失去玩家，后续还会影响收入。在全球游戏产业高速发展的背景下，安全问题显然需要被重视。对于游戏行业的网络安全，刘烨提出了三方面的建议：一是安全防护要有足够的纵深，覆盖从应用层到基础架构层；二是将安全厂商的产品和工具集成到自身的风控体系；三是利用平台数据和专家资源，结合历史经验有针对性的解决特定问题。

在安全领域，Akamai有着深厚的技术积累。2021年，Akamai的安全相关营收达到13亿美元，年比年增长25%，占据公司整体营收的40%。具体来看，Akamai的安全资源分为四个方面：一是基础架构安全，防止DDoS等针对基础架构的攻击；二是应用安全，主要面向游戏行业，对金融、区块链进行防护，保障用户的支付安全，包括在客户端代码上进行防御；三是零信任，采取各种措施维护企业内部安全，例如用微分段把数据中心分成不同的安全区域进行防护；四是人员，Akamai安全运营中心和紧急响应中心的专家可以在用户遭遇大规模攻击时，利用工具分析攻击类型，帮助其快速解决问题，消除攻击影响。

Akamai为行业客户提供了丰富的工具集来解决不同场景遇到的安全挑战，如果上层应用是游戏，这款游戏中又包括一些特殊的属性，容易遭受DDoS攻击、被机器人撞库等，那么Akamai就会提供用于DDoS防护、基础安全防护的工具。如果是金融属性比较强的应用，那么“账户接管”等类型的攻击就会多一些，Akamai会提供针对不同人群行为进行分析的安全工具。

Akamai对安全领域的投资从未间断。去年11月，Akamai收购了Guardicore，后者是微分段领域的领导者之一。Guardicore会阻止勒索软件，根据策略进行微分段，在数据中心、网络中按照访问逻辑、安全等级对人员“分段”，把风险控制在一定范围之内。同时，Guardicore的方案也融入了企业的零信任架构。

通常，企业的数据中心往往会有成规模的服务器，这些机器有着不同的用途，包括支撑企业核心业务的运行。这些应用在不同的服务器之间相互通信，一旦某一台设备被恶意软件入侵，就会借助“跳板”蔓延到其他的设备上，进而入侵内网。Guardicore的AI技术会对网络通信进行分析，找出服务器之间的关联性，根据不同的应用属性为企业提供策略建议。这样一来，网络通信就可看作是不同的段，只能允许某些服务器向另一些服务器提供端口或应用访问，从逻辑上看就是数据中心内被分成了很多安全区域，再通过Guardicore给管理起来。

安全、交付、云计算，是Akamai的三大发展方向。今年3月，Akamai收购了Linode，该公司成立于2003年，最初从事虚拟主机业务，在全球拥有15万家客户、11个数据中心。收购完成之后，Akamai的边缘计算、数据中心计算、云计算解决方案会持续完善，还会新建数据中心，扩展服务规模。Akamai的服务器计算方案包括EdgeWorkers、EdgeKV，可以应用于4200个本地数据中心。同时，Akamai的现有节点和扩展节点未来可以融入Linode的解决方案，形成基于VM和容器的计算资源，就近为用户提供服务。