“第二战场”已然开辟
所谓道高一尺，魔高一丈，描述的就是安全攻防大战。总的来说，处于防御的一方陷于被动；作为攻击一方，总是要选择防守最薄弱的地方。熟悉二战历史就会知道，诺曼底登陆对于盟军的重要性。盟军成功开辟第二战场不到一年时间内，“第三帝国”就土崩瓦解了。由此可见，选择好一个突破口至关重要。
所谓木桶效应，信息安全程度、水平也是由于最短的“桶板”来决定的。所以对于用户来说，弥补自己的短板是信息安全攻防的当务之急。
“诺曼底”也好，“短板”也好，真的现实存在吗？作为信息安全权威专业人士，何迪生告诉我：不仅存在，而且用户意识非常薄弱，不经意之间，用户的门户洞开。
没有出事情，要么是运气好，要么就是事情已经出了，还没有意识到。在国内，今年4月，某电商用户数据泄露，一夜之间，股票市值蒸发了8.6%，给品牌带来了难以挽回的影响。Gartner的数据报告显示，如今有超过80%的攻击都发生在应用层，如何防护应用层安全成为现阶段的首要任务之一。
剑指“应用安全”
应该说，何迪生先生辉煌的履历是促成采访并形成本文的原因。他在北美工作12年，后来又负责微软安全业务11年。2000～2011年，担任微软香港区首席安全官，管理2.5亿美元微软信息安全及核心技术架构业务开发，管理过香港赛马会 e-Betting 及 汇丰银行的科技项目，以及2008年北京奥运会城市运行指挥平台安全顾问，WTO第六次部长会议首席安全咨询师。
当问到为什么会选择OneAPM这家刚刚在新三板上市的公司时，何迪生说到：将下一代应用层安全在国内落地是我们共同的目标。
何迪生还指出：棱镜门之后，信息安全已上升到了国家战略高度。为此，政府投入巨资保障信息安全。但这些投入主要集中在网络层，主机层的防护上，诸如我们所熟知的防火墙、IDS／IPS、AV、主机加固及补丁管理等。
与网络层和主机层安全相比，如今更多的入侵者已经开始转移战场，选择应用层为突破口。SQL注入、跨站脚本攻击 （XSS）、跨站请求伪造（Cross-site request forgery ）都是黑客经常采用的攻击方式，他们通过SQL注入的方式，盗取大量用户数据。通过“HTML注入”篡改网页、插入恶意的脚本控制用户浏览器，以正常的用户身份在网站上发消息、买东西，甚至转账。这些攻击手段十分隐蔽，危害之大让人防不胜防。
如今传统的信息安全防护方案，对于应用软件、数据安全的防范作用有限。传统信息安全防护方案中，WAF（Web Application Firewall）是如今比较常见的应用层安全解决方案。但WAF这类边界保护防护方案，对于管理人员的要求十分高，但目前我国安全人才稀缺，有调查报告指出，我国每年对于安全人才的需求达到100万，但实际人才输出仅有2W，有高达98% 的缺口；因此由于策略配置的不妥当带来的误杀误报现象也就十分严重。
据介绍，RASP技术的原理是将保护代码像一剂疫苗注入应用程序中，结合应用的逻辑及上下文，对访问应用请求的每一段代码进行检测，相比于WAF来讲，可以实现简单管理及提升了检测的精准性。
小结
何迪生表示：RASP技术并不会完全取代WAF，信息安全是一个层层设防，纵深防御的过程，RASP探针是保护应用安全的最后一道无法逾越的防线。
“我们正在中国开创新一代安全体系的历史，这是前所未有的。”何迪生说。
