近年來(lái)企業(yè)網(wǎng)絡(luò)安全已然成為各行業(yè)的重點(diǎn)，提起攻防對(duì)抗，最受關(guān)注的可能是0day漏洞、網(wǎng)絡(luò)釣魚(yú)、供應(yīng)鏈風(fēng)險(xiǎn)等等，不過(guò)對(duì)于攻擊者來(lái)說(shuō)，如果他想選擇一個(gè)方便易用的攻擊突破口，首選可能是API。隨著云計(jì)算、移動(dòng)互聯(lián)網(wǎng)、物聯(lián)網(wǎng)的蓬勃發(fā)展，越來(lái)越多的應(yīng)用開(kāi)發(fā)深度依賴(lài)于API之間的相互調(diào)用。尤其是疫情常態(tài)化之后，出現(xiàn)了許多協(xié)同辦公、在線教育、直播短視頻等在線應(yīng)用的發(fā)展。API不僅可以用來(lái)連接服務(wù)，還可以用來(lái)傳輸數(shù)據(jù)。隨著API的絕對(duì)數(shù)量的不斷增長(zhǎng)，通過(guò)API傳遞的數(shù)據(jù)量也在快速增長(zhǎng)。
到底什么是API？
API，中文名稱(chēng)為“應(yīng)用程序編程接口”，就是軟件系統(tǒng)不同組成部分銜接的約定，是現(xiàn)代移動(dòng)、SaaS和Web應(yīng)用程序的關(guān)鍵組成部分?？赡軟](méi)有了解過(guò)的人聽(tīng)起來(lái)比較難懂，但其實(shí)我們每個(gè)人的生活中都會(huì)接觸到API，如：每天打開(kāi)手機(jī)查看天氣，天氣APP需要通過(guò)API提取數(shù)據(jù)，又或者到公司出差或旅游時(shí)需要上網(wǎng)查票，購(gòu)票網(wǎng)站的更新數(shù)據(jù)也是通過(guò)API獲取，購(gòu)票后打開(kāi)OA提交流程，OA應(yīng)用??傳輸數(shù)據(jù)也是會(huì)使用到API。
API成為攻擊者的關(guān)鍵目標(biāo)
有數(shù)據(jù)顯示，API作為輕量化技術(shù)，備受全球企業(yè)組織青睞，目前應(yīng)用接口呈現(xiàn)爆發(fā)式增長(zhǎng)。與2019年相比，2020年API流量同比增長(zhǎng)2.8倍，44%的企業(yè)正在構(gòu)建和維護(hù)100個(gè)或更多的API。
與此同時(shí)，API正在成為攻擊者的關(guān)鍵目標(biāo)。根據(jù)Salt Security的《State of API Security Report,Q3 2021》報(bào)告，2021年上半年，API整體流量增長(zhǎng)了141%，API攻擊流量增長(zhǎng)了348%。API的攻擊流量呈倍速增長(zhǎng)。報(bào)告還指出，安全問(wèn)題是API項(xiàng)目最關(guān)心的問(wèn)題，大部分受訪者對(duì)于識(shí)別和阻止API攻擊都沒(méi)有十足的把握。
API安全防護(hù)企業(yè)應(yīng)怎么做？API安全防護(hù)最佳實(shí)踐！
1、建立可信身份
企業(yè)應(yīng)建立可信身份，然后使用分配給這些身份的令牌來(lái)控制對(duì)服務(wù)和資源的訪問(wèn)。使用加密和簽名，通過(guò)TLS等方式加密企業(yè)數(shù)據(jù)。要求使用簽名以確保只有授權(quán)用戶(hù)才能解密和修改數(shù)據(jù)。
2、識(shí)別漏洞
確保操作系統(tǒng)、網(wǎng)絡(luò)、驅(qū)動(dòng)程序和API組件保持最新?tīng)顟B(tài)。了解如何全面實(shí)現(xiàn)協(xié)同工作，分析訪問(wèn)流量，自動(dòng)發(fā)現(xiàn)流量中的API接口，對(duì)API接口進(jìn)行自動(dòng)識(shí)別、梳理和分組，以及識(shí)別將用于入侵您API的弱點(diǎn)，檢測(cè)安全問(wèn)題并跟蹤數(shù)據(jù)泄露。
3、使用配額和限流
設(shè)置API調(diào)用頻率限額并跟蹤其使用記錄。若API調(diào)用的數(shù)量增加，它可能正被濫用，也可能是編程錯(cuò)誤，例如在無(wú)限循環(huán)中調(diào)用API，指定限流規(guī)則，防止API調(diào)用激增和拒絕服務(wù)攻擊。
4、使用API網(wǎng)關(guān)
API網(wǎng)關(guān)擔(dān)當(dāng)主要的API流量策略執(zhí)行點(diǎn)。良好的網(wǎng)關(guān)既能幫助您驗(yàn)證流量的使用者身份，也能控制和分析您的API使用情況。
企業(yè)應(yīng)從API管控技術(shù)和數(shù)據(jù)保護(hù)手段方面入手，從API角度增強(qiáng)數(shù)據(jù)安全治理、保護(hù)、監(jiān)管等多個(gè)維度的維護(hù)。未來(lái)，對(duì)API進(jìn)行細(xì)粒度管控將成為企業(yè)數(shù)據(jù)安全風(fēng)險(xiǎn)管控的關(guān)鍵。