图灵汇官网

标题：API安全：挑战与对策

在数字时代，API作为连接服务与数据传输的关键通道，已成为新型基础设施。然而，伴随其重要性的提升，安全问题亦日益显著。为助力各行业应对API安全挑战，瑞数信息作为国内首批拥有“云原生API安全能力”认证的专业厂商，近年来持续分享API安全观点，为政企用户提供安全防护指南。

瑞数信息于近期发布《2023 API安全趋势报告》，深入剖析API安全态势、攻击手段与发展趋势，结合典型攻击案例，提供防护建议。报告指出，API攻击数量激增，自动化工具的兴起使攻击手段愈发智能，对业务安全构成新威胁。远程办公与企业应用云端迁移背景下，API威胁复杂化，AI、机器学习技术的进展使Bots攻击手段更趋先进，对系统安全形成严重挑战。

API安全态势分析

随着数字化技术快速发展与API数量的爆发性增长，API攻击比例已超越传统Web漏洞攻击。API与小程序成为众多企业和组织的流量入口，引发的攻击增多，并可能通过API接口入侵目标网络。报告显示，API攻击占比已超过70%，且2022年较前一年增长约60%。疫情之下，尽管多数单位实行居家办公，但黑灰产攻击活动并未减弱，反而有所增加。

API安全防护难点

API防护不同于传统Web防护，要求覆盖资产管理、缺陷识别、攻击检测、Bots检测、参数检测、行为识别与访问控制等多环节，任何缺失均影响防护效果。面对访问入口多样化、接口分散与传输格式多样性带来的挑战，全面准确的API接口发现成为基础。业务紧耦合性使得防护策略难以通用，尤其在微服务架构与DevOps模式下，应用快速迭代增加了部署难度。合法授权下的滥用风险识别也成为一大难题。

API攻击特点分析

攻击者利用API的主动权，掌握入侵方法与信息系统脆弱性，从而提升防范效果。报告从行业分布、缺陷分析、类型分析与攻击手段等角度，揭示API攻击特征。互联网、金融与运营商是API请求访问流量的主要来源。过度数据暴露是最普遍的API缺陷，参数可遍历、越权访问、参数篡改、明文密码传输与接口误暴露等问题频现。公开数据查询、登录、下单等接口易受自动化攻击。同时，API面临传统与业务层面的双重威胁。

API安全发展趋势与防护建议

面对API数量激增与安全风险加剧，报告预测未来四大趋势：Bots自动化攻击加剧安全风险；API安全管理趋向智能化；API安全成为云应用安全关键组成部分；合规要求成为API安全要素。防护策略应聚焦“一个基础，四个感知”：

• 一个基础：API资产管理作为安全防护基石，确保所有API纳入管控，避免安全漏洞。

• 四个感知：

  • 环境感知：强化对API调用环境的监控，提升调用者安全检测能力。
  • 风险感知：全面识别API缺陷与外部攻击风险。
  • 数据感知：识别敏感数据，结合行业标准进行分级管控，增强敏感信息监测能力。
  • 业务感知：制定针对性API安全策略，提升业务风险识别能力。

结语

API虽为开发带来便利，但亦带来新的安全风险。根据Gartner预测，API滥用将成为企业Web应用程序数据泄露的主要途径。正确评估与有效防护API安全，成为所有企业的必备功课。通过深入分析API安全态势、明确防护难点、了解攻击特点，并把握未来趋势，企业可采取有效措施，构建安全的API生态系统。