RSAC2022 |深入解读API清静怎样破解逆境

宣布时间 2022-06-23
编者按：

在今年的RSAC中，，，，， ，以色列的API清静公司Neose入选立异十强，，，，， ，同样在2019年获得RASC立异十强的Salt Security，，，，， ，也是一家以API清静为主的公司。。 。。。。。本文百乐博集团连系了自身富厚的履历沉淀与实践积累，，，，， ，为您深入解读API清静，，，，， ，厘清API清静防护的解决之道。。 。。。。。


API面临的清静问题


OWASP在2019年宣布的 API TOP10危害划分是失效的工具授权、失效的用户身份验证、太过数据袒露、资源缺失和速率限制、失效的功效级授权、批量分派、清静设置过失、注入攻击、资产治理不当、日志监控缺乏。。 。。。。。针对这10类清静危害，，，，， ，枚举部分使用原理和使用示例：


失效的工具授权：工具授权是一种在代码层面实现的会见控制机制，，，，， ，用于限制用户仅能会见其有权会见的工具，，，，， ，但入侵者可以通过改变ID来攻击保存“失效的工具级授权”误差的API。。 。。。。。例如，，，，， ，由于没有完善的权限控制机制，，，，， ，入侵者可以在前后台交互中，，，，， ，通过改变链接中的ID值来控制API返回差别的用户数据，，，，， ，因保存水平越权问题从而造成敏感信息走漏。。 。。。。。


太过的数据袒露：API在对盘问举行响应的时间返回了过多的敏感信息。。 。。。。。例如：某用户名盘问接口，，，，， ，本应设计为只返回用户名，，，，， ，但现实向接口提倡数据盘问时却将用户所有信息均返回给客户端，，，，， ，造成数据泄露。。 。。。。。


资产治理不当：由于现代应用程序开发的交付周期较短，，，，， ，DevOps团队经常将更多的API安排到生产情形中，，，，， ，这带来了资产治理问题。。 。。。。。首先，，，，， ，向后兼容的要求迫使DevOps团队让旧版本API继续运行。。 。。。。。攻击者通常觊觎这些旧版本，，，，， ，钻清静检查机制的空子。。 。。。。。同时，，，，， ，其他的API也可能未遵守数据治理政策，，，，， ，使其成为数据袒露的要害入口点。。 。。。。。


API清静防护的解决之道


比照OWASP TOP 10和OWASP API TOP 10，，，，， ，发明这两部分有较大的重合性，，，，， ，可是API营业的场景和架构越发重大，，，，， ，以是Gartner针对API清静给出了一个参考建议：API清静可以由WAF和API网关两部分组成。。 。。。。。


微信图片_20220623131808.png


API清静防护架构及分工


在API清静解决计划中，，，，， ，作为WAF企业来说，，，，， ，产品增强API清静防护可以从以下几个方面来思量：


1、API资产梳理和监控


发明API资产并举行逐一盘货和跟踪，，，，， ，建设API清单并识别每个API的用途，，，，， ，同时关于内部API和外部API举行区别看待；；；；；基于盘货的API清单举行会见战略的详细设置，，，，， ，只管阻止差别的工具属性，，，，， ，使用相同的API战略。。 。。。。。


WAF产品上的API的资产治理，，，，， ，需要具备API协议的识别、API资产的自动发明、无邪的API资产分组、API资产的导入导出、API资产的下线处置惩罚、API资产会见的战略设置、自动化的API资产治理接口等基础能力。。 。。。。。


2、API攻击识别和防护


针对OWASP API TOP 10的清静危害，，，，， ，在WAF的API清静防护�？？？榈墓π杓坪褪迪稚希�，，，， ，需要具备API请求正当性校验、提防撞库和暴力破解、API的工签字堂的限制、可界说允许的响应数据类型、针对相关标识具备修改、多种防注入攻击、自界说检测规则等能力。。 。。。。。


在对API营业攻击上，，，，， ，注入类入侵占有了很大的比率，，，，， ，关于注入累入侵的检测可以通过特征检测、算法检测、AI检测等手艺手段，，，，， ，协同作用实现精准的注入类入侵检测。。 。。。。。


3、API异常会见行为剖析


行为特征提取是整个行为剖析建模的基�。。 。。。。。�，，，， ，需连系现实的营业需求，，，，， ，以数据实体为中心，，，，， ，规约数据维度类型和关联关系，，，，， ，形成切合营业现真相形的建模体。。 。。。。。


基于异常行为剖析，，，，， ，能发明无显着特征的攻击行为，，，，， ，或者是针对营业的异常会见，，，，， ，好比发明大宗的数据传输、异常的会见工具、被攻击使用的逾期API或者是僵尸API、太过袒露的数据等。。 。。。。。


4、API会见性能监控


API会见性能监控能够在泛起大宗API请求的情形下，，，，， ，包管API的效劳能正常工与系统的韧性。。 。。。。。


在API会见性能监控中，，，，， ，一是需要能区分正常营业会见和机械的会见流量，，，，， ，对机械的会见流量可以做过滤；；；；；二是处置惩罚正常会见的时间，，，，， ，在某些特殊场景下需要做到请求限流、效劳降级或者是有条件的效劳熔断等操作，，，，， ，以最大限度包管API营业不彻底瘫痪。。 。。。。。


5、敏感数据识别和过滤


在API会见中会传输大宗的数据，，，，， ，数据的传输分为正常会见和数据窃取等，，，，， ，关于正常的数据会见，，，，， ，可以在数据分级分类的情形下，，，，， ，在API清静网关上实现对数据的脱敏和混淆等功效；；；；；关于数据窃取的情形下，，，，， ，需要识别异常的数据泄露，，，，， ，并阻断异常会见和毗连。。 。。。。。


API作为链接数据的一种便捷高效的方法，，，，， ，已经成为了IT和DT时代最主要的应用模式之一，，，，， ，其承载的数据拥有重大的价值，，，，， ，也带来多种商业模式蓬勃生长，，，，， ，引起了种种恶意组织和小我私家大宗的关注。。 。。。。。


随着海内外的数据清静规则、行业和组织的API清静规范的公布与实验，，，，， ，企业扩大对API清静的需求，，，，， ，营业开发团队清静意识的提升，，，，， ，清静检测手艺和清静解决计划的快速生长和演进，，，，， ，都将为API链接的数据保驾护航，，，，， ，API清静防护能力将成为数据大厦的稳固基座之一。。 。。。。。


小贴士：


API：是指应用程序接口（Application Program Interface），，，，， ，是一种程序之间的接口，，，，， ，因其便捷性和微效劳架构，，，，， ，获得了普遍的应用，，，，， ，现在已笼罩了移动应用程序，，，，， ，物联网IOT，，，，， ，云效劳客户端，，，，， ，内部应用程序，，，，， ，相助同伴应用程序等IT领域的多个方面。。 。。。。。


API清静：通过对API通讯行为的收罗、监控、防御等手段，，，，， ，发明并收敛API生产历程中的危害，，，，， ，阻挡针对API的误差攻击及数据窃取行为。。 。。。。。