RSAC2022 |深刻解读API安全若何破解困境

颁布功夫 2022-06-23
编者按：

在今年的RSAC中 ，以色列的API安全公司Neose入选创新十强 ，同样在2019年获得RASC创新十强的Salt Security ，也是一家以API安全为主的公司。本文GA黄金甲集联结合了自身丰硕的经验沉淀与实际堆集 ，为您深刻解读API安全 ，厘清API安全防护的解决之路。


API面对的安全问题


OWASP在2019年颁布的 API TOP10风险别离是失效的对象授权、失效的用户身份验证、过度数据露出、资源缺失和快率限度、失效的职能级授权、批量分配、安全配置谬误、注入攻击、资产治理不当、日志监控不及。针对这10类安全风险 ，列举部门利用道理和使用示例：


失效的对象授权：对象授权是一种在代码层面实现的接见节造机造 ，用于限杜酌户仅能接见其有权接见的对象 ，但入侵者能够通过扭转ID来攻击存在“失效的对象级授权”缝隙的API。例如 ，由于没有美满的权限节造机造 ，入侵者能够在前后盾交互中 ，通过扭转链接中的ID致反节造API返回分歧的用户数据 ，因存在水平越权问题从而造成敏感信息泄漏。


过度的数据露出：API在对查问进行响应的时辰返回了过多的敏感信息。例如：某用户名查问接口 ，本应设计为只返回用户名 ，但现实向接口提议数据查问时却将用户所有信息均返回给客户端 ，造成数据泄露。


资产治理不当：由于现代利用法式开发的交付周期较短 ，DevOps团队时时将更多的API部署到出产环境中 ，这带来了资产治理问题。首先 ，向后兼容的要求迫使DevOps团队让旧版本API持续运行。攻击者通常觊觎这些旧版本 ，钻安全查抄机造的空子。同时 ，其他的API也可能未遵守数据治理政策 ，使其成为数据露出的关键入口点。


API安全防护的解决之路


对比OWASP TOP 10和OWASP API TOP 10 ，发现这两部门有较大的沉合性 ，但是API业务的场景和架构越发复杂 ，所以Gartner针对API安全给出了一个参考建议：API安全能够由WAF和API网关两部门组成。


微信图片_20220623131808.png


API安全防护架构及分工


在API安全解决规划中 ，作为WAF企衣反说 ，产品加强API安全防护能够从以下几个方面来思考：


1、API资产梳理和监控


发现API资产并进行逐一盘点和跟踪 ，成立API清单并鉴别每个API的用处 ，同时对于内部API和表部API进行区别对待 ；基于盘点的API清单进行接见战术的具体配置 ，尽量预防分歧的对象属性 ，使用一样的API战术。


WAF产品上的API的资产治理 ，必要具备API和谈的鉴别、API资产的自动发现、矫捷的API资产分组、API资产的导入导出、API资产的下线处置、API资产接见的战术配置、自动化的API资产治理接口等基础能力。


2、API攻击鉴别和防护


针对OWASP API TOP 10的安全风险 ，在WAF的API安全防护�？榈闹澳苌杓坪褪迪稚� ，必要具备API要求合法性校验、防备撞库和暴力破解、API的对象体式的限度、可界说允许的响应数据类型、针对有关标识具备批改、多种防注入攻击、自界说检测规定等能力。


在对API业务攻击上 ，注入类入侵占据了很大的比率 ，对于注入累入侵的检测能够通过特点检测、算法检测、AI检测等技术伎俩 ，协同作用实现精准的注入类入侵检测。


3、API异常接见行为分析


行为特点提取是整个行为分析建模的基础 ，需结合现实的业务需要 ，以数据实体为中心 ，规约数据维度类型和关联关系 ，形成切合业务现实情况的建模体。


基于异常行为分析 ，能发现无显著特点的攻击行为 ，或者是针对业务的异常接见 ，好比发现大量的数据传输、异常的接见对象、被攻击利用的过期API或者是僵尸API、过度露出的数据等。


4、API接识趣能监控


API接识趣能监控可能在出现大量API要求的情况下 ，保障API的服务能正常工与系统的韧性。


在API接识趣能监控中 ，一是必要能分辨正常业务接见和机械的接见流量 ，对机械的接见流量能够做过滤 ；二是处置正常接见的时辰 ，在某些特殊场景下必要做到要求限流、服务降级或者是有前提的服务熔断等操作 ，以最大限度保障API业务不彻底瘫痪。


5、敏感数据鉴别和过滤


在API接见中会传输大量的数据 ，数据的传输分为正常接见和数据窃取等 ，对于正常的数据接见 ，能够在数据分级分类的情况下 ，在API安全网关上实现对数据的脱敏和混合等职能 ；对于数据窃取的情况下 ，必要鉴别异常的数据泄露 ，并阻断异常接见和衔接。


API作为链接数据的一种便捷高效的方式 ，已经成为了IT和DT时期最沉要的利用模式之一 ，其承载的数据占有巨大的价值 ，也带来多种贸易模式蓬勃发展 ，引起了各类恶意组织和幼我大量的关注。


随着国内表的数据安全律例、行业和组织的API安全规范的颁布与尝试 ，企衣珐大对API安全的需要 ，业务开发团队安全意识的提升 ，安全检测技术和安全解决规划的急剧发展和演进 ，都将为API链接的数据保驾护航 ，API安全防护能力将成为数据大厦的不变基座之一。


幼贴士：


API：是指利用法式接口（Application Program Interface） ，是一种法式之间的接口 ，因其便捷性和微服务架构 ，得到了宽泛的利用 ，目前已覆盖了移动利用法式 ，物联网IOT ，云服务客户端 ，内部利用法式 ，合作同伴利用法式等IT领域的多个方面。


API安全：通过对API通讯行为的采集、监控、防御等伎俩 ，发现并收敛API出产过程中的风险 ，拦截针对API的缝隙攻击及数据窃取行为。