亚洲一区二区三区影院,色国产精品一区在线观看,一区二区三区国模大胆

隨著 API 的激增，攻擊面也隨之擴大

如果未能認真對待 API 安全性（尤其是在設計和部署期間），則 API 優先軟件開發的優勢很容易受到破壞。從最基本的層面上講，API 越多，攻擊面就越大。雖然 API 在現代軟件開發中發揮著至關重要的作用，但同時也變得越來越容易被利用。

2018 年，Gartner 預測，到 2022 年，API 將成為應用程序最常見的攻擊媒介。如果非要說的話，他們對延遲時間的預測過于樂觀了。影響數百萬用戶的大型公司 API 泄??露事件早已發生，而且只會變得更加普遍：

2018 年，Facebook 報告稱，攻擊者利用該公司的開發人員 API 獲取與用戶個人資料頁面相關的個人身份信息 (PII)，包括姓名、性別和家鄉，至少5000 萬用戶的數據面臨風險。
2019年，LinkedIn 報告稱，一名黑客利用 API 的數據抓取技術收集了超過7 億用戶的信息，并在暗網上出售。
2021 年，Peloton 維護的 API允許惡意行為者請求 PII，包括年齡、性別、城市、體重和出生日期。
2022 年，Twitter 解決了 API 漏洞，導致540 萬個用戶賬戶的數據泄露，包括電話號碼和電子郵件地址。
2023 年，T-Mobile 報告稱 API 漏洞導致3700 萬客戶的數據被盜，包括姓名、電子郵件、地址、電話號碼、出生日期等。

這些攻擊的廣度和種類揭示了安全和工程領導者面臨的挑戰。一些攻擊利用了錯誤地暴露在互聯網上的 API。其他攻擊使用錯誤地暴露在代碼存儲庫中的 API 密鑰或其他身份驗證方法。或者攻擊者通過 VPN 漏洞訪問內部環境并使用內部 API 竊取數據。

阻止 API 攻擊需要正確的策略和工具

防范 API 威脅的最常見方法是將傳統的 Web 應用程序安全策略與現代 API 安全技術相結合。面對當今各種 API 威脅，傳統策略往往顯得力不從心。自動 API 發現和 API 對比測試等現代技術試圖彌補這些差距。

對于企業來說，至關重要的是采取正確的防護措施（實施全局控制和安全策略來保護已部署的應用程序和 API）和向左移動（在代碼中構建安全性以在應用程序和 API 投入生產之前消除漏洞）。這兩種策略都無法單獨提供全面的 API 安全性，因此防止違規的關鍵是采取涵蓋三類 API 安全實踐的整體方法：

API 安全態勢管理 ——提供對 API 集合安全狀態的可見性，包括暴露的數據類型和請求方法
API 安全測試——評估 API 生命周期中關鍵點的安全性，以識別潛在漏洞
API 運行時保護 ——檢測并阻止惡意請求在運行期間到達 API

通過將正確的策略與正確的工具相結合，組織可以更好地保護其 API 免受攻擊并確保其軟件系統的安全。讓我們來看看平臺工程領導者需要實施哪些重要功能和工具來保護整個生命周期的 API。

什么是 API 安全態勢管理？

API 安全態勢管理可讓您了解 API 公開的數量、類型、位置和數據。這些信息可幫助您了解與每個 API 相關的風險，以便您采取適當的措施來保護它。

主要功能：

自動 API 發現– 自動且持續的 API 發現，以全面了解環境中部署的 API
API 特性——按協議或架構（REST、GraphQL、SOAP 等）識別和分類 API，并映射敏感數據流以了解您的風險敞口
API 編目——維護完整的 API 列表，以鼓勵軟件團隊重復使用現有 API，并幫助 SecOps 團隊構建完整的安全態勢視圖

代表性技術：

Web 應用程序和 API 保護 (WAAP) – 利用 API 基礎設施中的全球特權地位來分析進入和離開環境的流量、識別 API 并構建風險敞口視圖
內聯或基于代理的發現——將代理附加到現有的 API 網關、負載均衡器或 Kubernetes Ingress 控制器，以鏡像和分析 API 流量
帶外或無代理發現——使用流量鏡像或導出的日志和指標來分析 API 流量；通常對 API 和威脅的可見性低于其他技術
域爬蟲——API 安全提供商可能會提供爬蟲來探測你的域中是否存在暴露的 API 端點，這些端點允許流量繞過可以實施安全策略的 API 網關和負載均衡器

重要的是要記住，沒有任何技術可以可靠地找到架構中的每個 API。大多數發現技術依賴于現有負載均衡器、API 網關和 Ingress 控制器提供的可見性，并且不太可能捕獲繞過這些架構組件的錯誤配置。

最終，代碼審查和遵循 API 優先最佳實踐可以提供更有效的長期預防。但自動化 API 發現工具仍然有助于快速構建安全態勢視圖并捕獲可能不受管理和不安全的 API。

什么是 API 安全測試？

雖然 API 安全態勢管理與整個企業的安全有關，但 API 安全測試則主要針對單個 API。從最基本的方面來說，API 安全測試通過測試 API 運行時（即在 API 后面運行的應用程序）來幫助識別和預防漏洞及其相關風險。它有助于確保滿足基本安全要求，包括身份驗證、授權、速率限制和加密的條件。

主要功能：

API 契約測試– 使用 API 的 OpenAPI 規范，通過比較客戶端請求和服務器響應來驗證其是否按設計執行。它使用“由內而外”的方法來發現 API 在部署之前是否存在漏洞。
動態應用程序安全測試 (DAST) – 模擬針對 API 運行時的攻擊以查找漏洞，像惡意用戶一樣從“外部”評估 API。

代表性技術：

API 合同測試軟件——用于運行測試的專用工具，可分段 API 請求和響應，以驗證客戶端和服務器行為是否符合 API 合同
應用程序安全測試 (AST) 軟件– 通過模擬攻擊來分析和測試應用程序（包括 API）的工具

有開源契約測試工具，也有專門的 API 安全供應商提供的商業產品。應用程序安全測試 (AST) 市場已經存在了幾十年，越來越多的供應商提供專門的 API 掃描和測試工具。

什么是 API 運行時保護？

API 運行時保護是指在 API 運行和管理請求時對其進行保護。它優先考慮在平臺基礎架構以及 API 本身的代碼中構建安全性。目標是識別和阻止部署后出現的惡意 API 請求。
主要功能：

訪問控制– 強制實施身份驗證 (authN) 和授權 (authZ) 策略
網絡安全——加密并保護網絡通信
應用程序保護——保護 API 運行時免受惡意 API 請求和攻擊
實時監控——可視化、跟蹤和緩解跨 API 基礎設施的攻擊

代表性技術：

API 網關——應用并執行安全策略，包括身份驗證、授權、速率限制、訪問控制列表和加密
Web 應用程序防火墻 (WAF) – 通過根據攻擊特征主動監控和過濾流量，保護 API 和應用程序免受復雜的第 7 層攻擊
身份提供商 (IdP) – 存儲和驗證用戶身份的服務，通常與單點登錄 (SSO) 提供商合作對用戶進行身份驗證

并非所有 API 網關和 WAF/WAAP 都生來平等。某些服務（尤其是云和其他平臺上提供的原生解決方案）缺乏多云和混合架構所需的全球可視性和標準化。

API 安全最佳實踐

鑒于保護 API 的重要性，以有組織的方式處理 API 安全問題至關重要。平臺工程和安全領導者必須共同努力，解決整個 API 生命周期的安全要求。正如我們之前所探討的，這大致涉及三個主要實踐領域：API 安全態勢管理、API 安全測試和 API 運行時保護。換句話說，您需要專注于了解您有多少個 API、如何測試它們是否存在錯誤以及如何在代碼中構建安全性。