保护API安全是不可能的任务？

2018-12-29 14:26:22 来源：安全牛抢沙发

2018-12-29 14:26:22 来源：安全牛

摘要：应用程序编程接口(API)是公司企业为客户增加其产品价值的好办法。通过将数字资产和服务提供给更广大的受众，API已经发展成了核心业务重点，“API经济”都成了商业行话中的固定词组。
关键词： API安全

　　应用程序编程接口(API)是公司企业为客户增加其产品价值的好办法。通过将数字资产和服务提供给更广大的受众，API已经发展成了核心业务重点，“API经济”都成了商业行话中的固定词组。

　　API项目中，既管理访问又保护系统，同时还参与数字生态系统的安全策略十分重要。应用程序主管必须设计、执行并监管有效API安全策略，包括API网关的使用。而随着该领域的发展和业内玩家数量的增加，企业不安全API的采纳所带来的危险也在增多。事实上，到2022年，API滥用将成导致企业Web应用数据泄露最为常见的攻击方式。

　　举个例子，2018年10月，Facebook披露遭遇重大数据泄露，影响5000多万个账户。攻击者利用了Facebook开发者API收集受影响用户的资料信息，包括姓名、性别和家乡。连Facebook这种首屈一指的大玩家都没能幸免API安全问题。

　　API就是通往数据和应用程序的大门，在这里融入安全与保护Web应用同等重要。

　　为全面保护API，解决架构、DevOps和生产中的安全需求是重点。软件开发生命周期(SDLC)中安全评估的拐点取决于开发团队是在遗留应用中启用API，还是打造新的API优先应用。虽然评估和缓解的要求大部分相同，团队还是需要做到：

　　对API执行动态应用安全测试(DAST)，为发现的漏洞创建缓解/修复计划。

　　为DevOps过程中的API实现代码执行服务组件架构(SCA)和静态分析安全测试(SAST)分析。

　　在企业应用架构中使用安全设计模式。一些安全设计模式样例包括：

　　自动编码模板以防止跨站脚本(XSS)通过模板使用输出编码；

　　采用上下文输入验证以防止输入攻击；

　　运用同步令牌防止利用令牌的跨站请求伪造(XSRF)攻击；

　　采用变量绑定防止利用对象关系映射器(ORM)的SQL注入；

　　使用加密外观以减少密码漏洞

　　在SDLC中实现健壮的反馈环，根据各类扫描的发现做出响应。

　　这些步骤确保API享有完整的安全覆盖，团队可以在问题出现前找到并修复漏洞。

　　你可能会觉得自己已经有了解决API安全问题的管理工具，但拥有该工具还只是实现API安全的第一步。API管理工具提供的安全策略适用于边界，但对呈上API的业务逻辑安全毫无作用。我们的目标是在软件生命周期中嵌入应用安全(DAST、SAST和SCA)，作为整体API安全策略中的一部分，编写出安全由内而外的API。

　　总之，安全评估的结果对冲刺周期中的开发及安全利益相关者来说至关重要，而上述技术可以提升公司API的完整性和采纳率。

第三十八届CIO班招生
国际CIO认证培训
首席数据官（CDO）认证培训

责编：kongwen

免责声明：本网站（http://www.ciotimes.com/）内容主要来自原创、合作媒体供稿和第三方投稿，凡在本网站出现的信息，均仅供参考。本网站将尽力确保所提供信息的准确性及可靠性，但不保证有关资料的准确性及可靠性，读者在使用前请进一步核实，并对任何自主决定的行为负责。本网站对有关资料所引致的错误、不确或遗漏，概不负任何法律责任。
本网站刊载的所有内容（包括但不仅限文字、图片、LOGO、音频、视频、软件、程序等）版权归原作者所有。任何单位或个人认为本网站中的内容可能涉嫌侵犯其知识产权或存在不实内容时，请及时通知本站，予以删除。