API安全解决方案买家指南

加强部署以迎接API安全挑战 当今企业纷纷迈向以云为中心的架构，数字化程度越来越高，其API的使用范围和规模不断扩大，价值也随之增加。现在，API： 亲身体会。API暴露在外或错误配置的情况很普遍，这些API没有得到妥善保护，很容易受到攻击。甚至于很多企业往往都没有摸清他们的所有API，导致这些API处于不受管理的境地。这些休眠（或者僵尸）API成为了主要的攻击媒介。 •运行在应用程序与服务的核心位置，向您的客户和合作伙伴提供服务，包括最新的AI创新 •嵌入整个云环境中，无论是在开发人员使用的服务中，还是在工程师处理的工作负载中，都能发现它们的身影•本身即代表着收入来源，可帮助您发展业务并构建开发人员生态系统 随之而来的风险很高。对API的攻击会损害企业的收入、恢复能力以及法规合规性。很多企业尚未采取适当的控制措施和功能来防范API攻击。诚然，很多公司现有的堆栈中会有一些API工具，包括API网关和Web应用程序防火墙。尽管这些工具具备一定的防护能力，但它们并非设计用来提供充分的监测功能、实时安全性和持续测试功能，无法抵御现代化API攻击。 不过，有78%的IT和安全专业人员遇到过API安全事件1，如果您也遇到了，那么相信您对API风险与日俱增的问题已有 那么，如何才能全面保护您的API资产？虽然过去几年中涌现出了很多API安全产品，但随着供应商的范围及其功能不断扩展，想要充分了解这些信息变得比较困难。 应对如今的威胁需要全面的API安全解决方案，涵盖四个关键领域：API发现、态势管理、威胁检测和修复以及安全测试。本买家指南介绍了全面API安全解决方案所应具备的关键功能，如何针对开发和维护安全的API定义所需的功能及安全控制措施，以及如何找到并保护您生态系统中的每个API。 全面API安全解决方案的关键功能 随着企业在匆忙地开发和推出新的应用程序和API，攻击面呈指数级扩大。您的企业可能有大量老旧的API，它们是多年前构建的，当时API安全还不是一项关键需求。 要确定所需的API安全功能，您必须要了解面对的安全挑战的性质。 API通常散布多个环境中，囊括了从本地到混合云的各种环境。而且您的API生态系统很可能远远超出了您自己的网络和云环境范围，这进一步加剧了复杂性。想象一下您的API已与属于第三方的应用程序、服务及系统建立无数连接，而这些第三方是否重视API安全性无从确定。 缺乏监测能力导致了令人担忧的结果：只有四成的安全专业人员掌握了完整的API清单，并知道哪些API在调用时会返回敏感数据。其中很多API调用都源自恶意攻击者，用于测试是否存在漏洞，而一旦发现漏洞后，随之而来的攻击往往无休无止。 在审查声称能够全面保护API的安全供应商时，您需要确保他们在四个关键领域都拥有成熟、已投入生产环境的控制措施和功能，这一点非常重要。 此外，以下信息也难于实时了解： •您的API被路由到何处•它们的配置方式•它们传输了哪些敏感数据•它们带来了哪些风险 请继续阅读，了解可用于审查供应商能力的一系列买家检查清单。 01API发现 找到您的所有API并将其加入清单中，而无论配置或类型如何 企业存在未被发现的API这种情况很常见。但是，如果没有准确的API清单，企业将面临各种风险。要有效地清点API，您需要能够： 检测休眠、遗留和僵尸API 识别被遗忘、被忽视或未知的影子域名 消除监控盲点，发现潜在攻击路径 02API态势管理 自动扫描基础架构，从而发现配置错误和隐藏的风险 简单的API配置错误就会为攻击者敞开大门。一旦攻击者入侵成功，他们就能快速访问并泄露敏感数据。要了解您所有API的配置方式，您需要能够： 创建自定义工作流，从而通知主要利益相关者有关漏洞的情况 确定哪些API和内部用户能够访问敏感数据 为检测到的问题分配严重程度评级，从而确定补救工作的优先级 03API威胁检测和修复 监控数据篡改和泄露、策略违反情况、可疑行为以及API滥用 分析来自所有来源的API流量，并将分析功能集成到现有工作流（工单、安全信息和事件管理等）中，以便向安全运营团队发出告警 API攻击已经到了无法避免的地步。要想有效地检测和修复威胁，您需要能够： 通过部分或全自动化补救，实时防止各类攻击和滥用行为 04API安全测试 运行各种自动化测试，模拟恶意流量并遵循底层API业务逻辑 对于开发人员构建的每个应用程序，速度都至关重要，但过于追求速度往往会让漏洞或设计缺陷更难以被检测到。要妥善地测试API，您需要能够： 在API进入生产环境之前发现漏洞，从而降低攻击得逞的风险 依据已确立的管理策略和规则，对API规范进行检查 根据实际需求或在CI/CD管道中运行以API为重点的安全测试 API发现：深入了解关键功能 很多企业同时在运行遗留API和新API。在生产环境中，存在运营团队或安全团队都不知道的不受管API很常见，但这会让企业面临一系列网络安全风险和运营难题。有多重因素可能会导致产生恶意API，例如走捷径、进程故障和停用后未关闭等。在下一页中，我们将提供需要注意的关键示例。 走捷径和进程故障 商业API 一些恶意API是未能告知正确人员的产物。例如，某个业务线(LOB)团队可能会创建用于满足特定需求的API而未告知IT部门，或者开发人员可能更关注执行而不是过程。因收购而“继承”的API也经常会被忽略。这些类型的恶意API往往被称为影子API。 一些商业软件包会包含用于连接其他应用程序及外部数据源的API。这些API可能会在无人注意的情况下被激活。 停用失败 一些API也可能已正式停用，但由于操作疏忽而仍在运行。这些API有时被称为僵尸API。 当您与供应商进行沟通时，请让他们说明如何确保能够识别并处理恶意、遗留、僵尸和影子API，以防被利用。遗留和僵尸API通常是API安全中的薄弱环节。因此，至关重要的是发现不受API网关管理的API并找到它们，将它们加入清单，并确定需要修复还是停用它们。 旧API版本 有时，某个API的旧版本从未被停用。在软件更新期间，旧版本可能不得不与新版本共存一段时间。但如果负责停用API的人员从公司离职、被重新分配了工作或者干脆忘记了停用旧版本，会出现什么情况？ 关键的API发现功能 API安全解决方案应包含以下发现功能 API资产发现和详细清单 检测休眠、遗留和僵尸API API发现工具必须能够找到并识别您拥有的API，而无论配置或类型如何，如RESTful、GraphQL、SOAP、XML-RPC、JSON-RPC和gRPC等等。它还应该创建一个会自动更新以避免过时的清单，并提供根据任何属性搜索、标记、过滤、分配和导出API的功能。 遗留和僵尸API可能出现在企业制定API安全计划之前。这些API通常没有人负责，并且会在没有被监测或采取安全控制措施的情况下运行。API发现工具能够找到这些API非常关键。 自动扫描 限制定制开发 影子域名发现 扫描是消除盲点并识别以下关键问题所必不可少的： 最后，有了适合的API发现工具，您应当不再需要针对流量来源进行定制开发工作。对于主要基础架构组件，这些工具应随预构建的集成提供。定制开发通常非常耗时，而且在源代码发生了更改时，可能需要重新设计集成，这对于时间上本就捉襟见肘的IT安全团队是不可取的。 除了影子API之外，您可能还会有完整的影子域名，这是您对其一无所知的API域名。API发现工具必须能够识别被遗忘、被忽视或可能构成安全风险的未知影子域名。 •泄露的API密钥和凭据•API代码和架构暴露•基础架构配置错误•文档、GitHub存储库、Postman工作区等中的漏洞 确定这些和其他可利用漏洞来源的情报，同样有助于团队了解可能会被网络犯罪分子利用的潜在攻击路径。 API态势管理：深入了解关键功能 由于各种趋势，例如从集中式IT转变为分散式LOB运营、云资源的使用增加以及向基于微服务架构的过渡，API资产所面临的威胁正在迅速增加。 为了管理所有API的安全态势，还有一些附加功能必不可少。您需要能够识别哪些API可以访问和传输敏感数据，并相应地对这些API进行分类——因为接触客户信息等数据的API肯定需要经过身份验证。此外，还必须识别会导致任何API更容易受到攻击的基础架构漏洞。 强大的发现功能（如上一节中所述）是保护您的API资产的第一步。您需要发现当前正在使用的所有类型的API并将它们加入清单。 自定义工作流 配置评估 可自定义严重性级别 很多网络攻击之所以得逞，是由于负责代理和保护API流量的网络、API网关或防火墙中存在简单的配置错误。 除了可定制严重性等级之外，理想的态势管理工具还应该允许您创建自定义工作流，以便在识别漏洞后立即采取措施。这些工作流包括创建工单、通知主要利益相关者、更新网络配置等。 当解决方案识别出环境中的新漏洞时，它还应该对已发现的问题分配一个严重性级别，以便确定这些问题的修复优先级。这些严重性级别应该可以根据企业的风险承受能力、监管要求和内部策略，对其进行自定义。 API安全解决方案应定期扫描基础架构和软件配置，包括日志文件、历史流量回放、配置文件等。这让您可以发现配置错误和漏洞，并消除配置偏移带来的风险。 自动生成文档 API文档可以向使用者说明API的作用及使用方法。各企业必须根据规范且准确的文档来评估安全API的合规性。文档不完善或没有文档会导致安全测试难以完成，这使得进入生产环境中的API可能包含未发现的漏洞，导致风险上升。而API开发的外包往往会使此问题变得更加严重。无论问题的根源是什么，如果您想让自己的API安全计划取得成功，那么文档过时、不完整和缺失都是不可接受的。 OpenAPI规范定义了标准的接口说明。API安全解决方案应该能够： •将API规范与实际可观察到的流量进行比较并找出差异，这让企业能够看到所部署的哪些API不符合规范并且可能存在风险。 •根据API的当前和未来状态自动生成完善的OpenAPI文档，以帮助确保所有API都得到了妥善记录并且文档包含的是最新信息。确定这些和其他可利用漏洞来源的情报，同样有助于团队了解可能会被网络犯罪分子利用的潜在攻击路径。 API威胁检测和修复：深入了解关键功能 尝试利用API漏洞进行攻击已是既定的事实。这不再是您的企业是否会受到攻击的问题，而是何时及如何受到攻击的问题。当务之急是迅速检测并阻止攻击，避免它们造成严重损害，例如泄露客户隐私数据。即使您已尽可能确保API的安全，但仍需要有效的运行时保护措施来检测数据泄露、数据篡改、数据策略违反情况、可疑行为和API安全攻击。这应该包括记录API流量、监控敏感数据访问、检测威胁以及屏蔽或修复攻击媒介。 在接下来的两页中，我们将介绍API安全解决方案应包含的关键功能。 高级工具包含AI和机器学习功能，可实时分析流量，并利用情境洞察来识别可能表示存在数据泄露、数据篡改、数据策略违反情况和其他API安全攻击的异常活动。 实时带外监控 API安全监控不得影响API流量或减慢其速度。寻找可以提供无代理方法的供应商，这样公司就能够加快部署速度并监测更多流量。而且，在适当的情况下（例如，复杂的本地环境中），解决方案还应该具备足够的灵活性来为代理提供支持。 API攻击防范 在识别异常或其他问题并生成告警后，时间便至关重要。解决方案必须检测通过API未经授权地移动敏感数据或者其他可疑的API滥用行为，并予以阻止。API安全解决方案不仅应通过与现有防火墙和API网关的集成来阻止滥用，还应部分或完全实现修复自动化。半自动的修复措施应该可用于解决某些类型的告警。对于先前已识别但又重复出现的问题，您应该能够选择提供完全自动化的应对措施。 API安全解决方案应该对来自于已识别数据源的流量进行镜像，在后台对流量数据进行分析，并在发现任何问题后发出实时告警。 API异常和漏洞利用检测 被动数据收集不