如今API作為連接服務(wù)和傳輸數(shù)據(jù)的重要通道，已成為數(shù)字時代的新型基礎(chǔ)設(shè)施，但隨之而來的安全問題也日益凸顯。為了讓各個行業(yè)更好地應(yīng)對API安全威脅挑戰(zhàn)，瑞數(shù)信息作為國內(nèi)首批具備“云原生API安全能力”認(rèn)證的專業(yè)廠商，近年來持續(xù)輸出API安全相關(guān)觀點，為政企用戶做好API安全防護提供參考指南。
今日，瑞數(shù)信息正式發(fā)布《2023 API安全趨勢報告》 (以下簡稱“報告”)，從API威脅態(tài)勢、攻擊手段、API安全發(fā)展趨勢等多個方面進行深度分析，剖析典型的API攻擊案例，并結(jié)合API趨勢提供了防護建議。
報告指出，隨著API調(diào)用數(shù)量的增多和自動化工具的興起，API攻擊持續(xù)走高，API資產(chǎn)管理不當(dāng)、自動化攻擊、業(yè)務(wù)欺詐以及數(shù)據(jù)泄露等風(fēng)險正在對企業(yè)的業(yè)務(wù)安全構(gòu)成新的挑戰(zhàn)。同時，在遠(yuǎn)程辦公和企業(yè)應(yīng)用向云端遷移的趨勢下，API威脅越來復(fù)雜化。隨著人工智能、機器學(xué)習(xí)等技術(shù)的發(fā)展，Bots自動化攻擊手段越來越聰明，可以快速、準(zhǔn)確地掃描API漏洞或?qū)PI發(fā)起攻擊，對系統(tǒng)造成嚴(yán)重威脅。
一、API威脅態(tài)勢分析
隨著數(shù)字化技術(shù)的發(fā)展和Web API數(shù)量的爆發(fā)性增長，API面臨的安全攻擊比例已經(jīng)超過傳統(tǒng)的Web漏洞攻擊。API和小程序逐漸成為了很多企業(yè)和組織的流量入口，引發(fā)的攻擊越來越多，并且通過API接口攻擊突破Web應(yīng)用，作為跳板進入目標(biāo)網(wǎng)絡(luò)。
報告指出，越來越多的攻擊者正利用API來實施自動化的“高效攻擊”，由API漏洞利用的攻擊或安全管理漏洞所引發(fā)的數(shù)據(jù)安全事件，嚴(yán)重?fù)p害了相關(guān)企業(yè)和用戶權(quán)益，逐漸受到各方的關(guān)注。2022年檢測到Web攻擊中，針對API的攻擊占比已經(jīng)超過70%。
依據(jù)相關(guān)數(shù)據(jù)統(tǒng)計發(fā)現(xiàn)，2022年比2021年API攻擊增加約60%。雖然2022年受疫情影響，多數(shù)單位居家辦公，但是黑灰產(chǎn)的攻擊行為并沒有因此而停止，反而增多。
二、API安全防護難點
與傳統(tǒng)的Web防護不同，API的安全防護要求更為全面，包括資產(chǎn)管理、缺陷識別、攻擊檢測、Bots檢測、參數(shù)檢測、行為識別、訪問控制等多個環(huán)節(jié)，任何環(huán)節(jié)的缺失或不足都會影響到整體的防護效果：
01 多渠道多邊界難以全面防護
訪問入口的多樣化，帶來了業(yè)務(wù)應(yīng)用部署邊界的多樣化，如：Web、APP、小程序、第三方平臺等業(yè)務(wù)接入渠道，導(dǎo)致了脆弱點的暴露面擴大，增加了風(fēng)險管控復(fù)雜性。因此，在同一防護體系內(nèi)融合多業(yè)務(wù)接入渠道的防護是API防護的難點之一。
02 接口分散和傳輸格式多樣性導(dǎo)致接口難以發(fā)現(xiàn)
全面準(zhǔn)確的API接口發(fā)現(xiàn)是API防護工作的基礎(chǔ)，對API接口進行自動識別、分類尤為重要。與傳統(tǒng)Web應(yīng)用可以依賴自身結(jié)構(gòu)上的統(tǒng)一入口不同，API自身多以獨立個體的方式分散存在，采用點對點的訪問模式，難以通過接口之間的聯(lián)系進行API發(fā)現(xiàn)。同時，傳輸數(shù)據(jù)格式的多樣性(JSON、XML、GraphQL 等)也增加了API的識別難度。
03 業(yè)務(wù)緊耦合防護策略難以通用
API和業(yè)務(wù)是緊耦合的，針對API的防護策略往往也和業(yè)務(wù)相關(guān)，這就造成API防護策略在跨業(yè)務(wù)的情況下難以通用，而微服務(wù)架構(gòu)和DevOps模式下應(yīng)用快速迭代變化的特性也放大了這一難點，解決這一問題是API防護產(chǎn)品快速部署推廣的一個難點。
04 合法授權(quán)下的濫用風(fēng)險難以識別
目前API在授權(quán)之后的訪問控制相對薄弱，海外安全機構(gòu)Salt Security發(fā)布《State of API Security》中顯示，95%的API攻擊發(fā)生在身份驗證之后。API防護需要重點關(guān)注這些合法授權(quán)下的攻擊、濫用及數(shù)據(jù)過度暴露等風(fēng)險。如何在已經(jīng)取得合法授權(quán)的請求中識別出異常訪問，是API防護需要解決的一個難題。
三、API攻擊特點分析
在攻防對抗中，攻擊方通常掌握著主動性，因此掌握攻擊者的入侵方法和手段，發(fā)現(xiàn)信息系統(tǒng)的潛在脆弱性，以此作為防范依據(jù)會大大提升防范效果。面對越來越嚴(yán)峻的API安全威脅，報告從行業(yè)分布、缺陷分析、類型分析、API攻擊手段等多個方面剖析了API攻擊特點。
1 行業(yè)分布
不同行業(yè)應(yīng)用、業(yè)務(wù)形態(tài)的差異導(dǎo)致了API使用情況各不相同，API請求訪問流量占比最高的為互聯(lián)網(wǎng)，其次為金融和運營商。
2 缺陷分析
在OWASP的參考中已經(jīng)定義了多種API缺陷，但在用戶生產(chǎn)環(huán)境中往往難以一一對應(yīng)，為了更加直觀的展示這些缺陷問題，瑞數(shù)信息對其進行了重新組合。最為廣泛出現(xiàn)的 API 缺陷為過度數(shù)據(jù)暴露，其次是參數(shù)可遍歷、 越權(quán)訪問、參數(shù)可篡改、明文密碼傳輸、接口誤暴露等。
3 類型分析
不同的API功能類型，面臨的攻擊程度也不一樣，尤其是適合Bots進行自動化攻擊的接口，例如：公開數(shù)據(jù)查詢、登錄、下單等類型的接口最容易遭受攻擊。
4 攻擊手段
API作為應(yīng)用與業(yè)務(wù)的結(jié)合體，面臨著雙重的攻擊威脅，除了遭受著傳統(tǒng)SQL注入、SSRF、惡意文件上傳等攻擊外，還面臨著各種業(yè)務(wù)層面的攻擊，例如：越權(quán)訪問、信息遍歷等。
四、API安全發(fā)展趨勢及防護建議
隨著API數(shù)量井噴式增長，API安全風(fēng)險頁進一步加劇。結(jié)合對API威脅態(tài)勢和攻擊特點等分析，報告預(yù)測了API安全發(fā)展四大趨勢：Bots自動化攻擊加劇API安全風(fēng)險;API安全管理更加智能化;API安全成為云應(yīng)用安全的重要組成;合規(guī)要求成為API安全的要素。
基于此，報告指出，在應(yīng)對新型的API風(fēng)險時，主要防護建設(shè)思路可以歸結(jié)為“一個基礎(chǔ)，四個感知” 。
一個基礎(chǔ)，即API資產(chǎn)管理是所有安全防護的基礎(chǔ)，確保已上線的API全部都在管控范圍之內(nèi)，防止有漏網(wǎng)之魚導(dǎo)致安全防線失效。
四個感知，包括：環(huán)境感知，加強對API的調(diào)用環(huán)境進行環(huán)境感知，提升API調(diào)用者的環(huán)境安全檢測能力。風(fēng)險感知，對API自身缺陷和外部攻擊風(fēng)險進行感知發(fā)現(xiàn)。數(shù)據(jù)感知，對敏感數(shù)據(jù)進行識別，同時結(jié)合行業(yè)的分類分級標(biāo)準(zhǔn)，進行相應(yīng)的安全策略管控，全面提升敏感信息監(jiān)測能力。業(yè)務(wù)感知，制定適合的API安全策略，提升業(yè)務(wù)感知能力。
五、結(jié)語
數(shù)字時代，API在為開發(fā)者帶來諸多好處的同時，也極大的增加了應(yīng)用系統(tǒng)新的風(fēng)險。據(jù)Gartner預(yù)測，“到2022年，API濫用將成為導(dǎo)致企業(yè)Web應(yīng)用程序數(shù)據(jù)泄露的最常見攻擊媒介。到2024年，API濫用和相關(guān)數(shù)據(jù)泄露將幾乎翻倍”。如何正確看待API安全風(fēng)險并有效防護API安全，將成為所有企業(yè)的必修課。
申請創(chuàng)業(yè)報道，分享創(chuàng)業(yè)好點子。點擊此處，共同探討創(chuàng)業(yè)新機遇！
