不可忽视的API安全：数据泄露背后的隐形杀手

API（Application Programming Interface，应用程序接口）是一些预先定义的接口（如函数、HTTP接口），或指软件系统不同组成部分衔接的约定。用来提供应用程序与开发人员基于某软件或硬件得以访问的一组例程，而又无需访问源码，或理解内部工作机制的细节。

企业使用 API 来支持业务流程，而 API 安全是保护 API 的策略。然而，由于存在API 蔓延的可能性，企业很难完全了解自己的整个API环境。要想识别和降低 API 安全风险，需要采取足够成熟的安全控制措施来解决此问题。需要保护的 API 包括：

亚信安全信数应用安全审计系统(AISAPI)是一款位于Web应用侧的数据安全产品，用以帮助用户梳理庞杂的应用及接口，绘制接口画像和接口访问轨迹，监测敏感数据流动风险，识别接口调用的异常用户行为，解决API安全管理问题，为应用系统的业务数据合规正常使用和流转提供数据安全保障。

应用安全审计系统能快速理清API资产情况，降低从合法请求中发现 API 数据安全风险的难度，弥补传统安全手段在 API 安全上的不足，还能全量记录调用日志，利用技术识别敏感数据，在溯源分析时进行关联和展示，以追溯快速迭代的数据安全风险。

以往对资产的认知大多停留在数据、应用系统、主机、IP等维度，API作为URL级的新型资产，无论是数量还是复杂度,都为API资产管理带来了一定困难和挑战，系统很好地理清了API资产的情况。

从API上违规获取敏感信息的风险行为隐藏在看似合法的请求中，降低了为API数据安全风险的发现难度。

系统的暴露面被无限放大，安全风险场景也随之发生变化，系统解决了因传统的安全防护体系以及防护技术无法解决新的安全问题。

系统全量记录API接口的调用日志，并利用内容识别技术对API接口中涉及的敏感数据进行识别和打标，在做溯源分析的时候，可根据敏感数据内容在接口调用日志库中进行检索，并将检索出来的相关日志按照数据、应用、接口、账号、IP等维度进行关联和展示；

API审计系统架构图

基于特定的数据挖掘算法，识别并建立接口资产列表，亚信安全API审计系统可对接口进行可视化展现、实时监测，从而对接口进行差异化监控，及时发现接口存在的安全风险。在实际业务中， API审计系统可根据应用域名特征进行应用资产的自动合并推荐，支持不同网段应用，在域名或IP不同的情况下，依托AI智能算法，深度挖掘应用的业务相似度，对应用资产进行合并智能推荐，AI挖掘算法能力具备优秀的行业竞争力。

数据识别能力可以从根本上体现API审计能力，亚信安全API审计系统不仅支持市场主流关键字、正则等识别方式，同时支持多种智能AI识别方式，如机器学习、自然语义、指纹等多种方式设置自定义监测模板，监控能力紧贴实际业务场景。

创建用户行为基线，通过规则、基线、大数据等分析手段识别异常访问行为并及时预警。关注用户对关键业务系统、敏感接口敏感数据的访问行为，利用强大的智能分析引擎，根据用户账号、客户端IP和访问特征构建多维分析模型，根据用户需要进行数据深度分析。

全量记录API接口的调用日志，利用内容识别技术对API接口中涉及的敏感数据进行识别和打标，在做溯源分析的时候，可根据敏感数据内容在接口调用日志库中进行检索，并将检索出来的相关日志按照数据、应用、接口、账号、IP等维度进行关联展示；

应用安全审计系统支持旁路、插件审计两种工作模式，通过对网络流量进行深度解析来实现对应用/API接口的审计，帮助用户实时统计访问应用的请求和风险，提升应用运行监控的透明度，降低人工审计成本，真正实现应用全业务运行可视化、数据访问可监控、异常行为可告警、安全事件可追溯。

对于部署在公有云/私有云上的应用系统，可采用插件（Agent）的方式从应用云主机上或者Nginx等代理服务器上获取网络流量，实现对应用/API接口的解析。

亚信安全信数应用安全审计系统，目前广泛应用于企业、金融、电力、政府、医疗等行业，有效保障用户的API安全管理问题，为用户的应用系统业务数据合规正常使用和流转提供数据安全保障。未来，亚信安全将持续增强产品创新力，加大对AI算法的研究投入，进一步提升安全审计的自动化和精准度，确保在日新月异的数字化时代中，为用户提供更加全面、可靠的API安全解决方案，助力各行业的数字化转型与安全运营。

了解亚信安全，请点击“阅读原文”