API安全：应对威胁格局

应用程序编程接口（API）是一种必不可少且无处不在的软件，它允许日常应用程序和进程之间的信息交换，如软件即服务（SaaS）应用程序、物联网（IoT）设备、通用配置文件登录页面和自动驾驶汽车等。API同步并维护客户端和服务器之间的数据交换，响应每个请求。

由于API功能对于现代化流程至关重要，因此它们成为吸引威胁者的目标。API安全可能会受到各种威胁的破坏，其影响可能对企业及其业务造成严重危害。

API攻击遵循与标准基于Web的攻击类似的策略，包括：

开放式Web应用程序安全项目（OWASP）强调受API影响的前十个安全漏洞，以及缓解策略：

API允许访问对象，但当授权遭到破坏时，攻击可以在广泛的层面上施行。这种漏洞可以通过实施基于对象级别的授权检查来减轻，要求授权凭据和访问令牌来准许访问。

实施不良的身份验证机制会让威胁者窃取身份验证令牌并利用缺陷来假冒授权用户的身份。可以通过确保只有受信任的用户经过身份验证并利用访问令牌验证来解决这个问题。

通用API在没有具体限制的情况下会暴露对象属性。这是基于客户端会过滤掉不必要的数据的假设而进行的。因此，威胁者可以从中访问个人身份信息（PII）。这个风险可以通过仅向可信方授予数据访问权限、确定访问资格以及按需限制数据的部分来减少。

没有对客户端请求的资源数量进行限制的API容易受到拒绝服务（DoS）攻击和暴力破解攻击。这将对API服务器的性能产生不利影响。采取诸如强制限制访问速率和使用API网关等措施，将有助于防范此漏洞。

失效的功能级授权 - 不当的访问控制策略可能导致授权漏洞。当管理员和非管理员角色没有得到正确分离时，威胁者可以访问管理资源和功能。采取严格的基于角色的访问控制，实施零信任策略，并定期进行安全评估和渗透测试可以避免此漏洞。

此漏洞允许用户提供的数据在没有验证权限的情况下被用于对象上。这使得威胁者可以绕过安全机制并访问敏感数据。强大的访问控制可以防范此漏洞。

不安全的默认配置和不完整的临时配置可能会暴露系统详细信息和敏感用户信息。解决方法是不依赖于默认配置，并且不要在错误消息中插入敏感信息。

API容易受到注入漏洞的影响，如SQL注入、NOSQL注入和命令注入。此漏洞允许威胁者通过解释器执行恶意命令。使用API网关，不接受SQL和不受信任的数据类型，以及监控API请求，可以对抗此漏洞。

 对API端点的管理和文档化不当，以及继续使用过时的API版本，给威胁者提供了破坏和利用应用程序信息流的漏洞。解决方案是保持最新的所有API主机清单，淘汰或修复旧的API版本，并实施API防火墙。

不良的API安全审计和不足的API管理为威胁者提供了更多时间来突破更多漏洞，并持续在系统中活动。为了防止这种漏洞，确保对日志的访问进行身份验证，自动化监控和对日志事件的访问，并维护一个集成和可视化的日志管理和监控平台。

值得注意的是，上述列出的缓解策略只是初步的，一旦实现，组织应该致力于实施OWASP的预防性策略，这些策略更加深入全面。

Shadow APIs是指在组织缺乏适当监管的情况下开发和使用的第三方API。当允许这些API自由存在于组织的软件环境中时，它们可能会导致漏洞。这些API通常没有文档记录，无法追踪，并且不容易被察觉，对软件系统的安全性和功能构成重大风险。

Shadow APIs可能带来的风险包括可靠性问题、运营成本增加、不符合业务标准和法规以及其他可能导致安全事件的风险。

识别Shadow APIs的方法：

随着API的广泛应用和集成，API攻击和漏洞的风险增加，这可能会暴露敏感信息并干扰业务运作。Shadow APIs带有隐藏的风险，因为它们的操作在组织安全域之外。为了提高API安全性，可以使用令牌来控制对服务和资源的访问，使用加密和签名来确保数据隐私，并使用API网关对API流量进行身份验证。通过处理API攻击、漏洞和Shadow APIs的风险，组织可以确保API的安全性，保护其数据和系统。

* 本文为LLrber编译，原文地址：https://www.tripwire.com/state-of-security/api-security-navigating-threat-landscape
注：图片均来源于网络，无法联系到版权持有者。如有侵权，请与后台联系，做删除处理。