根据场景实施量身定制的第三方API安全防护策略

在当今快速互联的数字环境中，API已经成为增强功能和丰富用户体验的基础。API安全通常涉及第三方API，而非仅仅是自身API安全。

Gartner的最新调查显示，71%的IT领导者表示在其组织中使用第三方应用程序编程接口(API)。OWASP API 安全将"不安全地消费 API"列为前 10 大风险，也是在强调第三方API风险。

第三方API带来了新的风险，成为新的潜在安全威胁的入口，导致数据泄露、业务中断与财产损失、失去客户信任、监管与合规问题等。而且，与内部开发和维护、安全标准可控的第一方 API 不同，第三方 API 由外部供应商拥有和管理，因此其安全防护也更加复杂。

为了有效保护第三方 API，安全牛认为，组织应该采用以下9个保护第三方 API 的最佳实践：

1. 强大的身份验证协议：利用 OAuth 2.0 、OpenID Connect 或SAML 进行安全身份验证。在可能的情况下，实施多因素身份验证(MFA)以增强安全性。

2. 对数据进行加密：确保在应用程序和第三方 API 之间传输的所有数据都使用 SSL/TLS 协议进行加密。使用强大的算法(如 AES)对静态敏感数据进行加密。

3. 对输入进行验证：实施严格的输入验证检查，以净化和验证传入和传出的数据。这有助于防止注入攻击(如 SQL 注入)。

4. 速率限制和节流：为 API 调用设置阈值，以防止滥用并缓解拒绝服务(DoS)攻击。这限制了单个来源在指定时间内的请求数量。

5. 监控和日志记录：监控所有 API 交互,以发现异常活动。通过建立实时监控和日志记录，企业可以检测并响应可疑行为。还可使用自动警报系统通知管理员潜在威胁，并确保定期审查日志。

6. API 网关实施：使用 API 网关作为中介层来管理访问、实施安全策略,并在需要时应用速率限制，旨在为 API 交互提供了额外的控制层。

7. 定期安全审计和修补：及时更新 API 提供商提供的最新安全补丁，并定期审计 API 集成以发现漏洞。

8. 确保 API 开发和测试阶段的安全性。安全性应该在 API 开发和测试阶段就得到融入。通过在 API 开发期间执行安全测试，构建这些 API 的第三方组织可以在上线前发现漏洞，从而确保部署时具有更强的保护。

9. 确保员工(尤其是从事开发和 IT 工作的员工)了解 API 安全的重要性。定期培训和提高意识可以帮助防止安全漏洞,并提高整体 API 保护水平。

Gartner在最新的研究报告“根据 3种特定使用场景调整您的第三方 API 安全策略”中，强调了确保第三方 API 流量安全的关键挑战，并指出针对发现并管理向第三方 API 的出站数据流、防范来自第三方 API 的入站流量带来的威胁，以及管理和保护 SaaS 到SaaS 的API 互连三种不用应用场景，应结合实际情况实施量身定制的最佳实践。

对此，Gartner 副总裁分析师 Dionisio Zumer指出，安全和风险管理领导者不应试图用一种技术方法解决所有问题，而应根据具体使用场景调整方法。

出站 API 连接将数据发送到第三方服务(如支付网关)，存在数据外泄的重大风险，而且由于对外部 API 的控制有限，传统的安全措施往往无法奏效。

敏感信息，如客户或支付数据可能会被无意中暴露。第三方API也可能会危及数据或客户数据的安全。例如，攻击者可能会利用存在漏洞的支付API窃取客户的支付数据。此外，注入恶意负载也可能破坏业务合作伙伴的数据库。

企业通过API向第三方发送数据，通常是从自主开发的应用程序中调用它们。例如在电子商务场景中，提供API的服务可能是支付网关，出站流量将包含用于处理支付的支付数据。从应用程序内部调用API的方式有多种，如直接集成、使用软件开发工具包或Webhook。

针对这一场景，Gartner 建议，要全面监控流量、传输安全(TLS)以及与 DLP 解决方案集成，以检查和控制出站 API 调用。这些措施有助于检测数据泄露，并通过对出站流量实施安全策略来确保合规性。

安全领导者还应与负责采购、供应商管理(SPVM)和第三方网络风险的团队协作，确保对SaaS应用程序进行审查，并符合组织政策。

Zumer认为，安全领导者还必须通过监控这些API交换中的出站流量来识别敏感数据外泄。这可以通过实施数据丢失防护(DLP)功能来实现，其中可能会应用到不同的工具，安全服务边缘(SSE)、DLP和API保护工具都具有一定的DLP功能。考核因素包括：

• 工具是否能够对传输中("即时")的数据进行分类，或者是否能够执行补救措施，如阻止交换、匿名化或加密数据；

• 监控点也可能很重要，因为有些 DLP 工具可能已经部署在能够访问未加密数据流量的网络位置上；

• 安全领导者对工具的配置方式。如果将其设置为一个节流点，它可能会比仅处理特定类型流量或入站流量的工具更好；

• 内部运营和管理因素。组织内部的一些运营和管理方面的考虑会影响到选择哪种 DLP 工具用于监控 API 数据交换。

最后，安全领导者可以使用API提供商提供的机制，对API客户端进行适当的身份验证和授权。至少应优先使用令牌而非API密钥进行授权。评估在特定使用场景中，不透明且可证明所有权的令牌(或至少经常轮换的访问凭证)和证书锁定是否能有效缓解令牌泄露和拦截风险。但也要注意它们可能带来的技术负担，以及对流量检查的影响。

在此使用场景中,组织从第三方 API(如从 SaaS 提供商或业务合作伙伴处获取信息)消费数据。主要风险在于从 API 接收潜在有害输入，包括恶意负载或损坏的数据。这些威胁可能导致注入攻击、数据泄露或损害后端系统的完整性。此外,如果连接不安全，从第三方 API 接收的敏感数据可能会被拦截，导致信息泄露。

针对这一场景，Gartner 建议实施强身份验证(如基于令牌的授权)、内容检查和安全传输(如 TLS)，并考虑反向 API 网关来管理令牌、检查流量并为入站 API 连接提供实时监控。

Zumer强调，安全领导者应执行输入验证。要求开发人员在接收任何输入时(包括来自第三方API的输入)添加输入验证控制。这将防止来自恶意输入的大量攻击，如SQL注入攻击。应用程序安全测试(AST)工具可以帮助自动化这些检查。

使用Web应用程序和API保护工具的Web应用程序防火墙功能，在线路上添加针对注入攻击和其他类型恶意输入的应急措施。

最后，通过与一种或多种反病毒、沙箱或内容消毒和重构解决方案集成应用程序(通常通过互联网内容适配协议或API)，对输入进行检测。

确保第三方 API 流量安全是一个复杂的挑战，需要采取量身定制的、积极主动的方法。无论是管理出站数据流、检查入站流量还是治理 SaaS 到SaaS 互联，组织都需要一种能够提供深度可见性和精确控制的解决方案。