“数据安全”是企业创新发展的重要驱动力。
在大数据、人工智能等新技术为企业发展带来无限生机的同时，巨大的利益诱惑驱使黑灰产业更加规模化，给各行各业带来严峻的网络安全挑战。
面对复杂多变的网络威胁，被动应对风险的方式显然已不再适用于快节奏拓展业务的组织，加强数据安全治理，在实战中主动应对风险，逐渐成为行业达成的共识。
近日，“2023年金融系统安全运营与实战专题交流会”在广州举办。
交流会由“广东省粤港澳合作促进会金融专业委员会”和“粤港澳大湾区金融创新研究院”联合举办，威胁猎人作为协办单位出席并进行主题分享。
威胁猎人API安全业务总监黄巍，以《以API安全为基础构建流动数据安全体系》为主题，为众多关注数据安全的金融从业者带来了一场干货满满的分享。
黄巍提到，在数据业务化时代，数据作为生产要素，因流动而产生价值，承载着企业敏感数据和业务逻辑的“API”也进入了高速扩展时期。
越来越多的企业以API、SDK等技术为手段，通过双向开放的形式不断扩展业务领域。
Akamai有一项统计：“API请求已占所有应用请求的83%，预计2024年API请求命中数将达到42万亿次。”
会议上，黄巍提到一起典型的因“API未授权漏洞”导致的拖库数据泄漏案例：
某攻击团伙利用网络空间测绘系统自动化扫描后，发现某大型企业使用的Spring Boot Actuator组件配置不当，存在“API未授权漏洞”。
攻击者通过访问默认的内置API，恶意盗取该公司大量数据库的地址、用户名和密码，并将其高价售卖给电信诈骗团伙 。
这类风险案例在现实中并不少见，但随着攻防面的变化，传统安全防护产品很难应对攻击者针对API发起的“低频无特征攻击”，这也给传统安全防护产品带来了很大的压力。
尤其针对整个行业的风险是非常多样的，组织和机构很难通过有限的人力去解决大量的、不断变化的风险点。
当API恶意攻击引发的数据泄漏、合规风险等挑战日益严峻，企业API安全建设更加需要行业各方的共同关注。
对此，威胁猎人提出全新的数据安全解决方案，以API安全构建金融行业流动数据安全
威胁猎人API安全管控平台以强大的情报为驱动，构建缺陷评估及风险感知模型，实现可视化管理API资产、精准检测API逻辑漏洞、及时感知API风险事件，实现闭环式风险处置。
从多个维度及时、准确感知客户面临的各种风险，并对目标风险进行溯源分析。
首先，平台以API资产为中心，持续、动态梳理API资产，包括及时了解API开放数量、API活跃状态、僵尸API、影子API以及API中流动的敏感数据等情况，让企业可以非常清晰、量化地知道自己的API资产及其风险。
“情报”能力也是该平台的主打优势之一。
Gartner在报告中曾提到，“许多API安全问题都与业务逻辑有关”。API安全管控平台可以基于情报，从“攻击产业链”准确识别API逻辑攻击。
主要体现在从攻击产业链的角度定向获取情报，包括代理IP、虚拟手机卡等各类攻击者无法绕开的攻击资源，结合攻击者的行为特征及流量特征，可不受业务波动影响，更准确地识别针对API的逻辑攻击风险，误判率低。
此外，风险情报的“实时增量更新”能够确保风险情报准确性及全面性，避免产生大量误报或漏报，有效降低人力及时间成本的同时，大大提升安全运营效率。
数据是企业的核心要素和创新资产，威胁猎人期望通过专业API安全产品及领先的情报优势，促进企业数据安全合规及高效运营，守护企业用户的数字化创新之路。
2023年1月5日，永安在线进行品牌焕新，正式更名为“威胁猎人”（详见：成立6周年，威胁猎人焕新回归）。
原文始发于微信公众号（威胁猎人Threat Hunter）：专题分享 | 以“API安全” 构建金融行业流动数据安全
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论