API数据安全管理浅析

随着云计算技术的广泛应用，越来越多的业务迁移上云，云原生的开发基于微服务架构和k8s等弹性扩容模式，相较于传统数据中心的单点调用，API成为模块间通讯的标准，业务逻辑分散在多个微服务模块，无论东西向和南北向都有无数的API，每个API都可能成为一个攻击面，从而导致需要防范的攻击面比原来要大很多。

企事业单位在数字化转型过程中，大量网盘、文库、公众号、小程序及对外提供服务的API数据接口等新兴数字资产暴露在互联网上，未能及时、有效、快速的对这类数字资产进行盘点清楚，导致攻击者利用这类资产作为跳板机，攻击内部网络，窃取企事业单位重要数据。

超出第三方供应商权限范围私自大量缓存、调用API接口数据；接口返回超出最小必要原则的敏感个人信息字段或高敏感级别字段未按规定脱敏或脱敏策略不一致。

隐私数据采集未经用户授权；隐私数据接口违规开放给第三方等；API安全一旦出现问题，可能导致的是百万、千万、甚至亿级的个人信息泄露，使企业面临违反《网络安全法》第四十二条“网络运营者应当采取技术措施和其他必要措施，确保其收集的个人信息安全，防止信息泄露、毁损、丢失”的合规风险。由此可以看出，API安全应当作为一项重要抓手，用于管控组织级别的数据安全与个人信息安全风险。

企事业单位在数字化转型过程中，对外提供的各种API数据接口，由于在API对象级别授权（BOLA）、API用户身份认证与授权、API对象属性授权及API功能级别授权等方面失效或管控不到位，导致内部工作人员或外部攻击者利用失陷的API权限盗取企事业单位机密数据。

针对API面临的安全风险与挑战，我们采用API数据安全管理整体解决方案，重点从全网API资产探测与管理、API风险监测与管理、API运营态势及API安全防护措施等维度分析，具体如下所示：

在API风险监测方面，可以通过API资产与漏洞测绘工具探测流量中的API资产，并自动探测发现这些API存在的漏洞与风险，并针对这些漏洞风险特征进行合理的分类分级，在漏洞风险发现模块呈现出来并提供告警信息；通过将告警的源地址与资产数据进行匹配，以及提取API URL中的账号等参数信息，来识别出告警资源的更多信息，帮助企事业单位快速定位存在漏洞风险的API接口；支持弱口令字典自定义，用户可以根据企事业单位自身情况，自定义探测的用户名和密码内容，并会根据用户自定义的弱口令进行检测，查看企事业单位API组件管理后台是否存在弱口令问题。除了发现弱口令外，还会对所有弱口令进行统计和跟踪，帮助用户判断管理后台弱口令问题的分布和存在情况。