面对高速迭代、隐秘多变的API攻击技术，企业在数字化转型的过程中，应在把握自身现状的基础上加强内部风险管理、做好 API 全生命周期安全管控、建立健全业务漏洞应急响应制度，从根本上提升数据安全及合规能力，有效形成数据信息保护的防御闭环。

1. API资产发现与管理

对API进行深度资产梳理，通过主动、被动等识别方式，建立API资产台账，帮助安全团队了解不同应用程序使用的API 的业务属性以及对应API的关联性。

2. API漏洞识别

建设持续挖掘、收集 API相关漏洞的能力和机制，并做好补丁管理，包括引入第三方组件时充分考虑组件自身安全，避免第三方组件引入安全漏洞。

3. 异常行为检测

关注API高频访问、异常数量级数据访问、异常时间访问等异常行为，建立全面可视化管理。

4. 敏感数据识别

数据分级分类治理，通过技术手段持续监测API访问数据，自动梳理API接口中的敏感数据流并生成API接口与敏感数据映射，确保个人隐私数据、商业数据以及其他敏感数据不被泄露。

5. 建立认证授权体系

构建完整的认证授权体系，实现认证授权统一，对API内外部访问执行可信认证策略。

6. 访问控制限制

对API 请求设置一套限制策略，从系统的处理能力方面对 API请求做限流管控，缓解基于API的DDoS攻击，有效防止资源消耗在无意义或恶意的API请求上。