1_ 掌握网站开发的基本流程 要求:熟悉网站开发与设计的基本流程.,seo页面优化公司,如何在网站做电子报,游戏开发 网站开发 难度API安全的重要性
近几年#xff0c;越来越多的企业开始数字化转型之路。数字化转型的核心是将企业的服务、资产和能力打包成服务#xff08;服务的形式通常为API#xff0c;API又称接口#xff0c;下文中提到的API和接口意思相同#xff09;#xff0c;从而让资源之间形…API安全的重要性
近几年越来越多的企业开始数字化转型之路。数字化转型的核心是将企业的服务、资产和能力打包成服务服务的形式通常为APIAPI又称接口下文中提到的API和接口意思相同从而让资源之间形成更强的连接和互动关系释放原有资产的价值提升企业的服务能力。企业数字化转型使得基于API的业务系统剧增随之而来带来的安全问题也日渐凸显。Gartner预测到2022年API滥用将成为最常见的攻击媒介导致企业出现数据泄露。
API安全事件频发技术能力领先的头部企业也屡遭数据泄露。2020年3月19日有用户在暗网上发现微博的5.38亿用户信息在暗网出售其中1.72亿条有账户基本信息原因就是来自于终端APP的业务逻辑API被非法流量调用超过40亿次而导致。
API给企业带来的挑战有资产理不清有多少API对外开放、有多少敏感数据、有什么类型数据、是什么等级的数据滥用管不住API未经脱敏就直接使用、开放API被第三方系统滥用审计日志不详细导致API安全事件发生后没有有效的溯源手段。
API安全性越来越重要对API安全进行防护既有利于用户安全的使用API所提供的服务又能够为用户的隐私数据进行保驾护航。所以提高API安全防护能力的问题亟待解决。 面对以上形势现在越来越多的企业采用API网关来管理内部API。以下从API资产管理、API安全防护、API风险溯源三个方面介绍API网关如何对API进行全生命周期的安全管理。
API资产管理
API网关支持API注册、分级分类、资产清单导出和API签约审批等。通过API网关API提供者可以清晰掌握每个调用方的使用情况并且可严格把控API的签约使用实现API的可管可控。
API安全防护
1. 认证鉴权
API网关支持根据能力提供者提供的相关API鉴权要求要求能力使用者在使用相关API时遵循相应的鉴权要求。
1IP黑白名单认证
IP黑白名单API策略适配器帮助能力提供者对能力使用者的API 调用按照请求端IP黑白名单进行控制确保API访问的安全性。能力提供者针对每个API可独立设置IP黑白名单每个IP地址都与能力使用者存在对应关系。
2APPID身份认证
能力使用者在使用API时需要先注册APP并获取APPID。 调用API时以APP为单位调用而不是以能力使用者身份调用。理论上同一个能力使用者的多个APP之间不允许在非授权情况下互相使用对方APP不具备的API。API网关网关需提供“APPID SecretKey”用于身份认证认证通过后才允许该能力使用者调用API。APPID和SecretKey由系统分配。当能力使用者在系统中成功创建APP后系统就自动为其分配APPID和SecretKey。能力提供者可以针对每个API设置APPID认证策略。
3能力鉴权
即使APPID认证通过若该能力使用者调用未申请的接口同样会被API网关拦截。
4密钥更换
API网关为每个系统或应用分配专属的秘钥调用方系统使用秘钥才有权限调用申请的API秘钥一旦泄露第三方就可以非法调用API该功能可以避免秘钥泄露导致的API安全问题。
5签名认证
API网关支持签名认证例如使用RSA非对称加密模式时能力使用者在使用API时需要使用APP私钥进行签名从API网关获取 API响应或者API网关主动发送消息给APP时API网关会使用私钥进行签名能力使用者需要通过API网关公钥验证以确保消息来源可靠。
2. 流量控制
流量控制主要指对应用接入的流控和API访问的流量控制。针对 API流量控制策略适配器帮助能力提供者对能力使用者的API调用按照设置的TPS进行访问速率控制从而可以拦截非法调用并保护后端API服务器。能力提供者针对每个API、签约应用加API、 签约应用等不同维度可独立设置TPS当能力使用者调用API时API网关系统将按照能力提供者设置的TPS值进行API 调用速率控制
3. 数据脱敏
数据脱敏(Data Masking)又称数据漂白、数据去隐私化或数据变形。数据脱敏的定义为指对某些敏感数据通过脱敏规则进行数据的变形实现敏感隐私数据的可靠保护。这样就可以在开发、测试和其它非生产环境以及外包环境中安全地使用脱敏后的真实数据集。 敏感数据又称隐私数据常见的敏感数据有: 姓名、身份证号码、地址、电话号码、银行账号、邮箱地址、所属城市、邮编、密码类 ( 如账户查询密码、取款密码、登录密码等 )、组织机构名称、营业执照号码、银行帐号、交易日期、交易金额等。
4. 传输安全
API网关系统支持接口的HTTPS协议传输。HTTPS顾名思义即安全的HTTP普通的HTTP请求和响应对任何监控网络传输的用户都可见而HTTPS传输的信息通过安全传输层(TLS也被称为SSL)隐藏和保护。HTTPS的主要作用是确认双方的身份和建立安全通道保证传输数据的安全保障接口业务在调用过程中的防篡改等安全能力。
API风险溯源
API网关基于日志行为审计的风险溯源 解决3个核心5个要素。3个核心主要是指谁使用了什么账号用户访问了哪些API应用查询了哪些敏感数据内容5个要素是指什么时候时间什么IP地点查询了哪些涉敏数据操作成功与否和次数多少结果此外还有账户行为详细分析与可视化统计有效避免事故责任难追溯的问题画像。 基于以上要素API网关提供日志审计的功能可对系统日志和接口调用的的异常进行分析日志审计内容包括
登陆日志的审计。提供用户登录次数登陆地点登陆时间校验失败次数验证码验证情况等的分析记录为运营者提供平台是否被暴力破解攻击等行为的判断。系统用户的操作日志审计提供操作行为的统计分析数据为运营者提供破坏者等的行为判断依据。安全调用审计提供访问请求来源访问频率流量访问时段等的分析数据为运营者提供平台是否收到非法攻击恶意调用的行为判断依据。数据安全审计提供数据存储的访问情况访问账号访问数据信息及记录等为运营者提供数据是否被恶意窃取被批量操作等提供判断依据。
总结
API网关对API的安全管控基于多种规则的交叉实现对网络层、应用层、信息层的安全策略的应用、审计和控制来保障对外开放API时业务、数据、应用的安全。API网关对API的保护贯穿API的创建、上线、开放、传输、以及最终销毁的全生命周期。除以上本文提到的API安全管控功能外API网关也提供实时的告警监控能够及时对API调用的异常情况发出告警有效保障API的稳定运行和对外服务。
本文由mdnice多平台发布
