知名做网站公司,郑州电力高等专科学校录取分数线,南昌启航科技,js代码放wordpress哪里摘 要 根据当前API技术发展的趋势#xff0c;从实际应用中发生的安全事件出发#xff0c;分析并讨论相关API安全运营问题。从风险角度阐述了API接口安全存在的问题#xff0c;探讨了API检测技术在安全运营中起到的作用#xff0c;同时针对API安全运营实践#xff0c;提出…摘 要 根据当前API技术发展的趋势从实际应用中发生的安全事件出发分析并讨论相关API安全运营问题。从风险角度阐述了API接口安全存在的问题探讨了API检测技术在安全运营中起到的作用同时针对API安全运营实践提出了几个方面的设想以及能够带来的运营价值。 0 1 背 景
近年来数据的价值逐渐凸显数据应用场景不断拓展数据交易持续增加。参与交易流通的数据类型从金融数据逐步扩展到医疗、交通、工业等多种类型的数据数据需求方涉及公共服务、影视娱乐、交通、医疗、金融、广告营销等众多领域。然而随着数据的集中汇聚及开放数据共享面临着新的安全风险。相比传统的数据库层数据共享技术当前大量数据通过各类API传输传统的网络安全防护体系已经难以满足当前的数据安全保护需求而针对API的安全防护和运营也引起了人们的高度关注。 0 2
API及其安全风险
2.1 API概述
在应用编程实践中由于系统的复杂性在设计阶段就将其划为较小的部分不同部分之间的规范约定就是应用程序接口Application Programming InterfaceAPI官方api接口接入方式。良好的接口设计可以降低系统各部分的相互依赖提高组成单元的内聚性降低组成单元间的耦合程度从而提高系统的维护性和扩展。一方通过API发送远程请求无需了解对方内部系统的逻辑即可访问对方开放的资源实现数据和服务的互动。目前API已成为数据传输共享的重要手段。
2.2 API面临的挑战
2.2.1 API安全事件频发
API的数量急剧增长与之相关的安全风险也在同步增加。近年来基于API安全所引发的事件屡屡发生2018年Facebook公布了通过数据共享API被大规模网络攻击事件的细节此次事件造成了3 000万用户的账号信息被泄漏2020年淘宝报警称有黑产通过mtop订单评价API绕过平台风控批量爬取加密数据共计11.8亿条。由此可见API已经成为影响企业数据安全的重要风险来源。
2.2.2 API安全风险挑战
从API自身特点来看除了常见的传统Web攻击威胁外API还面临着越权访问、数据暴露、凭证失陷等威胁。同时这些威胁检测涉及到了API接口发现、参数检测、行为识别、访问控制等多个环节任何环节的缺失或不足都会影响到整体防护效果。所以保护API安全的难点有以下几点。
a场景复杂无法通用。API应用业务场景十分丰富。在不同的业务场景下一些风险特征或模型很难通用同时企业内部混合着十几年前的应用系统和新上线的系统系统的实现可能不一致API存在多样化的复杂性。
b缺乏指导难分主次。API安全防护虽然一直在发展但目前还是处于探索阶段业界对如何解决API安全问题还没有形成一个普遍认可的最佳实践所以在落地API运营建设的时候容易缺乏指导难分主次。
c能力分散无法闭环。即使在一些安全建设比较领先的行业也大多存在能力分散、产品孤岛的问题产品能力、工作流程之间没有很好地打通同时缺少对漏洞和风险的生命周期管理没有形成闭环实际运营的效率比较低。
2.3 安全风险分析
原生API大多从易用性、便利性等角度进行设计往往缺乏对自身威胁的防护。而在API的设计实现中也存在多种原因造成API之间的安全问题。同时敏感数据被封装在业务场景中通过API进行交换如果没有采用安全标记、多级授权、访问控制、安全审计等安全机制构建安全的交换空间也难以确保数据的安全。
针对API的可利用性弱点、普遍性弱点、可检测性、技术影响、业务影响等方面本文着重介绍其中影响较大的几个问题。
2.3.1 对象级授权失效
通常API采用令牌方式对用户请求进行鉴权服务器会在用户登录之后生成一组不重复的字符作为令牌在调用API时需要携带令牌由服务器进行校验。这种机制的失效通常会导致未经授权的信息泄露、篡改或破坏。对象级授权失效如图1所示。 图1 对象级授权失效
2.3.2 用户身份验证失效
如果身份认证机制出现问题将使攻击者得以暂时甚至永久冒充其他用户身份导致API的整体安全性降低。用户身份验证失效如图2所示。 图2 用户身份验证失效
2.3.3 对象属性级授权失效
当允许用户通过API接口访问数据时需要验证用户是否具备访问对象的特定属性访问权限如果API接口上存在用户不应该读取或访问的属性即使是不敏感的数据被大量收集后也会暴露个人隐私造成数据的泄露。对象属性级授权失效如图3所示。 0 3
API安全运营研究
3.1 API安全运营思路
API由于数量大、更新快且关联敏感数据和账号的变更对其进行盘点和统计是后续安全防护的基础。但大部分企业并没有把API资产纳入到资产盘点的范畴未做好全面的资产梳理工作会导致混乱、复杂的API资产台账。如应用API域名、IP、端口、路径的复用或拆分使用呈现千“业务”千“API”的局面。
很多无用API没有及时下线形成了僵尸API可能导致严重的安全风险。传统上安全部门对API的盘点是依赖于业务部门的上报但由于统计不全或更新不及时等种种原因API资产很难通过有限人力以静态的方法来完成持续有效的梳理。并且由于安全技术人员对业务鲜有了解难以准确理解API的各类业务属性无法建立起资产、告警、业务、业务人员的逐一对应视图因此必须借助API检测技术对API台账进行梳理。
API检测是一种软件测试实践通常采用主动扫描的方式直接测试API的功能表现、可靠性、性能表现和安全性。API测试可以通过工具模拟请求的发送与接收如Postman、JMeter等或者代码模拟请求的发送与接收如JAVA自带的Web、HttpClient等。除此之外还有以流量监测为基础的API流量分析技术可实现对API数据暴露面的治理和对数据攻击行为持续发现。
API的指数级应用使得API安全的条件变得异常严苛也将企业推入了一个“高压”的局面企业应该围绕闭环性、可持续性的API建设思路进行安全体系的设计和实施基于均衡取舍研究的结果来定义系统安全设计元素并且向系统安全设计元素分配安全机制确定所期望的安全机制和实际有效的安全机制前端是否一致或相当检验并最终确定设计元素和系统接口制定安全规范等。
可以从以下几个方面开展API安全运营实践见图4。 图4 API安全运营重点方向
a全量API资产洞察。主动发现网站、小程序、APP等全量API资产提供API类型、级别、形态、生命周期等全方位的API资产描述。从应用系统、数据标签组合、敏感等级、访问域、最近活跃时间、访问量等多种维度进行分析、筛选形成重点API清单。
bAPI暴露面管理。通过API数据暴露面管理、重点API清单筛选辅助实现攻击面管理ASM完成泄露资产的发现及脆弱性检测。对接入侵攻击模拟能力BAS评估企业安全技术措施的有效性同时帮助渗透测试人员去更好更深度地渗透持续加固API数据暴露面的管理。
cAPI弱点全面评估。识别评估API脆弱性包括接口权限类、数据暴露类、安全规范类、口令认证类、高危接口类等问题能够覆盖OWASP API Top 10相关问题点并满足主管部门及监管机构的合规要求。
dAPI弱点确认与修复。对接企业的安全SOC平台推动API的弱点修复流程同时集成到企业现有的ITSM/SIEM工作流中形成弱点/漏洞工单处理流程也可以基于弱点的危害性和风险影响面直接通过邮件、钉钉等IM软件推送给负责的业务部门去整改修复。在API弱点修复后通过流量分析持续验证弱点是否完成修复从而形成闭环。
eAPI访问行为风险发现。由于在不同的业务场景下一些风险特征或模型很难通用因此在风险规则的基础上提出了新的解决思路以接口为中心针对业务安全场景识别并刻画业务接口关键参数关系画像从而能够以此画像为基线发现接口的访问行为风险。能够识别的API新型攻击风险类型包括异常API请求/响应、异常访问行为模式、异常接口访问轨迹、异常数据调用行为等。
fAPI风险研判与处置闭环。通过集成或对接威胁情报实现可疑行为的进一步验证通过旁路阻断、联动防护设备等方式完成验证后的风险处置。
g事件溯源分析补漏。针对API的异常风险事件通过下发溯源任务主动进行关联事件的相关性检索分析对数据行为进行精准审计并将结果汇总便于及时补漏安全缺口。
h异常行为持续分析。通过HTTP全流量日志存储检索与分析对敏感API、人员账号、IP行为等要素进行组合检索持续监测异常行为将API安全运营做到更高的高度。
i集中管理统一运营。通过威胁情报管理、暴露面治理、风险聚集性挖掘、异常行为审计分析等API运营手段汇聚分析API风险并进行集中管理打破孤岛效应提升运营效率。
从企业视角来看忽略API资产加剧了整个API风控运营体系的实施。建议企业结合自身的业务状况打造API运营中心以主动发现API资产、完成API接口资产清单为安全基建逐步打造API弱点评估、风险监测、威胁拦截、异常行为审计、集中管理等能力最终实现API安全运营闭环的落地。API风险运营流程如图5所示。 图5 API风险运营流程
3.2 API安全运营价值
3.2.1 数据流动态势识别
可识别自定义的流入、流出应用系统的敏感数据包括Web页面内和传输文件内的敏感数据的种类和数量记录存储访问系统传输敏感数据的详细信息包括用户IP、姓名、部门、访问对象、访问时间以及访问内容等详情构建应用系统的敏感数据流动地图提供记录的多维度查询功能可以快速、全面地知晓什么人在什么时间通过什么方式获取了什么敏感数据。
3.2.2 应用系统接口管理
针对每个业务系统梳理其接口数量和情况形成应用接口清单。从是否传输敏感数据、接口的活跃程度、上传/下载等方面将接口进行分类分级检测接口存在的无鉴权访问、后门接口等暴露面并进行分类汇总展示实现暴露面可还原帮助安全人员摸清接口的脆弱性推动系统侧进行应用系统设计和运维方面的问题整改。
3.2.3 敏感数据风险预警
建立各类敏感数据风险监控指标构建分析模型对数据行为建立用户基线、接口基线、系统基线等实时监控多个维度的运行状态实时发现非正常时间访问、大量数据异常下载、敏感数据未脱敏、伪脱敏等各类异常行为并及时告警防止大规模的敏感数据泄露、窃取、滥用等风险。
3.2.4 数据泄露事件溯源
实现敏感数据流动地图的可视化展示能够清晰地展示应用系统、接口等清单报表和运行安全性自定义敏感数据标签和风险指标详细记录日志并针对脆弱性、风险事件进行分类统计、分析和展示。在完整记录敏感数据流动、访问操作的基础上做好数据内容、账号、接口等多维度的溯源还原风险路径、评估影响面。 0 4
API安全运营总结
从长远来看可以通过将本文的解决方案与用户现有的工作流程无缝集成以及与用户现有的平台/技术紧密融合从而建立一个有效的闭环验证机制。同时还可以利用API接口上下文画像建立正常行为的基线并检测异常和离群的风险实现风险规则的自动调整加强风险自动化运营能力。考虑到企业内部职责边界的情况设计清晰的用户使用路径使参数配置可视化并实现精细化运营。这些举措将提升API风险管控机制的建设与运营实践水平真正实现API安全运营落地为企业发展带来持续的收益和效益。
