1 API 安全 与 实践 关于API,聊聊是不是这个理儿 M AY 2 0 2 2 议程  API 标准化情况  API components 合规要求  API 管理  API 安全态势  安全风险分析  API 安全建议和生命周期管理  挑战和期待 3 API 的标准化现状 API是并不一定是函数也可能是一个类，为程序之间数据交互和功能触 发提供服务，为了实现数据在不同系统间的轻松使用， 秩序调用并输 入预定的参数，即可实现开发者不同系统和体系间的融合和功能，无需 访问源代码或理解功能的具体实现机制。是具有一定边界性质的应用机 制。于对API接口的访问与控制伴随着数据的传输，其中不乏大量的用 户隐私数据以及重要文件数据，因此越来越多的非法黑客将API接口作 为攻击的目标，并通过非法控制和使用API接口窃取数据等。所以没有 安全的API服务，就会带来生产生活上的巨大不便和潜在风险。 它的不断演化具有强大内内在的驱动  技术驱动：数字化和数据化系统的交互  业务功能的细化  开发便捷  新技术的迭代  数据不可或缺的通道属性 标准驱动： GB/T 35273-2020 个人信息安全规范 GB/T 36478-2019 个人信息安全规范：物联网信息交换和共享 GB/T 21062 3-2007 政务信息资源交换体系 数据接口规范 GB/T 19581-2004 会计核算软件数据接口 GB/T XXXX-XX 征求意见稿：政务信息共享数据安全技术要求 其他相关通信行业/金融/交通行业标准等 比图OAUTH 2.0 （授权框架） 作为最佳安全开发实践/JWT （认证协议） 4 API 要素组成 通讯协 议 域名 开放程度 路径 请求 方式 接口文 档 版本 号 请求 参数 相应 参数 核心技术 开放API SOAP (simple object access protocol 简单对象 访问) 面向合作API RESTful (representational state transfer REST 资 源表现层状态转换) 面向内部API Remote procedure call RPC (远程过程调录) 5 技术和管理趋势 Safari 15浏览器的IndexedDB API存在一个漏洞，该漏洞可能允许任何网站跟踪用户的互 联网活动，并暴露用户身份。在本文撰写之时，苹果的工程师一直在研究披露的问题， 并将问题标记为已解决，尽管这一点尚未得到独立消息人士的证实。 IndexedDB是一个用于客户端存储的通用浏览器API，它通过低级API向开发人员公开。 为了增强安全性，IndexedDB实施了同源策略，试图确保信息仅根据其来源（基于URL 、主机名和协议等元素）与“所有者”共享。Safari 15中的漏洞是违反了同源策略导致的： 每当网站与数据库交互时，同一会话中的所有其他活动框架、选项卡和窗口中都会创建 一个空白的新数据库，且名称相同 AWS CloudFormation 2022 年1月 AWS漏洞中的第一个由Orca Security的漏洞研究员Tzah Pahima所披露，该漏 洞影响了AWS CloudFormation API。随后，AWS在6天内针对该漏洞发布了修 复程序，覆盖了全部地区。该漏洞源于CloudFormation服务API中的XML外部实 体注入（XXE）漏洞。 攻击矢量是通过CloudFormation渲染模板的异常方式进行的，这允许Pahima触 发XXE漏洞，以读取文件，并代表服务器执行HTTP请求，还可能允许连接至内 部AWS端点和服务。最令人担忧的是，Pahima认为，滥用该漏洞可能会让攻击 者绕过租户边界，从而访问AWS内的任何资源。 如静态秘密被盗或丢失： 2022年三月有报告指出：企业和机构去年泄露了超过600万个密码，API 密钥和其他敏感信息。， API 攻击越来越成为常见的企业Web应用程序数巨泄露途径 6 技术和管理趋势  损坏的对象级别授权  损坏的用户身份验证  数据泄露过多  缺乏资源和速率限制  功能级别授权已损坏  批量分配  安全性配置错误 • 不必要的HTTP方法、 • 跨域资源共享（CORS）  注入  资产管理不当  日志和监控不足 7 8 安全态势 Magic Quadrant for Full Life Cycle API Management 9 安全风险分析和评估要点 外部威胁 漏洞导致数据泄露/窃取 不正当竞争采取非法攻击 爬虫：API对HTML的抓取 合作第三方非法留存接口数据 （双向法律风险） 请求参数劫持导致数巨泄露（个人敏感信息，重要数据） 内部因素 身份认证机制 访问授权 数据脱敏/加密等控制方式缺失 返回数据筛选机制（调取未经筛选数据） 异常行为监测 （人为信息泄露） 特权账号滥用（管理bug） 第三方管理不当 （篡改， 滥用，非法买卖） 安全风险分析和评估要点 规划 开发 测试 部署 退出 安全建议 Security By Design-设计安全 1 建立健全设计开发及测试机制 （规范 管理制度） 运维安全 2 强化API 生命周期管理（除了制度， 1 提高日志管理成熟度 适当采取自动化工具辅助提升成熟度） 2 加强监测 3 完善授权管理，建立授权流程，保障 3 时时响应机制 encryption 和log 管理，确保审计和记录 4 分类分级管控 4 实施verification 机制并定期审核 5 流量监测 5 最佳安全开发实践 响应和恢复 1 建立健全应急响应机制 2 建立健全多方合作流程 3 建立健全日志审计流程和日志成熟度 管理 4. 强化数据事件责任制 挑战与期待            NGINX Postman Oracle Anypoint Platform TIBCO Amazon Anypoint Apigee Microsoft IBM CA Technologies 到2025年，只有不到50%的企业API将得到管 理，因为API的爆炸性增长超过了API管理工 具的能力 谢谢！ [email protected]