牛品推荐第十七期
API安全管控平台
随着企业互联网化进程的不断深入，该 Bug 首次被出现在 Telos EVM 审计中（注：Telos EVM 是运行在 Telos 区块链上的以太坊虚拟机版本）。进行审计的 Sentnl 审计师 Guido Vranken 发现了并称这个 BUG 具有 "高严重性问题"，越来越多的业务被迁移到互联网上，并向以太坊核心者报告。三天前（8 月 24 日），量的业务交互和对外服务，以太坊人员发布了更新补丁，导致企业量使用API。因此，修复了上述漏洞，API已经成为业务的一个关键组件，如下所示：目前，企业必须优化和加速API，该 Bug 主要集中在以太坊 Geth v1.10.7 和更早的版本。“所有支持伦敦硬分叉的 Geth 版本都有漏洞（该漏洞比伦敦更早），以提高App应用的性能、可靠性和用户体验。
多数企业认为API安全是他们希望解决的首要问题。面对互联网上飞速变革的业务形态，所以所有用户都应该更新。”根据 Ethernodes 数据统计，企业正在创建式API以满足不断变化的需求。然而，目前使用这些旧版本的节点数量为 2858 个，式API的安全负担更，占所有以太坊节点（5289）的 54%。虽然未更新节点占比较，因为利用自动化工具通过合法帐户进行API滥用已成为式API攻击的主流。注入攻击、DDOS攻击、身份账号安全、敏感数据泄漏、参数篡改等API资产使用运维过程中引入的新风险给安全运维带来了极挑战。
然而传统API网关只能为客户提供身份认证、权限管控及内容校验等安全功能，但这并不意味着以太坊网络可能遭遇双花攻击。因为目前以太坊最长链是安全的，这些功能的使用需要具备量的应用工作，同时由于来自自动化工具的请求内容和正常请求并没有差别，这些安全机制几乎无用武之地。基于以上防护需求，本期发布牛品推荐第十七期——瑞数信息：API安全管控平台。
#牛品推荐第十七期 #
01
标签
API安全，自动化攻击防护，动态安全资产管理
02
用户痛点
API面临的安全威胁
为了方便与其他企业快速对接，量的企业使用Http/RESTful API，这也使得API的安全问题更为严峻，API面临的主要安全威胁如下：
API资产管理
·API接口无法扫描和探测，量的API资产如何收集？
·API资产如何实现全生命周期管理？
API安全攻击风险
·API面临各种安全攻击（业务逻辑层面的安全攻击和WEB应用技术层面的安全攻击），如何有效识别和防护？
·如何进行API请求参数的合规性检验？
敏感数据管控
·如何识别API访问中的敏感数据并进行过滤和拦截？
·如何对API接口传输中的敏感数据实现控制，如脱敏？
访问行为管控
·如何有效管理API的访问行为，识别异常的访问行为？
·从API访问中如何甄别出真正的业务安全风险？
传统API解决方案问题凸显
传统API安全网关更多是在API请求的身份认证、权限管控、请求内容校验与过滤以及API流量限速等方面进行防护，但是这些防护功能都与应用高度相关，应用程序修改后往往也需要修改API安全网关的配置，造成的署与维护成本都极为高昂；尤其是企业近年来在业务上对API的依赖不断增长，API功能也在不断扩充与加强，传统API安全网关的维护工作量问题愈加凸显，因此，许多企业开始弃用传统API安全网关。
鉴于传统API安全网关署与维护成本过高，而且无法有效防护新兴的自动化工具威胁的弊端，瑞数信息创新地推出了API安全管控平台，从而解决API面临的各种安全风险与挑战，实现API的资产管理、攻击防护、敏感数据管控和访问行为管控。
03
解决方案
瑞数API安全管控平台（API BotDefender）
瑞数API安全管控平台（API BotDefender）包括API资产管理、攻击防护、敏感数据管控和访问行为管控模块，为API接口提供完整的安全管控方案。
资产管理模块：实现对API资产的统一管理。API资产管理基于数据建模自动发现被保护站点的API资产，对API资产进行梳理、分析和上下线，帮助客户实现API资产的生命周期管理。
攻击防护模块：综合利用智能规则匹配及行为分析的智能威胁检测引擎，持续监控并分析流量行为，有效检测威胁攻击。智能威胁检测引擎在用户与应用程序交互的过程中收集数据，并利用统计模型来确定HTTP请求的异常。一旦确定异常情况，智能引擎就会使用机器学获得的多种威胁模型来确定异常攻击。
敏感数据管控模块：对API传输中的敏感数据进行识别，针对敏感数据可以进行脱敏处理或者实时拦截，防止敏感数据泄露。
访问行为管控模块：对API接口的访问行为进行分析，通过多维度建立API访问基线、API威胁建模，发现异常访问行为，避免恶意访问和接口滥用造成的业务损失。
应用场景：
API资产自动发现
API安全管控平台通过对访问流量进行分析，自动发现流量中的API接口，实现API接口自动识别、梳理和分组。
API资产生命周期管理
对发现的API接口进行生命周期管理，基于关键字搜索功能快速分组，并且对分组后的API资产指定责任人，实现API资产的导入和导出、资产上下线。
API攻击防护
识别各种针对API的安全攻击，对安全攻击进行实时防护；对API请求参数进行合规管控，对不符合规范的请求参数实时管控。
API敏感数据管控
对API传输中的敏感数据进行识别，针对敏感数据可以进行模糊化或者实时拦截，防止敏感数据泄露。
API流量监控与保护
监控API的访问行为，针对高频情况等进行防护，防止高频情况等造成的API性能瓶颈。
未知API发现
通过从API网关上获取API注册数据，与API资产进行对比，发现未知API接口，防止未知API访问造成的业务访问压力，导致业务不可用。
非法API调用防护
通过从API网关上获取API认证和鉴权数据，防止未授权的API调用，保障API接口只能被合法用户访问。
API滥用防护
针对API接口，防止其被滥用并用于谋取利益。
API访问行为管控
监控API接口的访问和使用状况，包括成功率、性能等，通过建立多维度访问基线和API威胁建模，监控基线偏离状况，高效识别异常访问行为，避免恶意访问造成的业务损失。
产品优势：
瑞数API安全管控平台（API BotDefender），实现全程式API安全威胁防护，其安全防护从API接入客户端覆盖到API服务器端。
1. API全自动发现
通过全流量数据接入和分析可以快速自动地发现业务潜在的未知API接口，并针对发现的API接口给出准确的综合评分，减少API接口防护的盲点。同时，通过清晰的API列表辅助运维门实时感知每个API接口的访问情况，并进行管控。
2. 构建API画像
采用全程式安全威胁防护技术可精准构建API画像。通过API画像快速预览各个业务的API情况，包括使用情况、异常情况、访问来源、非法API调用、API数据泄露和API接口滥用等。
3. API全渠道感知
瑞数信息API安全管控平台署在API应用服务器与负载均衡设备之间，也可以旁路镜像署，无需对现有业务进行任何改造，系统署简单。同时提供各种SDK，方便与各类API来源应用进行集成，可以对来源环境和用户行为进行感知。
4. 动态响应防护
瑞数信息API安全管控平台可以根据访问行为分析的结果或指定条件，进行动态响应防护，防护手段包括：直接拦截、限频、延时响应、软拦截、限时黑名单以及与第三方系统联动等多种方式。另外还可以基于信誉库的积累实现多维度的信誉防护，包括IP信誉库、设备指纹信誉库和账号信誉库等，提升黑产通过逆向探测或机器学分析等攻击手段的难度。
04
用户反馈
与传统的鉴权API网关相比，瑞数API安全管控平台具有API全生命周期的发现和管控措施，能够很好地配合我行进行API业务威胁透视分析和防护，实现多门和多平台的关联分析，弥补我行在API业务安全防护过程中跨门之间沟通和信息共享不对称性等问题。
——某金融行业客户
瑞数信息一直以来为我司提供专业高效的安全服务，在日常工作中提供全方位的支持，在网络安全攻防演中积极配合，快速响应并及时处理各类突发状况，保障了攻防演的顺利完成。
——某能源行业客户
瑞数API安全管控平台能够帮助我司有效检测威胁攻击，防止敏感数据泄漏，已成为我行应对各种API攻击必不可少的防护手段，在攻防演练和业务合规实践中发挥作用非常突出。
——某运营商行业客户
保障工作期间，瑞数信息在我中心承担了网络安全监测、自动化攻击阻拦等工作，为我院圆满完成各项工作提供了强有力的技术保障，效果显著。
——某医疗行业用户
安全牛评
API可以调用存储、计算和数据库的敏感资源，而数字化和云化转型会导致企业API的量，给企业敏感数据安全带来极的风险隐患。瑞数API安全管控平台组合了API管控技术与数据防护手段，并从API视角在数据安全治理、防护、监管多个维度增强了数据可视化，API的细粒度管控将成为企业数据安全风险管控的重要抓手。
免责声明：文中图片均来源于网络，如有版权问题请联系我们进行删除！
