理解NCSC的新API安全指南
2025年7月9日 · 3分钟阅读
全球立法、监管和咨询机构正在意识到API安全的重要性。最近，英国国家网络安全中心（NCSC）发布了关于构建和维护安全API最佳实践的详细指南。本文将解析该指南，并探讨Wallarm平台如何帮助您符合每项要求。
NCSC API安全指南核心内容
NCSC概述了API安全的七大基础支柱，每个支柱都针对当今威胁环境中API面临的特定风险集：
安全开发实践
NCSC倡导通过彻底的威胁建模实现安全设计。这意味着使用标准规范（如OpenAPI）定义API，进行版本控制，并在安全环境中开发。关键的是，测试应超越"快乐路径"场景，包括负面测试和模糊测试。维护安全的资产治理（如通过全面的API清单）也至关重要，以防止未管理或被遗忘的端点成为漏洞。
身份验证和授权
强大的身份管理是API保护的核心。NCSC建议避免弱方法（如基本身份验证或简单API密钥），而是推荐基于令牌的方法（如OAuth 2.0和OpenID Connect）。凭据应始终是短期的、安全存储的，并能抵抗重放攻击。授权逻辑必须严格遵循最小权限原则，默认拒绝访问，并在每个请求中重新验证权限。
传输中数据保护
所有API通信必须使用最新的TLS配置进行加密。对于私有或高度敏感的API，NCSC推荐相互TLS（mTLS）以强制执行双向身份验证。需要避免的常见陷阱包括使用过时的TLS版本和弱密码套件。
输入验证
防止注入攻击和逻辑缺陷依赖于在多个层（从用户界面到后端）验证输入。这需要语法（基于格式）和语义（基于上下文）检查。NCSC鼓励使用模式、允许列表和集中验证库，以最小化不一致或不完整验证的风险。
DoS攻击缓解
API需要强大的保护来抵御高容量和资源耗尽攻击。NCSC建议实施节流和速率限制来管理负载和识别异常。全面的日志记录对于跟踪峰值也至关重要，有助于区分合法流量激增和恶意滥用。
日志记录和监控
组织必须记录关键事件（如失败的登录或权限更改），并持续监控实时异常（如突然的流量峰值或暴力尝试）。这些日志不得包含任何敏感数据，并应集中管理以促进快速事件响应。
限制暴露
过多的端点暴露显著增加了攻击面。NCSC建议停用未使用的端点，锁定特权路由，并阻止已知的恶意IP地址。理想情况下，API应仅向受信任的用户或社区公开。此外，NCSC推荐使用API网关来强制执行一致的访问控制，并与更广泛的基础设施防御（如Web应用程序防火墙（WAF）和入侵检测系统（IDS））集成。
Wallarm解决方案如何提供帮助
| NCSC指南领域 | Wallarm能力 |
|---|---|
| 安全开发实践 | API发现和清单：自动检测和编录所有内部和外部API，包括影子、流氓、僵尸和已弃用的端点。 CI/CD中的API安全测试：与DevOps管道集成，执行预生产扫描和错误配置检测。 安全控制测试：验证部署的保护措施是否能有效阻止攻击。 |
| 身份验证和授权 | 身份验证漏洞检测：识别缺少身份验证或授权层的端点。 API规范执行和BOLA保护：确保端点仅接受符合规范的流量，并缓解不安全的对象引用攻击。 API滥用和凭据填充检测：检测令牌重放、暴力和未经授权的访问尝试。 |
| 传输中数据保护 | 与TLS/mTLS部署集成：Wallarm内联或带外处理加密流量，兼容部署TLS或mTLS保护的私有API，防止降级攻击或弱密码使用。 |
| 输入验证 | 深度语法解析和攻击检测：在所有请求级别检查有效负载中的SQLi、XSS、RCE和路径遍历。 规范执行：阻止偏离OpenAPI/GraphQL模式的请求或响应。 GraphQL保护：防止嵌套滥用、批处理和过度数据暴露。 |
| DoS缓解 | L7 DDoS保护和速率限制：检测和限制第7层洪水攻击，并实施可配置的速率限制。 行为检测：通过异常关联识别资源耗尽和机器人驱动的DoS。 |
| 日志记录和监控 | 完全可观察性和警报：记录请求级元数据，编辑敏感内容，并支持会话重建和实时异常警报。 SIEM集成：将元数据推送到外部系统（如Splunk、PagerDuty和Slack）。 |
| 限制暴露 | 攻击面管理：自动发现端点，标记未使用或已弃用的端点。 API规范执行：拒绝规范中未定义的未经授权路由。 网关/WAF集成：与API网关和WAF内联运行，以执行控制和阻止恶意IP。 机器人/恶意IP阻止：检测和阻止爬虫、机器人和已知恶意来源。 |
了解更多关于Wallarm如何提供帮助
NCSC的指南为在当今威胁环境中保护API提供了一个实用、全面的框架。但将这些原则转化为实践需要可见性、自动化和主动防御。Wallarm通过统一的平台结合了持续的API发现、运行时保护和安全测试，使这成为可能。
要了解它在您的环境中的工作原理，请立即预约演示。