API安全审查的未来

随着组织日益依赖应用程序编程接口（API）来促进软件系统之间的通信和数据交换，这些“网关”成为攻击者的主要目标。未能将API安全置于优先事项顶端的组织可能面临昂贵的数据泄露、服务中断、声誉损害等风险。然而，尽管API安全至关重要，许多组织却忽视分配足够资源进行定期、彻底的API审查。

结果，这些组织将自己的未来置于危险之中。例如，Traceable今年早些发布的《API安全状况报告》发现，99%的组织在过去一年中报告了API安全问题，57%的组织经历了与API相关的数据泄露。这些数字使得安全团队必须认识到当今API中最常见的漏洞、进行彻底API安全审查的障碍，以及如何实施最佳实践来保护内部系统和客户数据免受恶意利用。

为什么API是主要攻击目标

想象一个拥有多个大门的大型农场。农民必须始终了解每个门的状态。一扇敞开的门可能导致宝贵牲畜的丢失，或捕食者进入造成昂贵损失。今天的组织也是如此。未能维护其API网关的安全可能导致有害的数据泄露，造成财务损失、声誉损害和运营中断。

例如，2024年4月的一次API攻击导致PandaBuy系统中130万个账户被未经授权访问。另一次2024年3月与API相关的攻击针对公共GitHub仓库，提取了近1300万个API密钥、令牌和其他秘密。此类攻击是《黑客新闻》最近报道“组织每年因脆弱或不安全的API损失940亿至1860亿美元……”的原因。

不幸的是，网络犯罪分子利用当今API中的许多漏洞。这些包括破碎的身份验证和授权、注入攻击、不安全的直接对象引用（IDOR）、不足的速率限制和资源消耗、安全配置错误、不安全的数据传输（缺乏加密）、不当的API版本控制、业务逻辑缺陷以及第三方API风险。

Quest Diagnostics API泄露是第三方攻击的一个例子。在该事件中，网络犯罪分子通过利用第三方网页支付页面的漏洞，获得了1190万Quest患者的医疗信息。Reddit API被BlackCat攻击是最近注入攻击的一个例子，攻击者利用Reddit API的弱点获取了80GB数据，并要求450万美元的赎金。

如何加强API防御

由于现有的API弱点，彻底的API安全审查对任何组织的安全策略都至关重要。没有定期的安全评估，漏洞可能被忽视，导致数据泄露、财务损失和声誉损害。进行彻底API安全审查的关键在于克服组织中常见的几个障碍。这些障碍及其解决方案包括：

可见性和文档不足的解决方案：利用API发现工具并强制执行文档标准，以跟踪所有API端点、版本和集成。
频繁的API更改/更新的解决方案：将安全测试移至持续集成和持续交付（CI/CD）管道，并使用自动化扫描和实时监控及早发现问题。
不足的身份验证和授权审查的解决方案：执行一致的渗透测试，并强制执行严格的身份验证机制，如开放授权（OAuth）、JSON Web令牌（JWT）和基于角色的访问控制（RBAC）。
安全专业知识不足的解决方案：提供API安全培训，聘请专职安全专业人员，并促进开发和安全团队之间的协作。
时间和资源限制的解决方案：使用如OWASP ZAP、Burp Suite或API安全网关等工具自动化API安全测试，以减少手动工作并确保持续保护。
不安全的第三方集成的解决方案：对外部API进行安全评估，强制执行供应商安全政策，并使用API网关监控和控制第三方访问。

Points.com是一个为达美航空里程计划、联合里程计划、希尔顿荣誉会和万豪礼赏等主要品牌管理忠诚度计划的平台，在2023年进行了全面的安全审查。报告识别了可能允许未经授权访问客户数据和账户的重大API漏洞。该公司迅速解决了这些问题，避免了昂贵和损害声誉的数据泄露。通过承诺进行彻底的API安全审查，组织可以主动识别威胁，强制执行安全最佳实践，并保持更强大的安全态势。

承诺进行彻底、标准化的API安全审查

为确保一致、高质量的审查，安全专业人员和工程师必须共同努力创建安全、可扩展和一致的API安全实践。主动、结构化并集成到开发生命周期中的协作提供了最佳结果。最有效的审查结合了完善的框架，如OWASP API安全Top 10、威胁建模（STRIDE、DREAD或PASTA）、DevSecOps实践和安全软件开发生命周期（SDLC）。最新的方法和行业标准进一步支持这些策略。

其他最佳实践包括维护准确的API清单，并强制执行强身份验证和授权，例如实施OAuth 2.0、JWT或API密钥进行安全身份验证，并应用基于角色的访问控制（RBAC）和最小权限访问来限制敏感数据暴露。公司还可以通过强制执行HTTPS/TLS加密保护传输中的数据，使用端到端加密保护敏感API通信，实施速率限制和节流以防止拒绝服务（DoS）攻击，并控制来自单一源的过多请求。其他最佳实践包括验证和清理输入以防范注入攻击，进行定期渗透和模糊测试以发现漏洞，并启用实时监控以检测和快速处理异常行为。

通过坚持API安全最佳实践，持续审查API安全政策，并根据不断演变的威胁更新这些政策和实践，组织可以显著降低与API漏洞相关的威胁。这种全面方法将通过构建更安全、有弹性的API生态系统来减少法律风险、保护敏感数据并保持客户信任，从而促进增长。

保持警惕以维护API安全

技术不会停止进步，网络攻击者也不会停止演变。随着API的日益普及，组织必须抵制自满情绪，继续改进其安全，这意味着要跟上新趋势和技术。随着组织基于人工智能、机器学习和加密货币技术的进步创建新产品，API接口可能会变得更加复杂。那些拥抱最新趋势和技术进步并未来验证其API安全策略的有远见的公司将最好地定位自己，以保持领先于不断演变的威胁。

关于作者

Pushkar Jaltare是Fastly的安全架构师，擅长Web、移动和云安全评估、威胁建模以及身份和访问管理。Pushkar持有东北大学的信息保障硕士学位。在LinkedIn上与Pushkar联系。