是時候關(guān)注API安全了
數(shù)字化進(jìn)程催生了一系列新的商業(yè)模型與合作伙伴關(guān)系生態(tài)系統(tǒng)，當(dāng)今時代，協(xié)作與集成不再僅僅是錦上添花的東西，而是切切實實的競爭優(yōu)勢。
應(yīng)用程序編程接口(API)的大量使用奠定了該數(shù)字化轉(zhuǎn)型的基礎(chǔ)?？删幊蘔eb，實際上的API經(jīng)濟(jì)賬本，記錄了自新世紀(jì)第一個10年末尾開始的這波急速增長趨勢，并且，該趨勢至今毫無停止的跡象。
今年早些時候發(fā)布的調(diào)查研究顯示，超過60%的公司企業(yè)認(rèn)為API集成是自身商業(yè)戰(zhàn)略的關(guān)鍵。乘著這股趨勢，很多公司企業(yè)找到了從現(xiàn)有資源中謀求額外價值，并更快速地將新解決方案推向市場的方法。
很多公司向第三方開發(fā)人員開放了他們的API，力求擴寬自身領(lǐng)域，交付創(chuàng)新服務(wù)，產(chǎn)生新的收益流。
金融機構(gòu)、醫(yī)療提供商和零售商是其中主導(dǎo)，開展了很多項目以改善與客戶的互動，并和其他利益相關(guān)者共享數(shù)據(jù)以交付更好的收益并提升服務(wù)水平。
API還塑造了支托起物聯(lián)網(wǎng)熱潮的關(guān)鍵基礎(chǔ)。
API是設(shè)備聯(lián)網(wǎng)的接口，從運動健康記錄器到維護(hù)傳感器和車輛定位跟蹤器，無一不需要通過API來連接互聯(lián)網(wǎng)，連接網(wǎng)絡(luò)上其他設(shè)備，以及連接用戶需與之互動的App和設(shè)備。
注意漏洞——傳統(tǒng)API安全失效的地方
由于API是眾多戰(zhàn)略性和業(yè)務(wù)關(guān)鍵項目的基礎(chǔ)，必須確保API不被破壞或被不當(dāng)使用來進(jìn)行欺詐、盜竊或泄露隱私。
截至目前，網(wǎng)絡(luò)安全行業(yè)沒能跟上API的爆炸式發(fā)展，保護(hù)敏感數(shù)據(jù)和應(yīng)用的萬全之策尚有待推出。
API擴大了企業(yè)的攻擊界面，卻常常未受到傳統(tǒng)安全防御的足夠保護(hù)。典型的API防護(hù)落腳在通過身份安全解決方案和API網(wǎng)關(guān)來限制對API的訪問上。
這類訪問控制很強大，但卻不全面。我們還需要一組補充性的安全功能，用來解決包括API特定拒絕服務(wù)攻擊、登錄攻擊和應(yīng)用及數(shù)據(jù)工具在內(nèi)的各種威脅。
有鑒于此，安全工具箱中納入API特殊保護(hù)要求就十分有必要了。
高科技版的大海撈針
在API流量汪洋里找出可疑活動就是個大數(shù)據(jù)噩夢。試圖在萬千交易中定位某一惡意交易，就是高科技版的大海撈針。
除了大得嚇人的總流量，IT人員還得應(yīng)付以各種方式使用的各類API，包括要支持移動和語音應(yīng)用。這些復(fù)雜多樣的環(huán)境下，要想將攻擊與合法活動區(qū)分開來并非易事，編寫適用于所有API的規(guī)則策略也幾乎是不可能。
同時，隨著數(shù)字化的演進(jìn)和黑客在技術(shù)與膽量上的精進(jìn)，新的威脅也在不斷涌現(xiàn)。
AI會是API安全問題的救星嗎?
智能API安全正逐漸成型，有望成為解決API安全問題的良方。人工智能和機器學(xué)習(xí)是在大量交易數(shù)據(jù)中檢測惡意企圖的絕佳工具，而且具備與時俱進(jìn)功能，可以自適應(yīng)新威脅的出現(xiàn)。
通過學(xué)習(xí)多個環(huán)境不同情況下與每個API相關(guān)的正常行為模式的范圍，AI可以識別并阻止API攻擊。隨著時間進(jìn)程，即便沒有成文的規(guī)則或有關(guān)新攻擊模式的前置知識，異?；顒右矔粯?biāo)記出來。
AI驅(qū)動的API安全軟件是可以隨時間流逝變得越來越好的解決方案。API安全完全有可能從老舊的訪問控制模型進(jìn)化到全面的安全防護(hù)解決方案。
AI驅(qū)動的解決方案有望交付的對數(shù)據(jù)、應(yīng)用和系統(tǒng)的強化安全防護(hù)，不僅僅意味著公司管理層和IT員工可以就此放心，還可能是企業(yè)賴以繼續(xù)充滿自信地利用API經(jīng)濟(jì)新機會的基礎(chǔ)。
API調(diào)查研究報告原文：
https://blog.cloud-elements.com/state-of-api-integration-2018-report-infographic
【本文是51CTO專欄作者“”李少鵬“”的原創(chuàng)文章，轉(zhuǎn)載請通過安全牛（微信公眾號id:gooann-sectv）獲取授權(quán)】
