應(yīng)用程序接口(API)形成應(yīng)用程序之間的橋梁，使程序能夠跨不同的代碼庫和硬件相互通信。但在居心不良的人的手中，API可能會(huì)造成潛在的巨大損害。

企業(yè)應(yīng)用程序形成了越來越大的網(wǎng)絡(luò)攻擊面，但真正漏洞所在的往往是API。雖然可以通過標(biāo)準(zhǔn)防火墻和SIEM工具檢測(cè)和阻止許多攻擊，但通過API進(jìn)行的攻擊更加隱蔽，因?yàn)樗鼈兺ǔ＠肁PI已經(jīng)允許的訪問權(quán)限。這些漏洞遠(yuǎn)遠(yuǎn)超出了企業(yè)領(lǐng)域，甚至可能影響個(gè)人車輛。不安全的API無處不在，甚至被用來攻擊特斯拉的電動(dòng)汽車。

以下是如何通過實(shí)施以下策略來采用更嚴(yán)格的API安全態(tài)勢(shì)。

1.為未來的用戶而不是現(xiàn)在的用戶構(gòu)建

當(dāng)API處于起步階段時(shí)，它們通常旨在滿足一小部分開發(fā)人員一起工作的需求。這些開發(fā)人員彼此認(rèn)識(shí)，甚至可能共享一個(gè)辦公空間，并且可能覺得幾乎不需要實(shí)施身份驗(yàn)證協(xié)議來確定每個(gè)人都是他們聲稱的身份。他們?yōu)槭裁匆@樣做?不久之后，一個(gè)特別有用的API從團(tuán)隊(duì)中脫穎而出，它進(jìn)入了比最初預(yù)期的更廣泛的用戶網(wǎng)絡(luò)中。適當(dāng)?shù)陌踩胧?yīng)該在漏洞出來之前就部署到位，而不是在很久之后。

2. 限制用戶

說到未來的用戶，如果可能的話，為更多的用戶做計(jì)劃，但控制得更少。在嚴(yán)格需要了解的基礎(chǔ)上授權(quán)訪問。更多的用戶意味著更大的網(wǎng)絡(luò)攻擊面，尤其是在權(quán)限沒有明確和徹底定義的情況下。

3. 限制數(shù)據(jù)

Equifax公司數(shù)據(jù)泄露事件讓人們感到擔(dān)憂，因?yàn)樵摴颈４媪私?.5億美國人的私人財(cái)務(wù)信息。幸運(yùn)的是，并非每家公司的商業(yè)模式都需要收集社會(huì)安全號(hào)碼、駕照、地址等信息。嚴(yán)格定制數(shù)據(jù)收集，以便只需要最必要的數(shù)據(jù)。而未收集的數(shù)據(jù)也要受到保護(hù)。

4. 加密數(shù)據(jù)

確保通信路徑使用適當(dāng)?shù)募用軈f(xié)議，例如SSL或TLS。同樣，靜態(tài)數(shù)據(jù)也應(yīng)該加密。這似乎是顯而易見的建議，但由于帳戶和密碼以純文本形式存儲(chǔ)，因此經(jīng)常發(fā)生數(shù)據(jù)泄露。僅僅擁有加密是不夠的，它還必須正確使用。某些協(xié)議(例如TLS)允許在服務(wù)器或客戶端禁用加密驗(yàn)證，從而導(dǎo)致互聯(lián)網(wǎng)流量被攔截的潛在風(fēng)險(xiǎn)。企業(yè)確保API符合最新的安全最佳實(shí)踐，以確保通信安全可靠。

5. 制定分頁限制

如果沒有適當(dāng)?shù)腁PI分頁，服務(wù)器查詢可能會(huì)返回一個(gè)結(jié)果或大量的結(jié)果。后一種情況會(huì)迅速消耗系統(tǒng)資源并使應(yīng)用程序停止。更糟糕的是，它不需要惡意行為者造成傷害——無辜的用戶可能會(huì)過于松散地構(gòu)建查詢，并收到驚人的響應(yīng)。幸運(yùn)的是，分頁很容易實(shí)現(xiàn)。最簡單的形式是偏移分頁，它為用戶提供了一個(gè)他們可以檢索的預(yù)定義記錄窗口。其他形式的分頁包括keyset和seek，它們各有優(yōu)缺點(diǎn)。

6. 在SQL查詢中使用準(zhǔn)備好的語句

SQL代碼注入是非常普遍的攻擊，使網(wǎng)絡(luò)攻擊者能夠冒充其他用戶、破壞數(shù)據(jù)庫或竊取數(shù)據(jù)。正如其名稱所暗示的那樣，網(wǎng)絡(luò)攻擊者將SQL代碼偷偷帶入數(shù)據(jù)庫查詢中，通常是通過濫用正確配置的服務(wù)器應(yīng)該過濾掉的轉(zhuǎn)義字符。準(zhǔn)備好的語句通過使用只能存儲(chǔ)特定值而不是SQL片段的占位符來阻止攻擊者注入SQL代碼的能力。另一種防止SQL注入的方法是確保數(shù)據(jù)輸入符合預(yù)期。例如，電話號(hào)碼應(yīng)該注冊(cè)為整數(shù)并且不包含字符串。名稱應(yīng)包含字母，但不能包含數(shù)字。

7. 加強(qiáng)最終用戶和應(yīng)用程序認(rèn)證

對(duì)于訪問應(yīng)用程序的用戶，根據(jù)最新的安全最佳實(shí)踐實(shí)施例行密碼重置策略。對(duì)于與API交互的應(yīng)用程序本身，為應(yīng)用程序的每個(gè)版本使用唯一的憑據(jù)，從而更容易根除過時(shí)的版本。

8. 實(shí)施利率限制

當(dāng)網(wǎng)絡(luò)攻擊者向服務(wù)器發(fā)送大量登錄憑據(jù)以通過純粹的機(jī)會(huì)成功匹配時(shí)，就會(huì)發(fā)生暴力攻擊?；舅俾氏拗瓶梢宰柚惯@些攻擊，方法是防止在合理的時(shí)間范圍內(nèi)發(fā)生多個(gè)查詢。一個(gè)人能在一分鐘內(nèi)輸入幾百次密碼嗎?可能不會(huì)。那么，為什么API會(huì)接受如此高的數(shù)字呢?

管理風(fēng)險(xiǎn)

安全是管理風(fēng)險(xiǎn)的藝術(shù)，而不是消除風(fēng)險(xiǎn)。沒有堡壘是堅(jiān)不可摧的，但網(wǎng)絡(luò)攻擊者往往會(huì)沿著阻力最小的路徑移動(dòng)，并以安全標(biāo)準(zhǔn)差的受害者為目標(biāo)。而企業(yè)需要降低API安全性，并避免成為網(wǎng)絡(luò)攻擊者的目標(biāo)。