網(wǎng)絡安全實戰(zhàn)化攻防演練是檢驗企業(yè)網(wǎng)絡安全建設效果的有效方式，攻防雙方在真實的網(wǎng)絡環(huán)境中開展對抗，更貼近實際情況，有利于發(fā)現(xiàn)企業(yè)真實存在的安全問題。盡管很多企業(yè)通過持續(xù)的攻防演練有效提升了安全防護能力，但隨著組織數(shù)字化進程的加快以及業(yè)務的迅速發(fā)展，總有一些跟不上變化的風險點出現(xiàn)。本文梳理總結了企業(yè)在實戰(zhàn)化攻防演練活動中容易忽略的API安全風險，并給出相應的防護策略建議。

知己：容易被忽視的攻擊風險

從以往攻防演練活動的實際案例來看，各組織單位在攻擊面梳理過程中容易忽略的幾個關鍵點：

1.影子API

在資產(chǎn)梳理過程中，難免有些資產(chǎn)在安全視線之外，如有些API沒有經(jīng)過WAF或API網(wǎng)關，這些API可能是歷史遺留下來的僵尸API，由于缺乏安全防護容易被攻擊。

2.邏輯漏洞

傳統(tǒng)安全檢測產(chǎn)品很難發(fā)現(xiàn)未授權訪問、越權訪問、允許弱密碼、錯誤提示不合理、未禁用目錄瀏覽等邏輯漏洞（安全缺陷）。如，攻擊者利用未授權訪問、越權訪問漏洞，獲取到管理員賬號密碼等敏感數(shù)據(jù)，或者直接執(zhí)行高權限動作，進而獲取到系統(tǒng)控制權。

3.涉敏流量

現(xiàn)有WAF、API網(wǎng)關等產(chǎn)品更多是對入站流量的檢測，缺乏對出站流量的檢測，出站流量中如果暴露了明文的敏感數(shù)據(jù)，可能會被攻擊者加以利用，比如獲取到內(nèi)部員工的郵箱后，發(fā)送釣魚郵件。

4.高危組件

承載API的后端組件可能存在安全隱患（比如沒有修復某個高危漏洞），同時這些組件因為API對外提供業(yè)務而暴露在互聯(lián)網(wǎng)中，往往會成為攻擊者的攻擊目標。

API是支撐線上應用連接和數(shù)據(jù)傳輸?shù)年P鍵，承載著企業(yè)核心業(yè)務邏輯和大量敏感數(shù)據(jù)，在應用環(huán)境中非常普遍。數(shù)字時代的今天，各行各業(yè)都有大量的API去支撐業(yè)務交互：

? 金融：各類銀行、證券的APP、小程序、第三方業(yè)務開放平臺等對外提供大量API接口用于客戶查詢或辦理業(yè)務，涉及手機號、銀行卡號、身份信息等敏感數(shù)據(jù)。

? 政務：市民卡、線上政務平臺等互聯(lián)網(wǎng)政務系統(tǒng)需要開放API接口在互聯(lián)網(wǎng)上，方便民生業(yè)務辦理，涉及的是公民居住證、學歷信息、身份證號等個人隱私數(shù)據(jù)。

? 醫(yī)療：受到新冠疫情影響，在線醫(yī)療已經(jīng)成為人們?nèi)粘Ｉ畹囊徊糠?，大量的檢測報告查詢APP、小程序以及與疫情相關的在線業(yè)務蓬勃發(fā)展，相關數(shù)據(jù)信息需要通過API進行調(diào)取。

? 互聯(lián)網(wǎng)：基于不同互聯(lián)網(wǎng)行業(yè)的實際業(yè)務場景，會開放大量的業(yè)務API接口給到第三方合作伙伴、第三方用戶等等。

這些承載著大量高價值數(shù)據(jù)的API是網(wǎng)絡黑客關注的重點，自然也是攻擊方眼中的“香餑餑”。

2021年，我們看到有多個API漏洞在攻防演練活動被利用和發(fā)現(xiàn)，主要包括：

這些API漏洞是如何被攻擊方利用的呢？

知彼：攻擊方常見的攻擊“套路”

基于過往實戰(zhàn)案例，攻擊方針對API的常見攻擊手法有以下幾種：

1 暴力破解/撞庫攻擊

攻擊方通過掃描發(fā)現(xiàn)管理后臺登錄頁面，并針對登錄接口進行撞庫或暴力破解，獲取到賬號密碼后直接登錄后臺，或者利用獲取的郵箱、手機號等信息進行釣魚、社工等攻擊，直至進入到企業(yè)內(nèi)網(wǎng)獲取更多的權限。

2 危險路徑掃描

某些后端組件由于默認配置或錯誤配置，導致向互聯(lián)網(wǎng)暴露了一些不必要的API，其中有些API可執(zhí)行高權限操作或獲取敏感數(shù)據(jù)，而攻擊者則可以通過路徑掃描，定位到這些API的路徑。

3 漏洞掃描

隨著業(yè)務的快速發(fā)展，API的迭代和發(fā)布周期也隨之加快，在“重業(yè)務、輕安全”理念驅(qū)使下，很多API在開發(fā)過程中就存在漏洞，攻擊者通過漏洞掃描器對站點發(fā)起掃描，以此發(fā)現(xiàn)存在漏洞的API，并發(fā)起攻擊。

應對：從業(yè)務安全的實際需求出發(fā)

在了解了攻防演練中那些容易被忽略的API安全風險點和攻擊方常見的攻擊套路后，各組織單位想要在攻防演練中更好應對，還需要從自身業(yè)務安全出發(fā)，制定相應的API安全管理策略。

永安在線研究認為，各組織單位在網(wǎng)絡安全攻防演練中想要有效管理和保護API資產(chǎn)，可以從API資產(chǎn)梳理、缺陷評估、攻擊檢測三方面著手。

一是資產(chǎn)動態(tài)梳理

1. 通過自動化識別業(yè)務API調(diào)用關系，全面、持續(xù)清點API接口，包括影子API和僵尸API、老版本和功能重復的API，縮小風險暴露面。

2. 持續(xù)監(jiān)測敏感數(shù)據(jù)流動，對各種敏感數(shù)據(jù)進行識別，并對敏感數(shù)據(jù)進行自定義檢測，減少數(shù)據(jù)暴露面。

3. 持續(xù)動態(tài)梳理系統(tǒng)訪問賬號，多維度記錄賬號訪問和操作行為，主動識別風險動作，同時也為企業(yè)提供行為溯源能力。

二是缺陷持續(xù)評估

1. 全面、持續(xù)地評估API缺陷，要能夠監(jiān)測目前常見各類安全缺陷，并做到全面覆蓋OWASP API Top10安全問題。

2. 通過完整、清晰的缺陷樣例和自動化驗證流程，幫助企業(yè)提升缺陷修復效率。

三是攻擊精準感知

1. 基于情報構建API行為基線，及時發(fā)現(xiàn)API攻擊、賬號異常、IP攻擊等風險。

2.系統(tǒng)支持輸出多維度IOC異常標識，聯(lián)動WAF、風控等快速自動化阻斷。