如今API作為連接服務和傳輸數(shù)據(jù)的重要通道，已成為數(shù)字時代的新型基礎設施，但隨之而來的安全問題也日益凸顯。為了讓各個行業(yè)更好地應對API安全威脅挑戰(zhàn)，瑞數(shù)信息作為國內(nèi)首批具備“云原生API安全能力”認證的專業(yè)廠商，近年來持續(xù)輸出API安全相關觀點，為政企用戶做好API安全防護提供參考指南。

8月10日，瑞數(shù)信息正式發(fā)布《2023 API安全趨勢報告》（以下簡稱“報告”），從API威脅態(tài)勢、攻擊手段、API安全發(fā)展趨勢等多個方面進行深度分析，剖析典型的API攻擊案例，并結(jié)合API趨勢提供了防護建議。

一、API威脅態(tài)勢分析

隨著數(shù)字化技術的發(fā)展和Web API數(shù)量的爆發(fā)性增長，API面臨的安全攻擊比例已經(jīng)超過傳統(tǒng)的Web漏洞攻擊。API和小程序逐漸成為了很多企業(yè)和組織的流量入口，引發(fā)的攻擊越來越多，并且通過API接口攻擊突破Web應用，作為跳板進入目標網(wǎng)絡。

報告指出，越來越多的攻擊者正利用API來實施自動化的“高效攻擊”，由API漏洞利用的攻擊或安全管理漏洞所引發(fā)的數(shù)據(jù)安全事件，嚴重損害了相關企業(yè)和用戶權益，逐漸受到各方的關注。2022年檢測到Web攻擊中，針對API的攻擊占比已經(jīng)超過70%。

依據(jù)相關數(shù)據(jù)統(tǒng)計發(fā)現(xiàn)，2022年比2021年API攻擊增加約60%。雖然2022年受疫情影響，多數(shù)單位居家辦公，但是黑灰產(chǎn)的攻擊行為并沒有因此而停止，反而增多。

二、API安全防護難點

與傳統(tǒng)的Web防護不同，API的安全防護要求更為全面，包括資產(chǎn)管理、缺陷識別、攻擊檢測、Bots檢測、參數(shù)檢測、行為識別、訪問控制等多個環(huán)節(jié)，任何環(huán)節(jié)的缺失或不足都會影響到整體的防護效果：

01 多渠道多邊界難以全面防護

訪問入口的多樣化，帶來了業(yè)務應用部署邊界的多樣化，如：Web、APP、小程序、第三方平臺等業(yè)務接入渠道，導致了脆弱點的暴露面擴大，增加了風險管控復雜性。因此，在同一防護體系內(nèi)融合多業(yè)務接入渠道的防護是API防護的難點之一。

02 接口分散和傳輸格式多樣性導致接口難以發(fā)現(xiàn)

全面準確的API接口發(fā)現(xiàn)是API防護工作的基礎，對API接口進行自動識別、分類尤為重要。與傳統(tǒng)Web應用可以依賴自身結(jié)構上的統(tǒng)一入口不同，API自身多以獨立個體的方式分散存在，采用點對點的訪問模式，難以通過接口之間的聯(lián)系進行API發(fā)現(xiàn)。同時，傳輸數(shù)據(jù)格式的多樣性(JSON、XML、GraphQL 等)也增加了API的識別難度。

03 業(yè)務緊耦合防護策略難以通用

API和業(yè)務是緊耦合的，針對API的防護策略往往也和業(yè)務相關，這就造成API防護策略在跨業(yè)務的情況下難以通用，而微服務架構和DevOps模式下應用快速迭代變化的特性也放大了這一難點，解決這一問題是API防護產(chǎn)品快速部署推廣的一個難點。

04 合法授權下的濫用風險難以識別

目前API在授權之后的訪問控制相對薄弱，海外安全機構Salt Security發(fā)布《State of API Security》中顯示，95%的API攻擊發(fā)生在身份驗證之后。API防護需要重點關注這些合法授權下的攻擊、濫用及數(shù)據(jù)過度暴露等風險。如何在已經(jīng)取得合法授權的請求中識別出異常訪問，是API防護需要解決的一個難題。

三、API攻擊特點分析

在攻防對抗中，攻擊方通常掌握著主動性，因此掌握攻擊者的入侵方法和手段，發(fā)現(xiàn)信息系統(tǒng)的潛在脆弱性，以此作為防范依據(jù)會大大提升防范效果。面對越來越嚴峻的API安全威脅，報告從行業(yè)分布、缺陷分析、類型分析、API攻擊手段等多個方面剖析了API攻擊特點。

1 行業(yè)分布

不同行業(yè)應用、業(yè)務形態(tài)的差異導致了API使用情況各不相同，API請求訪問流量占比最高的為互聯(lián)網(wǎng)，其次為金融和運營商。

2 缺陷分析

在OWASP的參考中已經(jīng)定義了多種API缺陷，但在用戶生產(chǎn)環(huán)境中往往難以一一對應，為了更加直觀的展示這些缺陷問題，瑞數(shù)信息對其進行了重新組合。最為廣泛出現(xiàn)的 API 缺陷為過度數(shù)據(jù)暴露，其次是參數(shù)可遍歷、 越權訪問、參數(shù)可篡改、明文密碼傳輸、接口誤暴露等。

3 類型分析

不同的API功能類型，面臨的攻擊程度也不一樣，尤其是適合Bots進行自動化攻擊的接口，例如：公開數(shù)據(jù)查詢、登錄、下單等類型的接口最容易遭受攻擊。

4 攻擊手段

API作為應用與業(yè)務的結(jié)合體，面臨著雙重的攻擊威脅，除了遭受著傳統(tǒng)SQL注入、SSRF、惡意文件上傳等攻擊外，還面臨著各種業(yè)務層面的攻擊，例如：越權訪問、信息遍歷等。

四、API安全發(fā)展趨勢及防護建議

隨著API數(shù)量井噴式增長，API安全風險頁進一步加劇。結(jié)合對API威脅態(tài)勢和攻擊特點等分析，報告預測了API安全發(fā)展四大趨勢：Bots自動化攻擊加劇API安全風險；API安全管理更加智能化；API安全成為云應用安全的重要組成；合規(guī)要求成為API安全的要素。

基于此，報告指出，在應對新型的API風險時，主要防護建設思路可以歸結(jié)為“一個基礎，四個感知”。

一個基礎，即API資產(chǎn)管理是所有安全防護的基礎，確保已上線的API全部都在管控范圍之內(nèi)，防止有漏網(wǎng)之魚導致安全防線失效。

四個感知，包括：環(huán)境感知，加強對API的調(diào)用環(huán)境進行環(huán)境感知，提升API調(diào)用者的環(huán)境安全檢測能力。風險感知，對API自身缺陷和外部攻擊風險進行感知發(fā)現(xiàn)。數(shù)據(jù)感知，對敏感數(shù)據(jù)進行識別，同時結(jié)合行業(yè)的分類分級標準，進行相應的安全策略管控，全面提升敏感信息監(jiān)測能力。業(yè)務感知，制定適合的API安全策略，提升業(yè)務感知能力。

五、結(jié)語

數(shù)字時代，API在為開發(fā)者帶來諸多好處的同時，也極大的增加了應用系統(tǒng)新的風險。據(jù)Gartner預測，“到2022年，API濫用將成為導致企業(yè)Web應用程序數(shù)據(jù)泄露的最常見攻擊媒介。到2024年，API濫用和相關數(shù)據(jù)泄露將幾乎翻倍”。如何正確看待API安全風險并有效防護API安全，將成為所有企業(yè)的必修課。