更多
網(wǎng)絡(luò)安全廠商Traceable AI最新發(fā)布的《2023年API安全狀況報(bào)告》顯示，“在過去兩年中，由API引發(fā)的網(wǎng)絡(luò)攻擊面正在持續(xù)增加，60%的受訪企業(yè)發(fā)生過與API相關(guān)的安全事件，其中74%的組織存在三次或以上的安全事件；能夠有效識(shí)別API活動(dòng)及用戶行為的企業(yè)不足四成，有57%的受訪企業(yè)表示傳統(tǒng)的安全解決方案難以識(shí)別API活動(dòng)和API欺詐事件?！?/span>
數(shù)字化時(shí)代，應(yīng)用程序編程接口（API）已經(jīng)成為不可或缺的技術(shù)工具。API不僅連接了各種軟件系統(tǒng)和服務(wù)，還促進(jìn)了數(shù)據(jù)流動(dòng)與信息共享。然而，科技是把雙刃劍，伴隨著API的廣泛使用，數(shù)據(jù)安全和隱私問題也逐漸浮出水面。企業(yè)或組織都或多或少面臨著API接口梳理困難、API安全監(jiān)測(cè)能力缺失、敏感數(shù)據(jù)傳輸疏于防護(hù)、無有效方案、解析不全面等方面的威脅。
為解決API數(shù)據(jù)安全問題，昂楷科技憑借多年在數(shù)據(jù)安全領(lǐng)域的技術(shù)積累，研發(fā)出了API安全審計(jì)。
該系統(tǒng)可旁路部署在業(yè)務(wù)系統(tǒng)之中，通過對(duì)API和應(yīng)用資產(chǎn)進(jìn)行梳理、風(fēng)險(xiǎn)識(shí)別、敏感防護(hù)、形成接口畫像等核心功能，幫助客戶全面梳理API和應(yīng)用資產(chǎn)，監(jiān)測(cè)敏感數(shù)據(jù)流動(dòng)風(fēng)險(xiǎn)，識(shí)別接口調(diào)用過程中的異常行為，有效降低應(yīng)用API調(diào)用造成的數(shù)據(jù)泄露風(fēng)險(xiǎn)，為數(shù)據(jù)開放共享提供安全保障。
接下來我們具體看一下昂楷API安全審計(jì)是如何保障API數(shù)據(jù)安全的。
1、摸清API資產(chǎn)家底
為業(yè)務(wù)系統(tǒng)梳理API資產(chǎn)，摸清API家底，掌握API資產(chǎn)現(xiàn)狀；支持自動(dòng)發(fā)現(xiàn)或自定義添加API資產(chǎn)，建立API清單，與已知API清單進(jìn)行比對(duì)，對(duì)API進(jìn)行分類，及時(shí)發(fā)現(xiàn)未知API和僵尸API。同時(shí)系統(tǒng)支持對(duì)同類型接口進(jìn)行自動(dòng)或手動(dòng)合并，使API資產(chǎn)更加清晰準(zhǔn)確。
2、防止敏感數(shù)據(jù)泄露
系統(tǒng)內(nèi)置數(shù)十種敏感類型字段，支持用戶自定義添加敏感類型。系統(tǒng)自動(dòng)識(shí)別傳輸流量中應(yīng)用接口涉及的敏感數(shù)據(jù)類型，監(jiān)測(cè)敏感數(shù)據(jù)流動(dòng)風(fēng)險(xiǎn)。通過對(duì)敏感接口、敏感類型和敏感級(jí)別等維度統(tǒng)計(jì)的實(shí)時(shí)概覽展示，及時(shí)提醒用戶，從而防止敏感數(shù)據(jù)泄露。
3、API風(fēng)險(xiǎn)識(shí)別
系統(tǒng)內(nèi)置近百種風(fēng)險(xiǎn)規(guī)則，支持用戶自定義添加規(guī)則類型，可自動(dòng)識(shí)別傳輸流量中應(yīng)用接口觸發(fā)的API安全風(fēng)險(xiǎn)，包括但不限于API的異常訪問、API接口未鑒權(quán)、API接口漏洞、API接口高危操作、OWASP TOP10風(fēng)險(xiǎn)檢測(cè)等。通過對(duì)風(fēng)險(xiǎn)接口、風(fēng)險(xiǎn)規(guī)則和風(fēng)險(xiǎn)級(jí)別等維度統(tǒng)計(jì)的實(shí)時(shí)概覽展示，及時(shí)提醒用戶，從而保護(hù)API資產(chǎn)安全。
4、形成接口畫像
通過描述API接口名稱、接口地址、所屬的應(yīng)用系統(tǒng)、接口狀態(tài)等信息，統(tǒng)計(jì)風(fēng)險(xiǎn)與敏感訪問量、訪問趨勢(shì)、風(fēng)險(xiǎn)規(guī)則和敏感類型、客戶端IP等信息，形成API接口畫像，便于用戶掌握系統(tǒng)中API資產(chǎn)運(yùn)行狀態(tài)。
5、審計(jì)追責(zé)
對(duì)應(yīng)用API所有訪問操作做全面審計(jì)，并存儲(chǔ)審計(jì)記錄，可事后對(duì)API安全事件進(jìn)行溯源追責(zé)。
如今API能夠在幾乎任何軟件、設(shè)備或數(shù)據(jù)源之間實(shí)現(xiàn)靈活且快速的集成，可支持廣泛的功能，為創(chuàng)新和數(shù)字化轉(zhuǎn)型奠定堅(jiān)實(shí)的基礎(chǔ)。API審計(jì)作為一項(xiàng)重要的技術(shù)手段，凸顯了其在保障API數(shù)據(jù)安全與合規(guī)方面的重要性。
昂楷API安全審計(jì)可以應(yīng)用于企業(yè)級(jí)應(yīng)用、政務(wù)數(shù)據(jù)共享交換、車聯(lián)網(wǎng)應(yīng)用、云環(huán)境應(yīng)用等API安全防護(hù)和合規(guī)審計(jì)的場(chǎng)景，為各行各業(yè)API數(shù)據(jù)安全保駕護(hù)航。
題-4.jpg)
