加入收藏 | 设为首页 | 会员中心 | 我要投稿 温州站长网 (https://www.52wenzhou.com/)- 科技、建站、经验、云计算、5G、大数据,站长网!
当前位置: 首页 > 服务器 > 安全 > 正文

捍卫API安全是不可能的任务?

发布时间:2021-07-13 13:18:03 所属栏目:安全 来源:互联网
导读:应用程序编程接口(API)是公司企业为客户增加其产品价值的好办法。通过将数字资产和服务提供给更广大的受众,API已经发展成了核心业务重点,API经济都成了商业行
 应用程序编程接口(API)是公司企业为客户增加其产品价值的好办法。通过将数字资产和服务提供给更广大的受众,API已经发展成了核心业务重点,“API经济”都成了商业行话中的固定词组。

 

  API项目中,既管理访问又保护系统,同时还参与数字生态系统的安全策略十分重要。应用程序主管必须设计、执行并监管有效API安全策略,包括API网关的使用。而随着该领域的发展和业内玩家数量的增加,企业不安全API的采纳所带来的危险也在增多。事实上,到2022年,API滥用将成导致企业Web应用数据泄露最为常见的攻击方式。

 

  举个例子,2018年10月,Facebook披露遭遇重大数据泄露,影响5000多万个账户。攻击者利用了Facebook开发者API收集受影响用户的资料信息,包括姓名、性别和家乡。连Facebook这种首屈一指的大玩家都没能幸免API安全问题。

 

  API就是通往数据和应用程序的大门,在这里融入安全与保护Web应用同等重要。

 

  为全面保护API,解决架构、DevOps和生产中的安全需求是重点。软件开发生命周期(SDLC)中安全评估的拐点取决于开发团队是在遗留应用中启用API,还是打造新的API优先应用。虽然评估和缓解的要求大部分相同,团队还是需要做到:

 

  1. 对API执行动态应用安全测试(DAST),为发现的漏洞创建缓解/修复计划。

 

  2. 为DevOps过程中的API实现代码执行服务组件架构(SCA)和静态分析安全测试(SAST)分析。

 

  3. 在企业应用架构中使用安全设计模式。一些安全设计模式样例包括:

 

  自动编码模板以防止跨站脚本(XSS)通过模板使用输出编码;

 

  采用上下文输入验证以防止输入攻击;

 

  运用同步令牌防止利用令牌的跨站请求伪造(XSRF)攻击;

 

  采用变量绑定防止利用对象关系映射器(ORM)的SQL注入;

 

  使用加密外观以减少密码漏洞

 

  在SDLC中实现健壮的反馈环,根据各类扫描的发现做出响应。

 

  这些步骤确保API享有完整的安全覆盖,团队可以在问题出现前找到并修复漏洞。

 

  你可能会觉得自己已经有了解决API安全问题的管理工具,但拥有该工具还只是实现API安全的第一步。API管理工具提供的安全策略适用于边界,但对呈上API的业务逻辑安全毫无作用。我们的目标是在软件生命周期中嵌入应用安全(DAST、SAST和SCA),作为整体API安全策略中的一部分,编写出安全由内而外的API。

(编辑:温州站长网)

【声明】本站内容均来自网络,其相关言论仅代表作者个人观点,不代表本站立场。若无意侵犯到您的权利,请及时与联系站长删除相关内容!

    热点阅读