核心观点与关键措施
API 安全防护面临的主要挑战包括 API 的爆炸式增长、动态性、内部与外部 API 暴露、DevOps 进程的快速发展以及影子 API 的存在。为应对这些挑战，企业需采取全面且深思熟虑的策略，以下是 8 大注意事项：
1. 全面监测 API
- 确保 API 安全防护平台能从 API 网关、网络设备、微服务编排解决方案和云服务提供商等来源收集信息。
- 持续发现 API，监控 API 调用，记录短期会话活动，分析 API 行为变化，检测影子 API。
2. 不要对云感到恐惧
- 利用云端进行 API 流量深入分析，弥补本地资源的不足。
- 将云端纳入 API 安全防护策略，以应对大规模数据量和复杂部署。
3. 将业务情境置于策略的核心
- 通过业务情境理解 API 使用模式，识别合法行为变化，如数据抓取、枚举攻击等。
- 结合技术信息与业务背景，提高检测恶意意图的准确性。
4. 不要让数据变成一条单行道
- 将告警和事件发送至安全监控工具和 IT 工作流工具，提供详细原因和影响范围。
- 持续至少 30 天的行为分析，以描绘基线预期行为，检测缓慢实施的攻击。
5. 优先考虑跨部门协作
- 在设计、开发和部署阶段主动预防漏洞，API 团队需了解 API 实际使用情况。
- 确保策略具备非安全性优势，非安全用户也能轻松查看 API 清单和活动信息。
- 使用情境响应，如集成到 Jira 中，主动创建安全问题修复工单。
6. 不要忽视第三方 API
- 结合 API 网关策略，从网络设备、云平台和微服务编排工具等来源收集信息。
- 纵览 API 攻击面全貌，确保安全防护策略不受技术和基础架构变化影响。
7. 不要被动回应，主动出击
- 主动搜寻威胁，验证假设，理解各元素关系，在威胁升级前识别出来。
- 将历史数据存储在数据湖中，确保轻松访问，便于调查和识别潜在威胁。
8. 坚持将 API 安全防护视为一个持续的生命周期
- 在 API 生命周期中引入测试，减少错误配置或易受攻击的 API 进入生产环境的风险。
- 创建企业 API 清单，持续检测影子 API、恶意 API 等。
- 运行时环境中进行威胁检测，阻止可能利用 API 的威胁，WAF 自动拦截功能至关重要。
研究结论
API 安全防护需要全面监测、云端分析、业务情境理解、跨部门协作、第三方 API 管理、主动出击和持续生命周期管理。通过这些措施，企业可以有效应对 API 安全挑战，保护客户体验、员工、系统和数据，实现 Zero Trust、阻止勒索软件、保护应用程序和 API，进而信心十足地持续创新、发展和转型。
