关于程序员:API网关是如何提升API接口安全管控能力的

API 平安的重要性

近几年，越来越多的企业开始数字化转型之路。数字化转型的外围是将企业的服务、资产和能力打包成服务（服务的模式通常为 API，API 又称接口，下文中提到的 API 和接口意思雷同），从而让资源之间造成更强的连贯和互动关系，开释原有资产的价值，晋升企业的服务能力。企业数字化转型使得基于 API 的业务零碎剧增，随之而来带来的平安问题也日渐凸显。Gartner 预测，到 2022 年，API 滥用将成为最常见的攻打媒介，导致企业呈现数据泄露。

API 安全事件频发，技术能力当先的头部企业也屡遭数据泄露。2020 年 3 月 19 日，有用户在暗网上发现微博的 5.38 亿用户信息在暗网发售，其中 1.72 亿条有账户根本信息，起因就是来自于终端 APP 的业务逻辑 API 被非法流量调用超过 40 亿次而导致。

API 给企业带来的挑战有：1）资产理不清，有多少 API 对外开放、有多少敏感数据、有什么类型数据、是什么等级的数据；2）滥用管不住，API 未经脱敏就间接应用、凋谢 API 被第三方零碎滥用；3）审计日志不具体，导致 API 安全事件产生后没有无效的溯源伎俩。

API 安全性越来越重要，对 API 平安进行防护既有利于用户平安的应用 API 所提供的服务，又可能为用户的隐衷数据进行保驾护航。所以，进步 API 平安防护能力的问题亟待解决。
面对以上局势，当初越来越多的企业采纳 API 网关来治理外部 API。以下从 API 资产治理、API 平安防护、API 危险溯源三个方面介绍 API 网关如何对 API 进行全生命周期的平安治理。

API 资产治理

API 网关反对 API 注册、分级分类、资产清单导出和 API 签约审批等。通过 API 网关，API 提供者能够清晰把握每个调用方的应用状况，并且可严格把控 API 的签约应用，实现 API 的可管可控。

API 平安防护

1. 认证鉴权

API 网关反对依据能力提供者提供的相干 API 鉴权要求，要求能力使用者在应用相干 API 时，遵循相应的鉴权要求。

1）IP 黑白名单认证

IP 黑白名单 API 策略适配器帮忙能力提供者对能力使用者的 API 调用依照申请端 IP 黑白名单进行管制，确保 API 拜访的安全性。能力提供者针对每个 API 可独立设置 IP 黑白名单，每个 IP 地址都与能力使用者存在对应关系。

2）APPID 身份认证

能力使用者在应用 API 时，须要先注册 APP，并获取 APPID。调用 API 时，以 APP 为单位调用，而不是以能力使用者身份调用。实践上同一个能力使用者的多个 APP 之间不容许在非受权状况下相互应用对方 APP 不具备的 API。API 网关网关需提供“APPID+ SecretKey”用于身份认证，认证通过后才容许该能力使用者调用 API。APPID 和 SecretKey 由零碎调配。当能力使用者在零碎中胜利创立 APP 后，零碎就主动为其调配 APPID 和 SecretKey。能力提供者能够针对每个 API 设置 APPID 认证策略。

3）能力鉴权

即便 APPID 认证通过，若该能力使用者调用未申请的接口，同样会被 API 网关拦挡。

4）密钥更换

API 网关为每个零碎或利用调配专属的秘钥，调用方零碎应用秘钥才有权限调用申请的 API，秘钥一旦泄露，第三方就能够非法调用 API，该性能能够防止秘钥泄露导致的 API 平安问题。

5）签名认证

API 网关反对签名认证，例如应用 RSA 非对称加密模式时，能力使用者在应用 API 时，须要应用 APP 私钥进行签名，从 API 网关获取 API 响应或者 API 网关被动发送音讯给 APP 时，API 网关会应用私钥进行签名，能力使用者须要通过 API 网关公钥验证，以确保消息来源牢靠。

2. 流量管制

流量管制次要指对利用接入的流控和 API 拜访的流量管制。针对 API，流量控制策略适配器帮忙能力提供者对能力使用者的 API 调用依照设置的 TPS 进行拜访速率管制，从而能够拦挡非法调用并爱护后端 API 服务器。能力提供者针对每个 API、签约利用加 API、签约利用等不同维度，可独立设置 TPS，当能力使用者调用 API 时，API 网关零碎将依照能力提供者设置的 TPS 值进行 API 调用速率管制

3. 数据脱敏

数据脱敏 (Data Masking)，又称数据漂白、数据去隐衷化或数据变形。数据脱敏的定义为：指对某些敏感数据通过脱敏规定进行数据的变形，实现敏感隐衷数据的牢靠爱护。这样，就能够在开发、测试和其它非生产环境以及外包环境中平安地应用脱敏后的实在数据集。
敏感数据，又称隐衷数据，常见的敏感数据有: 姓名、身份证号码、地址、电话号码、银行账号、邮箱地址、所属城市、邮编、明码类 (如账户查问明码、取款明码、登录明码等)、组织机构名称、营业执照号码、银行帐号、交易日期、交易金额等。

4. 传输平安

API 网关零碎反对接口的 HTTPS 协定传输。HTTPS 顾名思义，即平安的 HTTP，一般的 HTTP 申请和响应对任何监控网络传输的用户都可见，而 HTTPS 传输的信息通过平安传输层 (TLS，也被称为 SSL) 暗藏和爱护。HTTPS 的次要作用是，确认单方的身份，和建设平安通道，保障传输数据的平安，保障接口业务在调用过程中的防篡改等平安能力。

API 危险溯源

API 网关基于日志行为审计的危险溯源，解决 3 个外围，5 个因素。3 个外围次要是指：谁，应用了什么账号（用户）？拜访了哪些 API（利用）？查问了哪些敏感数据（内容）？5 个因素是指：什么时候（工夫）？什么 IP（地点）？查问了哪些涉敏数据（操作）？胜利与否和次数多少（后果）？此外还有账户行为详细分析与可视化统计无效防止事故责任难追溯的问题（画像）。
基于以上因素，API 网关提供日志审计的性能，可对系统日志和接口调用的的异样进行剖析，日志审计内容包含：

1. 登陆日志的审计。提供用户登录次数，登陆地点，登陆工夫，校验失败次数，验证码验证状况等的剖析记录，为运营者提供平台是否被暴力破解，攻打等行为的判断。
2. 零碎用户的操作日志审计，提供操作行为的统计分析数据，为运营者提供破坏者等的行为判断根据。
3. 平安调用审计，提供拜访申请起源，拜访频率，流量，拜访时段等的剖析数据，为运营者提供平台是否收到非法攻打，歹意调用的行为判断根据。

4. 数据安全审计，提供数据存储的拜访状况，拜访账号，拜访数据信息及记录等，为运营者提供数据是否被歹意窃取，被批量操作等提供判断根据。

   总结

5. API 网关对 API 的平安管控基于多种规定的穿插，实现对网络层、应用层、信息层的安全策略的利用、审计和管制，来保障对外开放 API 时业务、数据、利用的平安。
6. API 网关对 API 的爱护贯通 API 的创立、上线、凋谢、传输、以及最终销毁的全生命周期。
7. 除以上本文提到的 API 平安管控性能外，API 网关也提供实时的告警监控，可能及时对 API 调用的异常情况收回告警，无效保障 API 的稳固运行和对外服务。

本文由 mdnice 多平台公布