乐趣区

关于网络安全:腾讯API安全公测重磅开启你的API安全吗

7 亿多 Linkedln 用户的数据被在暗网售卖;Parler 网站波及 1000 万用户超过 60T 的数据透露;Clubhouse 泄露 130 万条用户记录……近年来 Web 利用数据泄露案例层出不穷,究其根因,其实是——API 不够平安。

所谓 API,即利用程序接口(Application Programming Interface),能够利用于所有计算机平台和操作系统,以不同的格局连贯数据、调用数据。比方,消费者能够在电商平台查问所购商品的物流信息,这理论就是电商平台与物流公司之间应用“API 地位实时调用”产生的成果。

在千行百业数字化转型的背景下,API 成为了数字化体验的核心,APP、WEB 网站和小程序等利用的外围性能、微服务架构等均离不开 API 的反对。不过,许多企业谋求疾速的 API 和应用程序交付,却漠视了 API 平安爱护。因而,针对 API 的攻打也成为了歹意攻击者的首选。

9 月 28 日,腾讯平安正式启动 API 平安公测,联动腾讯 Web 利用防火墙、腾讯平安威逼情报、腾讯天御业务平安等能力,帮忙企业全面辨认 API 危险,针对性收敛 API 裸露面,构建全面、智能、精准的 API 平安进攻体系。

API 平安面临四大挑战

安全隐患往往藏于“未知”,API 广泛利用于新业务、新场景、新环境之下,泛滥企业用户并不理解本人领有多少 API,就更别提保障每个 API 都具备良好的拜访控制策略,未知的僵尸 API、未知的影子 API、未知的敏感数据裸露等亘古未有。

据 Gartner 权威研报预测,到 2022 年 API 滥用将是最常见的攻击方式;到 2024 年,API 安全隐患导致的相干数据泄露将近乎翻倍。目前来看,企业的 API 平安面临四大挑战,要求咱们对 API 资产的全貌做清晰的盘点:

1、利用和逻辑迁徙上云,裸露更多攻击面:绝对于传统数据中心的单点调用,企业服务上云后,调用的起源和范畴更广,东西向和南北向都可能成为 API 的攻击面。

2、强调开发速度和灵活性,疏忽构建 API 平安:更多企业转向采取麻利开发模式,但在晋升软件构建效率的同时,企业对于如何构建 API 安全性短少适合的办法,难以顾及 API 平安。

3、外部接口短少保护,引发多种攻打隐患:开发利用时,可能会波及大量的外部接口书写,因为人员变动、不足保护等起因被疏忽,给攻击者留下突破口。

4、企业低估 API 危险,造成安全措施脱漏:构建利用的过程中,企业对于可能存在的平安危险较为乐观,防护措施有余,低估了上线后 API 被攻打的可能性。

(API 平安面临的四大挑战)

而 OWASP 也依据可利用性、弱点普遍性、弱点可观测性、技术影响、业务影响等维度梳理了十大最要害的 API 平安危险。从 OWASP API Security Top 10 咱们也能够发现,如受权、身份认证、平安配置等危险,均是因为咱们在设计到上线过程中没有针对裸露面做好及时的收敛,因而意外造成的数据泄露、API 滥用、权限外泄等事件也难以抑止。

(OWASP API Security Top 10)

腾讯 API 平安产品聚焦 API 进攻体系打造腾讯 API 平安聚焦 API 进攻体系打造,以异样裸露面治理为首个冲破重点,助力企业全面盘点 API 资产、智能发现 API 动态变化及危险趋势、精准辨认 API 裸露面及敏感数据,帮忙企业收敛 API 裸露危险。

腾讯 API 平安辨认异样裸露面的解决思路次要分成如下三个步骤:

1、摸清家底:通过流量剖析,自动化盘点 API 接口,动静盘点业务 API 调用关系,将僵尸 API、影子 API、涉敏 API 一网打尽。

2、洞悉危险:联合腾讯平安能力积淀,洞悉业务流量中可能存在的危险问题,疾速辨认以后 API 业务场景,理解业务的危险趋势及可能存在的破绽威逼。

3、合规经营:继续辨认 API 参数裸露面,对各类敏感的参数信息、后盾参数等进行继续检测,包含但不限于银行卡号、身份证号等信息,避免敏感信息泄露。

而异样裸露面发现的基石就是 API 的资产发现和流量剖析能力,腾讯 API 平安解决方案具备如下五大劣势,能够对 API 危险进行发现及管控:

01: 零部署,即开即用
针对已接入 WAF 的域名,一键即可开启 API 平安管控能力。

02: 资产全自动发现
实时剖析业务拜访日志,主动发现 API 资产并动静梳理资产用处、变动。

03: API 业务场景辨认
疾速梳理发现敏感裸露面,如文件上传、业务回调接口、优惠券散发、短信验证码发送等场景,便于及时治理。

04: API 流量剖析
精准辨认 API 申请形式、拜访场景、敏感参数信息等,可视化剖析 API 危险概览、申请趋势、攻打趋势,提供针对性防护策略。

05: 联动腾讯天御、威逼情报能力
内置腾讯天御业务平安能力、腾讯平安威逼情报能力,全面辨认 API 资产的网络安全危险及业务平安危险,提供联动防护。

疾速参加公测

可扫描下方二维码,申请收费体验或直通产品经理交换

退出移动版