简介： 6 月 30 日下午，阿里云 WAF 产品将重磅降级至 3.0 版本，其中针对重要节日或者大型流动期间的平安保障工作，将公布专项重保场景防护包，与根底产品能力相结合，造成一套千万级 IP 黑名单、地区一键封禁、场景化规定自动更新无效防护新型破绽，同时凋谢的 API 能力将助力实现自动化运维的一体化解决方案。
点击理解更多阿里云 Web 利用防火墙 3.0 公布
配置不当，外部接口裸露
代码逻辑有缺点，认证不到位
数据泄露……
API 平安为什么越来越重要？
API，是一些应用程序为了不便相互调用，在开发过程中事后定义的接口，比方当你通过微信小程序拜访一个购物平台时，小程序须要通过 API 去对接商城的库存、订单等零碎。
过来因为数字化业务并不丰盛，对于一个组织来说，外部 API 开发和调用的频率较低，与内部零碎和利用的互相调用更少，因而 API 只是庞杂 IT 零碎中一个微不足道的存在，其安全性更少有人关注。
但现在，越来越多的业务搬到了线上，对于组织来说，在互联网上提供服务须要调用更多其余内部接口，不同企业组织间的 API 互相调用不可避免的造成 API 裸露面减少，API 平安愈发重要。
这些危险导致的最外围危险即是 数据泄露，随着《数据安全法》、《个人信息保护法》的陆续出台和正式施行，API 作为跟数据打交道的一个外围因素须要被重点关注。
企业做好 API 平安难在哪儿？
API 的特点之一是跟企业组织的业务逻辑、业务场景、复杂程度密切相关。随着数字业务的迅速倒退，也会间接导致 API 数量与平安诉求的直线回升。
现有 API 资产摸不清，新增 API 接口不晓得
对于传统企业来说，零碎往往非常庞杂，哪些接口被谁调用，根本不可能人工梳理进去；即便是诞生于 API 已宽泛被关注的新兴企业，也不太能在每个版本上线前查看所有接口。现实状态下，业务须要在确认平安的状态下才应该上线，但事实上这是 mission impossible，危险就此埋下。
此外，API 的开发和保护通常由研发团队负责，而平安则由平安团队负责，单方之间的信息差，使得传统 API 网关手动形式上传接口信息的做法，势必产生大量“漏网之鱼”。
更加丰盛的数字业务带来更加简单的 API 治理
企业 API 平安建设对回路、聚合剖析、宽带、计算资源的耗费都十分高，每一项数字业务的变动都有可能带来 API 数量、调用逻辑、重要水平的变动，每天可能会有数不清的 API 上线与生效，不能为了保障 API 平安而回绝业务变动，也不能因为业务变动造成安全隐患，如何做好二者之间的均衡是必解之题。
阿里云原生 API 平安解决方案：高性能、超可控、极致缩放、极简高效
阿里云 API 平安是基于阿里云 WAF 产品构建的一套围绕 API 全方位的平安解决方案，可齐全笼罩 OWASP API top 10 危险应答。在 WAF 上一键开启，免去简单的部署老本，反对 API 资产的生命周期治理，并可能间接施展其原生防御能力，进行歹意行为处理造成闭环的计划，缩小跨产品操作老本，WAF 产品的攻打阻断能力、拜访频率限度、爬虫防护、账号平安专项防护、平安扫描防护、敏感数据防透露等能力均可作为 API 平安的处理能力，针对具体场景造成个性计划。
（数据参考 OWASP API Security Top 10）
极致缩放
联合阿里云寰球边缘站点网络，为最终用户提供尽可能低的 API 申请和响应提早。限度流量并受权 API 调用，以确保后端操作可能接受流量顶峰，并且不会不必要地调用后端系统。
如果一个客户一天 5000QPS，会产生上百万日志条数，靠人力从上百万日志中排查 API 危险，难以想象，借助阿里云模型主动剖析，数分钟内就可实现；
轻松监控
从阿里云控制面板监控无关 API 调用、数据提早和错误率的性能指标和信息帮忙客户更直观地监控对本身对服务的调用。本次控制台的优化，视觉方面使客户更清晰资产生命周期、更加便捷地定位预 / 报警与新 / 老 API 高低线状况、更加显著地透析数据危险。
从 API 资产发现、危险破绽检测到异样行为检测自动化实现，用户只须要确认并解决告警；
灵便管制
无需在客户业务侧部署探测节点，采取旁路动态剖析形式，对业务无影响，不会对业务数据造成净化。阿里云 API 平安计划依靠云 WAF，通过云域名原生接入，动态旁路剖析形式，因为所有流量都通过 WAF，Web API 资产全量资产列表可视。
极简高效
无需配置一键开启、云端治理。充分利用云的原生劣势，联合业务逻辑，无需任何配合或探针，即可发现问题、细节察看、解决闭环一键开启同时辅助优化业务逻辑。
【值得关注的是本次针对 API 控制台能力优化，使资产生命周期更加清晰、定位问题更加便捷、数据问题透出更加显著。】
阿里云通过主动剖析 API 拜访日志，创造性的为每一个 API主动 打上业务标签，从“接口类型 + 敏感等级 + 鉴权能力”三个维度，综合定义 API 接口重要水平，实现对 API 的分类分级管理。
目前阿里云提供近 20 种业务标签，根本笼罩客户常见业务类型。
API 分类分级管理的另一个益处是能够辅助优化业务逻辑。例如，在防爬场景下，如果检测到某个接口被刷，能够看到接口对应的业务场景是什么，从而把告警中同质化的业务场景找进去进行优化。
API 危险破绽辨认
阿里云 API 平安能够辨认包含暴力破解、防爬等平安危险，并联合接口重要水平将危险分为高中低三级，笼罩交通、电商、金融保险、餐饮批发等不同行业需要。
同时能够被动且及时发现开发设计中存在的人造 API 裸露危险，数据泄露防患于未然。
从敏感数据视角登程的 API 调用异样监控
敏感数据辨认是精准判断 API 调用是否会导致数据泄露的前提条件，以阿里云数据安全核心的敏感数据辨认能力为根底，每一次 API 调用，都能分明的看到是否波及敏感数据，避免泄露事件产生。
同时，云上弱小的算力能够解脱传统通过规定来判断异样的做法，借助智能模型从 IP 起源、拜访链路、拜访过程应用的参数、获取的敏感数据类型等不同维度综合剖析，极大升高误报和漏报。
客户实际
案例一：某第三方财务软件提供商，OA 零碎接口公网裸露危险
潜伏隐患：该客户始终未应用无效的 API 管控工具，对 API 资产及其爱护机制不理解。而且团队安全意识单薄，业务方认为只有做好接口权限管制，就算 API 凋谢到公网也不会有什么危险。
发现问题：通过接入阿里云 API 平安产品，客户发现其有上万个 API 接口存在，并检测到外部应用的 OA 办公零碎某员工通讯录查问接口裸露在公网，且可未受权拜访。通过该接口，就获取企业所有员工的姓名、联系方式、组织架构等外围敏感信息。
经核实，确认该客户存在 API 危险，阿里云立刻采取安全措施：
- 通过 WAF 控制台，配置针对该 API 接口的 ACL 拜访白名单(仅容许其企业办公网 IP 进行拜访，封禁其余所有 IP 的拜访)；
- 将该信息告诉负责该零碎的业务团队进行整改，隔日业务团队修复了该接口未受权拜访的破绽；
- 依据 API 平安的剖析后果，通过 WAF 对其所有外部应用的 API 接口配置 ACL 访问控制，限度拜访起源
案例二：某餐饮企业 客户生产信息未受权拜访
消费者的姓名、手机号等信息是《个人信息保护法》明确要爱护的个人隐私数据，其生产数据更是企业的外围商业数据。
该客户通过接入阿里云 API 平安产品检测到其某个查问客户生产记录的接口可未受权拜访，通过该接口，就能够依据手机号获取任意客户的姓名、联系方式、生产记录、生产习惯等企业及客户的外围敏感信息。
尽管该客户曾经无意识在爱护这部分数据，但因为接口鉴权局部的代码逻辑缺点，外表上，接口的申请须要携带用于鉴权的身份字段，但理论代码中未对该字段进行校验，导致接口存在未受权拜访、越权拜访的危险。
客户关注到 API 危险破绽告警和异样行为事件告警后，迅速分割阿里云平安团队开展排查并确认了该 API 危险破绽的存在，第一工夫确认该异样拜访行为的攻打属性。平安团队立即通过 WAF 控制台，封禁了所有针对该接口的拜访以紧急止血，并将该信息告诉该零碎的业务团队进行整改，一周后业务团队修复该破绽，接口从新启用提供服务，防止了一场潜在的数据泄露事件产生。
版权申明：本文内容由阿里云实名注册用户自发奉献，版权归原作者所有，阿里云开发者社区不领有其著作权，亦不承当相应法律责任。具体规定请查看《阿里云开发者社区用户服务协定》和《阿里云开发者社区知识产权爱护指引》。如果您发现本社区中有涉嫌剽窃的内容，填写侵权投诉表单进行举报，一经查实，本社区将立即删除涉嫌侵权内容。