OWASP API Security Top 10解读
API安全的重要性早就得到了网安业界的高度重视。OWASP在2019年首次提出了API Security Top 10,总结了API安全面临的十大风险,为企业的API安全防护提供了重要参考。随着API安全形势的不断变化、相关安全实践的不断加深,OWASP在2023年发布了API Security Top 10的内容更新。相比2019的旧版本,此次更新进一步强调了API攻击场景与WEB攻击的差异化,突出API授权管理、资产管理、业务风控等问题。通过新旧版本的对比,我们能直观的看到API安全风险的变化趋势:在2023年的API Security Top 10,认证和授权相关的风险占了4条,分别是对象级别授权失效BOLA(API 1)、身份认证失效(API 2)、对象属性级别授权失效(API 3)、功能级别授权失效(API 5)。API漏洞与攻击相关的风险占了3条,分别是资源消耗无限制(API 4)、服务端请求伪造SSRF(API 6)、缺少对自动化威胁的防护(API 8)。API资产管理与安全配置相关风险占了3条,分别是错误的安全配置(API 7)、存量资产管理不当(API 9)、不安全的第三方API(API 10)。明确了API面连的安全风险,API安全防护的要点也就呼之欲出:1.强化API访问鉴权,实现最小化授权将访问鉴权的范围从“人”扩展为“人+机”,基于身份信息实现最小化的API访问授权,避免攻击者利用API授权漏洞,非法获取敏感数据或者完全掌控账户(API 1),伪造和盗用合法身份信息(API 2),越权访问信息和资源(API 3),非法获取API请求(API 5)。2.监控API访问流量,实时发现并阻断攻击实时监控API访问流量,及时发现异常访问行为,防范DoS攻击(API 4)、内部服务枚举和信息泄露(API 6),自动监测并防御恶意软件、蠕虫病毒、僵尸网络等自动化威胁(API8)。3.统一管理API资产,规范API安全设置建立纵览全局的API资产管理体系(API 9),监测API安全状态并修补API安全漏洞(API10),通过代理API实现API安全配置的统一管理(API 7),最终建立API的全生命周期管理机制。芯盾时代零信任安全API网关
芯盾作为领先的零信任业务安全产品方案提供商,以零信任理念赋能API安全,基于增强型IAM、零信任网络访问等技术,打造了零信任安全API网关(ZAG),为企业提供API接口的统一代理,帮助企业实现API的访问认证、数据加密、安全防护、应用审计,构筑API的全生命周期管理能力。针对后端API的安全需求,安全认证鉴权、流量控制、自动熔断等安全策略,大幅提升后端服务的开发效率和维护效率。芯盾时代零信任安全API网关(ZAG),具备以下优势:1.统一代理API接口,实现API资产规范管理由API网关提供API统一入口,对不同系统访问协议进行规范统一,用标准化的协议实现系统集成,提高安全管理效率,避免因为API配置不当导致的安全问题。网关提供可视化仪表盘,对API调用情况进行统计并监控,包括调用量、调用状态、成功率、访问源等,帮助企业快速掌握API资产情况,及时发现不安全的API。2.强化API安全认证鉴权,实现最小化授权将访问鉴权的范围从“人”扩展为“人+机”,支持多维度的前端用户接入访问认证,提升身份鉴权的安全性,只有通过认证的用户、客户端、程序才能进一步访问API代理发布的服务。基于身份信息和API状态,对API访问进行最小化授权,保证API中敏感数据的精细管控,避免因权限管理漏洞、过度授权导致的安全问题。3.精细管控API流量,全链路保证API安全网关采用同步+异步混合流控的方式,通过多种算法,实现精细化的秒级流控,同时提供灵活自定义的流量控制策略,针对异常调用进行主动熔断和被动熔断,保障API服务的稳定性和连续性。网关能够与API安全监测平台联动,实时阻断账号暴力破解、未授权访问等风险行为,全链路保障API安全。4.开箱即用,一站式实现API全生命周期管理网关只需要在管理控制台中配置,即可快速创建API;提供页面调试工具,简化API开发;可同时发布一个API到多个环境,快速迭代、测试API,帮助企业实现API设计、开发、测试、发布、运维监测、安全管控、下线的一站式全生命周期管理。借助芯盾时代零信任安全API网关,企业能够快速建立API安全多层防护机制,防范API攻击,保证API的安全利用。零信任安全API网关与芯盾时代API安全监测平台搭配使用,能够为企业建立覆盖“策略→防护→检测→响应”的API安全防护体系,让企业的API更开放、更安全。
往期 · 推荐
350种类型、10W+量级的API,企业应该怎么管?
【喜讯】芯盾时代入选《2022中国网络安全十大创新方向》API安全防护典型厂商
【喜讯】芯盾时代入选《API安全产品及服务购买指南》 以零信任破解API安全难题
【喜讯】芯盾时代荣获中国信通院“零信任最受行业欢迎厂商”
原文标题:数字化时代,API网关为何如此重要?
文章出处:【微信公众号:芯盾时代】欢迎添加关注!文章转载请注明出处。
全部0条评论
快来发表一下你的评论吧 !