打开文本图片集

摘要：随着我国数字化转型的发展趋势，各行业的核心业务越来越依赖于数据的快速流动与应用的灵活应用；然而API资产作为数据交换和业务协同的关键接口，在各行业的数字化转型过程中的重要性日益凸显。与此同时，API资产的安全风险也随之上升，给各行业的数据安全带来了严峻挑战。本文旨在探讨API资产在数据安全领域中的风险治理与防护体系，通过分析API资产面临的主要风险，提出一套有效的风险治理策略和防护体系，以提升企业数据安全水平。

关键词：API资产；数据安全；风险治理；防护体系

近年来，随着数字化转型的深入和互联网应用的普及，企业、政府及个人的数据量呈爆炸式增长，数据安全事件高发且呈现出明显的上升趋势。数据安全事件的行业分布呈现出多样化的特点。金融行业涉及用户的资产和交易信息，这些信息的泄露将对个人和企业造成巨大的损失。攻击者利用技术漏洞、管理不善或安全意识薄弱等因素，频繁发起各类数据安全攻击，导致数据泄露、篡改或滥用等事件屡见不鲜。据国际咨询机构Verizon发布的《2023年数据泄露调查报告》和2023年OWASP发布的《2023 API Security Top 10》。其中API接口作为Web应用程序中的关键资产也出现了许多新的风险，如：API6-不受限制地访问敏感业务流、API7-服务器端请求伪造、API10-API 的不安全使用。

本文主要通过对API资产在数据安全事件中存在的风险进行研究分析，找到风险发生的主要根因。针对主要的风险成因，采用当前安全领域中的主流技术和防护理念进行技术应对，提升API资产的安全治理能力，降低由于API资产风险而引发的数据安全事件。围绕新兴技术为应用，研究如何更好地打造API资产从风险治理到安全防护的闭环安全治理体系。为我国各行业数字化转型下的数据要素安全、数据流动安全、数据应用安全保驾护航。

一、什么是API接口

API即应用程序接口，是软件系统中不同组件之间进行交互的一种方式，主要是实现不同应用之间的数据交换和共享。通过API接口扩展和定制应用功能，提高效率和自动化程度，以及实现不同应用程序、数据和服务之间的集成和协作。在当前主流的软件开发和集成中API接口发挥着越来越重要的作用，它不仅能够提高软件开发的效率和质量，还能够推动不同系统之间的互操作性和协作性。

二、API接口面临的风险

API作为不同软件组件和应用系统之间的数据通信交互的接口，风险主要集中在数据传输、处理和存储过程中面临的安全威胁。我们可以将API接口风险为两大类：外部攻击风险和内部管理风险。

1）外部攻击风险主要有：

Ø设计缺陷：由于API接口直接涉及数据的传输和交换，如果API接口缺乏足够的安全防护，攻击者可能利用漏洞或弱点窃取敏感数据。例如，未经加密的API通信、不安全的身份验证机制或权限控制不当都可能导致数据泄露。

Ø注入攻击：攻击者可能构造恶意的输入参数，通过API接口注入恶意代码或执行非法操作。这种攻击方式可能导致数据篡改、系统瘫痪或敏感信息的泄露。

Ø鉴权缺失：如果API接口的访问控制不严格或密钥管理不善，未经授权的用户可以访问API接口并执行恶意操作。同时，合法的API使用者也可能过度调用API导致系统资源耗尽。

2）企业内部管理风险主要有：

Ø资产盘点不清：在数字化转型的驱动下，应用系统的功能与数据快速迭代，带来了API接口数量的快速增长。企业往往难以清晰掌握自身拥有的API资产数量及其状态，导致对API资产的安全防护措施不足，从而增加数据泄露和恶意攻击的风险。比如：影子API、僵尸API等。它们是未被记录、跟踪、陈旧、过时的API资产，可能存在不适当的身份验证、授权、缺乏维护更新等问题，成为攻击者发起攻击的首要突破口。

Ø传输敏感数据不清：从业务应用层面，我们可以将API资产的类型大致分为Web API、数据库API和文件传输AP。针对这些类型的API资产，其网络通信过程中都需要进行数据的传输交互。比如：Web API接口在功能调用过程中，是否有返回传输敏感数据；数据库API接口中，是否有返回涉及敏感数据存储的库表；文件传输API接口在文件访问操作过程中，是否有对敏感文件的下载、修改等操作；企业往往难以清晰的掌握各类API资产在数据流动和业务交互过程中的详细数据情况，这也将成为数据泄露、数据篡改事件的主要风险之一。

Ø功能逻辑不清：API资产作为业务应用系统的关键组件，其在业务流动过程中的网络访问行为是极其频繁且复杂的。访问API接口的来源可能包括客户端、服务端，甚至是某一个脚本程序，而企业缺少相应的技术监控手段，难以精准的从频繁且关联复杂的访问行为中发现是否存在异常。击者会利用暴露在外的API资产，通过自动化脚本、BOT等方式，对一些关键且重要的API资产进行批量化的数据访问并窃取核心数据。

三、API接口安全治理的防护体系及相关核心技术能力

针对当前API面临的风险，从安全治理要求出发结合IPDR的安全防护模型。实现API资产的发现梳理、敏感数据的识别打标、风险行为的异常监测以及风险事件的联动处置的闭环管理能力，构建API资产的安全治理防护体系。

1）API资产梳理

Ø第一步：完成互联网区、内网区的网络全流量采集汇聚

Ø第二步：针对API资产的网络协议进行全量解析与数据输出

Ø第三部：按照API资产的特征形成完整且全量的API资产清单

2）敏感数据识别

Ø第一步：按照用户行业数据特点进行敏感数据识别规则定义

Ø第二步：按照定义的敏感识别规则进行API资产传输数据的识别与打标

Ø第三步：形成敏感API资产的数据清单

3）风险异常监测

Ø监测场景1：API资产脆弱点进行检测，避免形成数据泄漏二次风险

Ø监测场景2：API暴露面进行检测，主动发现可泄漏源，及时止损

Ø监测场景3：对异常行为动态监测，捕捉可能风险的事件源

Ø监测场景4：对API攻击行为进行诱捕转移，实现主动安全防御

4）风险事件响应

Ø协同API网关、WAF等网络安全产品，对风险主体形成快速联动处置

Ø协同CMDB等资产管理产品，对API资产基础信息实现动态更新

5）相关核心技术能力

ØAPI资产“全面盘点”能力：通过网络流量解析技术，对业务流动过程中的API资产进行全面的发现及梳理。运用API资产在网络流量中的活动行为特征，对API资产进行分类管理，建立API资产的精细化管理能力。

ØAPI资产“精准识别”能力：通过敏感数据识别技术，对API资产在传输过程中的业务数据进行敏感识别。对传输敏感数据的API资产进行标签化分类，建立API资产的敏感分类清单。以敏感数据维度建立API资产的管控策略，以便于针对不同API资产提供场景化的风险管控措施。

ØAPI资产风险“快速感知”能力：通过客户端、服务端在网络流量中对API资产的访问行为进行多维度的态势分析。结合目前领先的模型算法，从访问源、访问特征、行为基线、时间序列等维度进行异常分析并加权评分，建立对API资产在数据流动和业务交互过程中的风险态势快速感知能力。

ØAPI资产治理“协同防护”能力：通过上述三步的能力构建，可初步形成对API从“资产盘点”到“数据识别”再到“风险感知”的基础监测能力，形成API资产安全治理的闭环体系。构建API资产治理的治理能力，这里包括：API资产的基础信息动态监测、API资产敏感数据的加固治理、API资产风险事件的联动处置等。

四、核心的技术解决方案的思路和建议

1）云平台的应用系统API资产的发现及梳理技术

随着云计算平台的快速发展各行业都已经实现应用云化部署，对于传统网络架构的流量镜像采集方式已无法覆盖云平台的流量采集场景。因此实现云平台网络流量采集是API资产发现的前提条件。采集技术方案如下：1、在Container容器中支持基于单个POD采用边车（SiderCar）采集模式，同时支持基于Daemonset在Node节点部署获取Node内所有POD流量的方式。2、在VM虚拟化环境中，借助虚拟化技术能力（如KVM）可以实现VM虚拟机流量采集，基于HyperVisor部署对所有VM流量进行采集的主机探针模式。云/虚拟技术自身采集能力，如Openstack在分布式虚拟交换OVS（OpenVswitch）自身具有SDN引流能力，Vmware VDS可以通过ERSPAN采集流量，云商的流量镜像能力等。不过这些能力通常不具备自管理，自适应动态，过滤等基础能力，需要有引流控制能力提供保障。

全流量网络协议解析技术，对于API资产的发现梳理技术，需要对采集的全量网络流量进行协议解析还原，为API资产的基础信息发现提供数据支撑，这里包括网络五元组信息：IP、端口、协议、组件等。目前网络协议解析技术可支持的网络协议已多达2400+种，如：通用协议的http、html、smtp等、数据库的db2、oracle等；并且可解析L2-L7层数据，同时对解析出的数据进行秒级实时输出，为API资产发现梳理、数据识别、异常分析等提供全量、实时、精准的数据支撑。

2）API资产分类技术

基于网络流量L7层的解析，对输出的内容进行深度分析。可将API资产按照API形态、API类型、API生命周期状态等维度进行分类。

API形态分类：RESTFUL、JSON、JSONP、XML、SOAP等。

API类型分类：第三方访问API、互联网访问API。

API功能分类：登录API、查询API等。

API生命周期状态分类：新增API、失活API、僵尸API等。

3）API传输敏感数据识别及打标技术

根据API资产中传输的数据进行敏感识别与打标，以便于对API资产进行敏感程度分类。采用常规敏感数据识别与智能化机器学习识别规则相结合的技术，对API资产的敏感数据进行精准的识别打标。

第一步：提取API资产中通过网络流量解析还原的业务数据内容；

第二步：基于常规敏感数据识别规则的正则表达式、关键字匹配、字典表等进行第一轮的敏感数据识别；

第三步：利用NLP语义分析，结合无监督机器学习模型，对解析还原的业务数据进行精准识别，同时配合人工干预灵活调整发现结果，模型在不断训练过程中，将更加贴近用户业务需求，得到更精准智能的识别结果，且模型识别出来的结果也可用于校验常规识别规则结果的正确性。

4）API资产的异常行为分析技术

Ø基于AI算法的异常分析

第一步：通过机器学习进行知识抽取，通过20+采集抽取算子，抽取相应数据，建立训练数据集；

第二步：对算法进行开发及训练：k-means、孤立森林、四分位算法、行为序列算法、机器行为算法；

第三步：模型构建，发现异常：基于安全分析场景模型，构建各类场景模型包括：数据暴露面风险，异常访问行为风险，API资产脆弱性风险等；

Ø基于机器学习引擎的异常分析

引入机器学习分析引擎可极大提高计算能力，进行更复杂的计算。API资产的异常分析在采用机器学习分析引擎的异常监测、文本监测等算法，结合孤立森林算法、高斯混合算法、局部异常因子算法。通过这些算法，能够从海量的API资产数据中归纳、抽取出最有价值的数据，以便于快速、精准、高效的研判出API资产具体的风险脆弱性、行为异常点。

Ø基于特定场景的风险分析

数据暴露面风险分析：以数据为监测对象，针对数据违规传输/存储/无安全性限制等导致的涉敏数据暴露在外形成的风险进行检测。可检测内容包括：明文账号密码检测、高敏数据未脱敏加密、跨境敏感数据传输等。

异常行为安全性风险分析：以访问主体及其行为为监测对象，通过请求命令或操作及操作本身和对应是否匹配等价来判断访问行为是否存在安全风险。可检测内容包括：周期性涉敏数据窃取、批量敏感数据无限制拉取、敏感数据过量/过频访问等。

基于上述研究内容，在企业实际生产环境中进行验证并取得了很好的效果，具体包括：1、在威胁弱点监测方面，通过请求报文分析，实现了对API接口未授权访问、API接口水平越权、API接口弱口令等安全隐患的精准识别。2、安全风险监测方面，从访问源、访问总量、访问频次、访问时段、访问周期、敏感数据标签等纬度，洞察异常访问行为。实现对API接口高频访问、API接口暴力破解、API接口单次返回大量敏感数据等风险进行了实时监控告警。3、安全运营方面形成了API接口漏洞处置闭环，通过数智安全运营平台实现安全风险告警的精准化。API资产在数据安全领域中的重要性不容忽视，其风险治理与防护体系的建设是企业数据安全保障的关键环节。因此，通过对API资产进行闭环式的安全治理，可以有效降低API资产的数据泄露风险。同时，建立与各安全网关监测、实时监测与预警机制以及应急响应与处置体系，能够进一步提升API资产的安全防护能力。在未来的企业数字化转型过程中，应持续关注和加强API资产的风险治理与防护工作，确保企业数据安全的稳健发展。

参考文献：

[1]董之光，冯梅，柏东明.常用 API 接口安全防护研究[J].网络安全技术与应用，20239（04）：52-54.

[2]韦峻峰，李耀文.API接口安全运营研究[1.邮电设计技术2023（8）：33-37.

[3]张越，陈庆旺，刘宝旭，等.面向云原生的 API攻击诱捕技术研究[].西安电子科技大学学报，2023，50（4）：237-248.

[4]桂海仁，刘福东，王磊，等.一种基于API执行序列的恶意代码检测方法[J].信息工程大学学报，2023.24（3）：316-320.

[5]付德志，王承涛，陈莉.考虑 API网关动态权重的企业数据中心数据共享方法研究[J].网络安全技术与应用，2024（04）：104-106.

[6]郭毅.API 接口资源漏洞分析及访问控制方法研究与实现[J].网络安全技术与应用，2024（03）：43-47.

作者简介：李俊斌，出生年月：1977-09-22，性别：男，民族：汉族，籍贯：上海市，职务/职称：信息安全资深专家，学历：硕士研究生，研究方向：信息安全。单位信息（单位全名）：中国太平洋保险（集团）股份有限公司，所在省市：上海市，邮编：200233。