• 基础设施安全

  • 数据安全

  • 云计算安全

  • 工控安全

  • 物联网安全

  • 全部产品

  • 全部解决方案

基础设施安全


  • 政府

  • 运营商

  • 金融

  • 能源

  • 交通

  • 企业

  • 教育

  • 医疗

返回列表

API 接口安全堪忧 诚博国际官网教你如何进行针对性防护

2020-03-20

3月19日,南方都市报在其相关文章《微博5亿用户手机号疑在暗网出售!惊动微博高层》中,介绍了暗网出现“5.38亿微博用户绑定手机号数据,其中1.72亿有账号基本信息”交易,以及微博对此事做出“此次泄露的手机号是2019年通过通讯录上传接口被暴力匹配的,其余公开信息都是网上抓来的,并否认是脱库”的回应。

该文还引述了一位匿名资深安全人士的观点:通讯录匹配可以看做变相的爬虫行为。新浪微博可能没有对这个接口做监控和风控,导致个人信息的泄露。防范此类事情的发生,应该是企业的业务。

从数据泄露到暗网交易,中间少不了黑灰产的支持。众多安全自媒体的文章,也把大量的笔墨放在了对匿名聊天工具 Telegram ,以及如何从其上的“社工库”中获取这批被泄微博数据,并验证交易的真实存在。但是,作为企业背后提供专业安全能力的网络安全公司,这起突发事件中更值得我们关注的,是如何更有效的帮助客户,防范 API 接口可能引入的安全威胁,从而保护企业客户的C 端用户应享有的权益。

API 三大安全威胁与防护思路

诚博国际官网认为,下面三种API 接口的安全风险需要我们予以重视:

1 API 的未授权访问

API业务逻辑漏洞难以在测试时被发现,业务场景复杂、迭代升级频繁,API权限控制较难做到万无一失,一旦某个接口权限控制出现问题带来的后果难以预料。

诚博国际官网推荐采用代理API的API网关产品,对API进行全生命周期的权限管理,在API发布过程中实行审计、注册机制,运行中进行监测、异常熔断,在下线过程中及时注销对应权限,防止未授权访问,及时监控API风险。

2 API 参数的非法篡改

API参数的篡改和参数拼接已经成为API攻击中的一种主流方式,各类试探性攻击也通常采用此方式发起攻击,一旦服务端参数校验存在逻辑漏洞,API参数篡改很容易带来数据泄露、信息化资产损失甚至资金风险。

诚博国际官网推荐采用支持API 防护的WAF产品,通过对 API 参数进行自学习,创建 API 参数规范,对不符合参数范式或者偏离值较大的请求进行异常告警。结合动态令牌,对通过篡改和拼接API参数发起的非法请求进行阻断。

3 接口滥用

有国际调研机构曾指出,2022年,API 滥用将成为最常见的攻击方式之一。短信、电邮等 API 接口被滥用,不仅给服务提供商带来了经济损失,同时影响了正常用户的业务办理。

诚博国际官网推荐采用支持机器人管理的Bot产品,因为这类攻击往往是机器人流量发起的,才可以实现批量自动化。防护思路上,可以通过人机校验,有效感知并实时拦截自动化工具发起的批量攻击请求,对API进行基于用户行为的多维防护。

诚博业务安全网关系统(BMG)聚焦于业务安全市场,主要用于业务系统的安全防护,补齐传统 WAF 设备的能力缺失。在防止自动化工具方面,诚博业务安全网关系统可以通过通过机器人缓解、API 防护等功能,对请求流量进行识别,过滤出自动化工具的请求流量,同时针对关键 API 进行监控,防止其请求流量异常,来防止攻击者通过 API 资源滥 用获取到隐私数据,保障网站的数据安全和完整性。

 

 

<<上一篇

知识点,如何应用“安全知识图谱”识别内部威胁?

>>下一篇

最后一页

您的联系方式

*姓名
*单位名称
*联系方式
*验证码
提交到邮箱

购买热线

  • 购买咨询:

    400-818-6868-1

  • 服务热线:

    010-68438880-5069

  • 投诉专线:

    010-59610080

提交项目需求

欢迎加入诚博国际官网,成为我们的合作伙伴!
  • *请描述您的需求
  • *最终客户名称
  • *项目名称
  • 您感兴趣的产品
  • 项目预算
您的联系方式
  • *姓名
  • *联系电话
  • *邮箱
  • *职务
  • *公司
  • *城市
  • *行业
  • *验证码
  • 提交到邮箱

微博

微信

服务热线

400-818-6868

服务时间

7*24小时

© 2020 NSFOCUS 诚博国际官网 www.nsfocus.com All Rights Reserved . 京公网安备 11010802021605号 京ICP备14004349号 京ICP证110355号