在攻防實(shí)戰(zhàn)和演練過(guò)程中，針對(duì)目標(biāo)對(duì)象的滲透過(guò)程可以概括為目標(biāo)偵查、暴露面發(fā)現(xiàn)、滲透利用、橫向滲透幾個(gè)步驟。攻擊方會(huì)通過(guò)各種渠道對(duì)目標(biāo)對(duì)象的全量資產(chǎn)進(jìn)行收集，嘗試從中找到防護(hù)的薄弱點(diǎn)，進(jìn)而展開(kāi)攻擊行動(dòng)。
但是，隨著大家網(wǎng)絡(luò)安全意識(shí)的提升和各類(lèi)攻防演練的深入開(kāi)展，促使業(yè)務(wù)系統(tǒng)的安全加固工作持續(xù)升級(jí)，資產(chǎn)暴露面不斷收斂；與此同時(shí)，新業(yè)務(wù)系統(tǒng)上線(xiàn)前也會(huì)開(kāi)展專(zhuān)門(mén)的安全滲透工作來(lái)降低被攻擊的風(fēng)險(xiǎn)，這導(dǎo)致通過(guò)直接滲透的方式突破系統(tǒng)防線(xiàn)的成功率越來(lái)越低。
除了偶爾“撿漏”外，攻擊方已經(jīng)基本放棄“死磕”目標(biāo)系統(tǒng)，而是通過(guò)其他“迂回”的戰(zhàn)術(shù)和途徑來(lái)尋找攻擊突破口，比如社會(huì)工程學(xué)中的敏感信息收集、郵件釣魚(yú)、小程序、APP、供應(yīng)鏈滲透等。通過(guò)API進(jìn)行滲透就是當(dāng)下攻防對(duì)抗中頗受攻擊方青睞的一種方式，同時(shí)也是防守方需要格外留意和加緊防范的問(wèn)題。
究竟什么是API
常規(guī)定義下，API是應(yīng)用程序接口（Application Programming Interface）的簡(jiǎn)稱(chēng)，其含義比較寬泛，泛指一組定義、程序及協(xié)議的集合。隨著技術(shù)領(lǐng)域的細(xì)分和前后端分離架構(gòu)模式的推廣，App應(yīng)用、小程序、微服務(wù)、云原生等場(chǎng)景的不斷演進(jìn)和普及，API的應(yīng)用也越來(lái)越廣泛。
攻擊者為什么偏好通過(guò)API進(jìn)行滲透
此外，API本身就承擔(dān)著提供數(shù)據(jù)交互的工作，從API上獲取敏感信息再進(jìn)一步滲透是一種常見(jiàn)的社工方式。
API面臨的主要安全威脅
API安全受到當(dāng)下攻防雙方越來(lái)越多的關(guān)注，除了基于SQL注入、XSS、命令注入等傳統(tǒng)攻擊方式外，基于權(quán)限和行為的API濫用、盜用、權(quán)限繞過(guò)等手段也成為攻擊者的常見(jiàn)操作?？偨Y(jié)來(lái)說(shuō)，目前API面臨的安全威脅主要分為以下幾類(lèi)：
◆ 常規(guī)Web應(yīng)用攻擊，如SQL注入、XSS、命令注入等，通過(guò)攻擊獲取系統(tǒng)權(quán)限；
◆ 數(shù)據(jù)竊取，通過(guò)編寫(xiě)爬蟲(chóng)等方式高頻次數(shù)據(jù)查詢(xún)，竊取API接口的數(shù)據(jù)；
◆ 權(quán)限盜用，如通過(guò)系統(tǒng)本身邏輯缺陷、代理、劫持等手段獲取調(diào)用權(quán)限，從而非法獲取數(shù)據(jù)信息；
◆ API接口自身的邏輯缺陷導(dǎo)致的安全威脅，如薅羊毛等行為大多是由于API的邏輯控制不足所導(dǎo)致；
◆ 針對(duì)API接口的類(lèi)DDoS行為，如口令爆破、DDoS攻擊等；
◆ 敏感信息泄漏，數(shù)據(jù)傳輸過(guò)程中未對(duì)敏感信息進(jìn)行處置，例如公民身份證號(hào)、電話(huà)、聯(lián)系地址等信息。
針對(duì)API安全治理的幾點(diǎn)建議
盛邦安全網(wǎng)絡(luò)資產(chǎn)安全治理體系中的幾個(gè)關(guān)鍵路徑為：摸清家底、備案審核、立體化防御、自動(dòng)化運(yùn)營(yíng)和應(yīng)急響應(yīng)。針對(duì)API的資產(chǎn)也不例外，同樣可以遵循類(lèi)似的步驟：
三、為API資產(chǎn)定制專(zhuān)項(xiàng)防護(hù)策略。除傳統(tǒng)的SQL注入、XSS、命令注入等方式外，需要結(jié)合業(yè)務(wù)特征來(lái)定制策略，例如針對(duì)API濫用和盜用行為，需要結(jié)合實(shí)際API的調(diào)用情況進(jìn)行細(xì)顆粒度的配置；
盛邦安全API安全防護(hù)解決方案
盛邦安全API安全防護(hù)解決方案，通過(guò)被動(dòng)流量分析，對(duì)業(yè)務(wù)流量進(jìn)行采集、建模和數(shù)據(jù)分析，全面識(shí)別未知API、臨時(shí)API、歷史遺留API等“暗資產(chǎn)”并結(jié)合API資產(chǎn)導(dǎo)入，形成完整的API臺(tái)賬；通過(guò)對(duì)API的調(diào)用頻率、趨勢(shì)、請(qǐng)求次數(shù)等維度進(jìn)行資產(chǎn)畫(huà)像，形成API行為基線(xiàn)；利用盛邦安全語(yǔ)義引擎、機(jī)器學(xué)習(xí)引擎、規(guī)則檢測(cè)引擎等核心技術(shù)，結(jié)合API盜用、濫用、數(shù)據(jù)脫敏、弱口令等防護(hù)策略，對(duì)API資產(chǎn)進(jìn)行全方位的防護(hù)；在出現(xiàn)異常情況時(shí)，可以提供應(yīng)急響應(yīng)策略進(jìn)行快速處置，構(gòu)建完整的API資產(chǎn)全生命周期安全防護(hù)閉環(huán)管理體系。
