2020年应用程序接口（API）数据安全研究报告_57页_7mb

应用程序接口（API）数据安全研究报告总结

核心内容

本报告由中国信息通信研究院安全研究所发布，旨在分析近年来API在数据安全方面所面临的内外部风险，并提出针对性的安全建议。报告指出，随着云计算、大数据、人工智能等技术的发展，API已成为数据传输和系统交互的关键技术，但也带来了数据安全的挑战。报告从API的基本情况、安全态势、风险分析、安全建议及安全实践等多个方面，为企业提供全面的API安全管理指导。

主要观点

• API的重要性：API是前后端数据交互的桥梁，是企业系统间协作的重要工具，其安全状况直接影响企业数据安全。
• API分类：按开放程度分为开放API、面向合作方API和内部API；按核心技术分为SOAP API、RESTful API和RPC API。
• API安全问题：API成为数据泄露、网络攻击、爬虫滥用等安全事件的重要载体。
• API安全标准：我国已出台多个行业标准对API安全提出要求，但尚未形成统一的API数据安全标准体系。
• 安全建议：企业应从事前、事中、事后三个阶段加强API安全管理，包括统一规范、实时监控、应急响应等。

关键信息

一、API基本情况

• 定义：API是预先定义的函数，用于程序间的数据交互和功能触发。
• 组成要素：
  • 通信协议（如HTTPS）
  • 域名
  • 版本号
  • 路径（端点）
  • 请求方式（GET、POST、PUT、DELETE）
  • 请求参数与响应参数
  • 接口文档

二、近年来API安全态势

• 数据泄露事件频发：Facebook、美国邮政服务、T-Mobile、Twitter、考拉征信、新浪微博、微信等企业均发生因API安全问题导致的数据泄露事件。
• 攻击手段多样：包括API漏洞利用、网络爬虫、异常调用、恶意参数篡改、第三方数据留存等。
• 安全事件影响广泛：涉及用户隐私、企业数据、社会影响，甚至引发法律追责。

三、安全风险分析

外部威胁因素

1. API漏洞导致数据被非法获取
2. API成为网络攻击目标（如重放攻击、DDoS、注入攻击等）
3. 网络爬虫滥用API获取数据
4. 合作第三方非法留存接口数据
5. API请求参数易被篡改

内部脆弱性因素

1. 身份认证机制不健全
2. 访问授权机制不足
3. 数据脱敏策略缺失
4. 返回数据筛选机制不完善
5. 异常行为监测缺失
6. 特权账号管理不当
7. 第三方管理存在漏洞

安全建议

事前

1. 统一API设计开发规范，减少安全隐患。
2. 强化API上线、变更、下线环节的实时监控，确保全生命周期安全。
3. 完善身份认证和授权管理机制，强化接口接入安全审核。
4. 健全API安全防护体系，提升抵御外部威胁能力。
5. 加大API安全保护宣传力度，提高员工安全意识。

事中

1. 加强API身份认证实时监控能力，识别异常行为。
2. 加强异常行为实时监测预警能力，防范内部违规和外部攻击。
3. 加强数据分类分级管控能力，实现敏感数据的精准管理。
4. 加强API数据流向监控能力，防止敏感数据非法传输。

事后

1. 建立健全应急响应机制，及时处理数据泄露事件。
2. 建立健全日志审计机制，记录和分析API调用行为。
3. 建立健全数据泄露溯源追责机制，快速定位责任主体。

关键安全实践

全知科技API安全实践

• 开放API：通过生命周期监控、认证授权、防爬虫、防泄漏等技术手段提升安全性。
• 面向合作方API：建立供应商接口管理制度，实施敏感数据保护策略和自动化审计。
• 内部API：实施API生命周期监控、身份验证、敏感信息展示监测、账号风险监测、数据行为威胁监控、敏感数据暴露监测、特权账号行为审计及自动化溯源。

观安API安全实践

• 安全方案：接口敏感级别梳理、深度分析系统、行为轨迹描绘、数据安全态势分析、数据挖掘。
• 技术手段：协议解析、数据分类分级、敏感数据识别、API全盘发现、API可视化管控、API安全检测、流量数据收集与分析、审计告警、异常数据流动行为检测、回溯取证。
• 实践应用：运营商计费类API保护、互联网企业认证API对外开放安全防护。

爱加密API安全实践

• 安全方案：源码防护、API安全性检测、数据传输检测。
• 技术手段：
  • 源代码混淆与加固
  • API敏感信息获取检测
  • 本地数据存储安全检测
  • 日志数据安全检测
  • 证书文件明文存储检测
  • API探针技术与威胁感知系统
• 实践应用：
  • 运营商计费类API保护
  • 互联网企业认证API对外开放安全防护
• 产品研发：建立移动SDK/API资产互联网监控平台，提升安全预警与防护能力。

总结

API技术在推动数据流通与系统交互的同时，也带来了数据安全的挑战。企业应建立全面的API安全管理体系，涵盖设计、开发、上线、运行、下线及应急响应等环节。同时，需关注内部和外部安全威胁，加强身份认证、访问授权、数据脱敏、异常行为监测等关键措施。通过引入先进的安全技术和管理手段，企业能够有效提升API安全性，降低数据泄露和攻击风险，保障业务数据的完整性与隐私性。