近日,IDC 2022 CSO全球網(wǎng)絡(luò)安全峰會(中國站)在上海隆重開幕,會上首次發(fā)布《IDC TechScape:中國數(shù)據(jù)安全發(fā)展路線圖,2022》(以下簡稱:TechScape 路線圖 2022)。盛邦安全入選TechScape 路線圖變革型技術(shù)曲線“API安全”技術(shù)推薦廠商,這是對盛邦安全在API安全技術(shù)領(lǐng)域持續(xù)創(chuàng)新與積累的重要認可。
TechScape 路線圖旨在幫助用戶構(gòu)建全方位數(shù)據(jù)安全治理體系,賦能用戶實現(xiàn)數(shù)據(jù)安全治理目標。本次發(fā)布的TechScape 路線圖 2022 選取了18個新興及重要的數(shù)據(jù)安全技術(shù)進行分析,根據(jù)技術(shù)的市場影響以及各技術(shù)的發(fā)展階段,將其分為變革型技術(shù)、主導(dǎo)型技術(shù)以及機會型技術(shù)三大類別。通過對每個數(shù)據(jù)安全領(lǐng)域單項技術(shù)的部署情況、風(fēng)險程度、市場熱度等內(nèi)容進行細致的研究,針對每項技術(shù)給出三個推薦廠商,從而為最終用戶在產(chǎn)品選型時提供技術(shù)參考。
API 安全防護成為企業(yè)安全體系的重要組成部分
TechScape 路線圖2022報告顯示,應(yīng)用程序規(guī)模正在快速增長,API通過集成應(yīng)用軟件的模式來更好地連接應(yīng)用程序,已經(jīng)成為了應(yīng)用程序連接、創(chuàng)新的基礎(chǔ),給技術(shù)服務(wù)提供商和用戶帶來更多便利。然而,API也開始被眾多攻擊者所關(guān)注,非授權(quán)訪問、數(shù)據(jù)篡改與竊取、分布式拒絕服務(wù)、 SQL 注入等成為了攻擊者運用 API 進行攻擊的常用手段。
由于API 的多樣性、復(fù)雜性,一個應(yīng)用程序可能會連接多個不同語言體系的 API,這無疑給最終用戶的 API 安全防護造成了很大困擾,許多用戶在攻擊事件發(fā)生后才意識到 API 風(fēng)險。然而,由于企業(yè)廣泛存在 API 資產(chǎn)梳理不全面、不準確、開發(fā)過程中的 API 測試能力較弱、安全配置錯誤、身份認證與權(quán)限管控失誤、加密失敗、運行過程中持續(xù)的檢測監(jiān)測難、API 安全意識薄弱等問題,API防護面臨諸多的困境。
盛邦安全API產(chǎn)品市場負責人認為,傳統(tǒng)的依賴API網(wǎng)關(guān)與WAF、IPS等防護設(shè)備聯(lián)動配合的方式,逐漸暴露出漏防、漏報、方案整合復(fù)雜程度高且針對性不足等缺點,越來越多的用戶需要部署專用的API檢測和防護設(shè)備,以實現(xiàn)API的全生命周期安全管理和控制。而IDC 定義下的 API 安全,是一類幫助用戶緩解和保護 API 相關(guān)安全風(fēng)險的解決方案,也是網(wǎng)絡(luò)安全技術(shù)應(yīng)用的重要領(lǐng)域。
盛邦安全RayAPI 保護API安全無虞
盛邦安全基于自身在網(wǎng)絡(luò)資產(chǎn)治理與應(yīng)用安全領(lǐng)域的技術(shù)積累,推出了集API資產(chǎn)梳理與加固保護于一體的安全防護型產(chǎn)品——API安全防護系統(tǒng)(RayAPI),可以在API學(xué)習(xí)畫像的基礎(chǔ)上,對其進行權(quán)限加固、攻擊防護、數(shù)據(jù)保護和綜合審計,提供全面的管控手段。
為了應(yīng)對不同環(huán)境下的各類安全需求,RayAPI逐漸形成了如下五個核心技術(shù)能力:
?主被動結(jié)合的API學(xué)習(xí)引擎:采用主動探測與被動流量分析相結(jié)合的API學(xué)習(xí)引擎,可以全面梳理用戶業(yè)務(wù)中存在的API資產(chǎn),并結(jié)合流量特征進行語義提取,識別API狀態(tài)、用途等屬性,從而實現(xiàn)標簽化的畫像管理,自動梳理出正常API、影子API與問題API等內(nèi)容;
?啟發(fā)式攻擊檢測與防護引擎:采用特征檢測、語義分析與AI學(xué)習(xí)三合一的啟發(fā)式檢測引擎,通過對已知的攻擊規(guī)則與行為特征簡化判斷邏輯,并對引擎持續(xù)訓(xùn)練,提升針對未知風(fēng)險的發(fā)現(xiàn)能力,從而對API相關(guān)的注入攻擊、命令攻擊、異常訪問和非法內(nèi)容進行防護處置;
?基于人機識別的API訪問控制:產(chǎn)品基于流量變化和行為特點等角度進行建模分析,梳理API訪問的基線并進行動態(tài)跟蹤,對未授權(quán)訪問、未知請求、非法調(diào)用和異常高頻請求等行為進行識別判斷,并利用反向校驗、訪問限制和白名單等方式進行訪問控制;
?面向業(yè)務(wù)的API數(shù)據(jù)調(diào)用管控:產(chǎn)品采用全面的檢查點和豐富的數(shù)據(jù)處理模型,能夠結(jié)合業(yè)務(wù)特點來對組織敏感數(shù)據(jù)、個人隱私信息、業(yè)務(wù)關(guān)鍵信息和系統(tǒng)賬戶口令等數(shù)據(jù)進行精準識別、統(tǒng)計和分類梳理,并結(jié)合擦除、替換和訪問限制等手段來達到脫敏保護等目的;
?面向API生命周期的態(tài)勢監(jiān)控:基于時間、空間、業(yè)務(wù)屬性和數(shù)據(jù)類型等多種維度對API資產(chǎn)進行監(jiān)控,對API上線狀態(tài)、運行狀況、調(diào)用可靠性、數(shù)據(jù)合法性以及威脅態(tài)勢進行綜合研判,實現(xiàn)API資產(chǎn)的細粒度審計和可視化分析。
基于領(lǐng)先的 API 防護技術(shù)與豐富的行業(yè)實踐,盛邦安全將持續(xù)優(yōu)化RayAPI,幫助用戶更好地對抗API攻擊,保護API安全無虞。
（免責聲明：本網(wǎng)站內(nèi)容主要來自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿，凡在本網(wǎng)站出現(xiàn)的信息，均僅供參考。本網(wǎng)站將盡力確保所提供信息的準確性及可靠性，但不保證有關(guān)資料的準確性及可靠性，讀者在使用前請進一步核實，并對任何自主決定的行為負責。本網(wǎng)站對有關(guān)資料所引致的錯誤、不確或遺漏，概不負任何法律責任。
任何單位或個人認為本網(wǎng)站中的網(wǎng)頁或鏈接內(nèi)容可能涉嫌侵犯其知識產(chǎn)權(quán)或存在不實內(nèi)容時，應(yīng)及時向本網(wǎng)站提出書面權(quán)利通知或不實情況說明，并提供身份證明、權(quán)屬證明及詳細侵權(quán)或不實情況證明。本網(wǎng)站在收到上述法律文件后，將會依法盡快聯(lián)系相關(guān)文章源頭核實，溝通刪除相關(guān)內(nèi)容或斷開相關(guān)鏈接。 ）
