近日,咨詢機構(gòu)Gartner發(fā)布了Market Guide for API Management, China(《中國API管理市場指南》,2023年8月),綠盟科技被列為代表供應(yīng)商。
隨著互聯(lián)網(wǎng)應(yīng)用的不斷多元化和復(fù)雜化,應(yīng)用服務(wù)化已經(jīng)成為一個顯著的趨勢。在越來越多的場景中,API被廣泛應(yīng)用于應(yīng)用架構(gòu)中,用于應(yīng)用間的數(shù)據(jù)傳輸和控制。同時,隨著傳輸數(shù)據(jù)量和敏感性的增加,API面臨著越來越頻繁和多樣化的攻擊。因此,API安全已經(jīng)成為眾多企業(yè)高度關(guān)注的問題。為了保護數(shù)據(jù)安全,《信息安全技術(shù)個人信息安全規(guī)范》《數(shù)據(jù)安全法》和《個人信息保護法》相繼出臺。在各種法律法規(guī)、國標(biāo)行標(biāo)中,都能看到API作為數(shù)據(jù)接口,在數(shù)據(jù)的傳輸、使用、共享階段所起到的作用和需要解決的安全問題。
與此同時,隨著API的使用越來越多,也有越來越多的攻擊專門針對API而來。2023年6月,本田動力設(shè)備的電商平臺存在API漏洞,攻擊者可為任何賬戶重置密碼。2022年7月,Twitter的一個API漏洞,導(dǎo)致數(shù)百萬用戶數(shù)據(jù)被泄露。CVE官網(wǎng)上,與API相關(guān)漏洞已達3000多個,逐漸形成了以API為媒介的軟件供應(yīng)鏈安全風(fēng)險。各行各業(yè)由于自身業(yè)務(wù)的特點和技術(shù)的應(yīng)用,也面臨著不同的API安全威脅。
綠盟科技API安全解決方案
綠盟科技API安全解決方案,以API生命周期為脈絡(luò),通過不同技術(shù)手段解決API設(shè)計、開發(fā)、測試、上線發(fā)布、運營監(jiān)控、下線中面臨的安全風(fēng)險。以數(shù)據(jù)安全生命周期為導(dǎo)向,在數(shù)據(jù)傳輸、數(shù)據(jù)開發(fā)測試、數(shù)據(jù)共享交換階段,從API視角解決數(shù)據(jù)安全的監(jiān)測、管控、處置問題。以應(yīng)用架構(gòu)為基礎(chǔ),覆蓋數(shù)據(jù)中心機房、公有云、私有云、云原生等不同的API架構(gòu)風(fēng)險。按照不同類型的API所面臨的安全風(fēng)險,應(yīng)用不同的防護手段,貼近客戶場景,保障業(yè)務(wù)連續(xù)性,提供安全價值。
綠盟科技全生命周期API安全治理體系
API安全能力介紹
API安全審計能力
綠盟科技推出API安全檢測與響應(yīng)方案(簡稱ADR方案),應(yīng)對API安全監(jiān)測與審計溯源場景。ADR方案通過API安全運營平臺+流量探針基礎(chǔ),實現(xiàn)API安全運營工作。
ADR可發(fā)現(xiàn)針對API的攻擊特征、異常行為、敏感數(shù)據(jù)泄露和API自身脆弱性,并結(jié)合API探針整合各省份數(shù)據(jù),匯總API資產(chǎn)數(shù)據(jù)及事件信息,自動化風(fēng)險研判,將識別到的資產(chǎn)變更及風(fēng)險事件與指揮調(diào)度平臺的工單系統(tǒng)聯(lián)動。同時ADR方案是為數(shù)據(jù)安全大方案量身定做的子方案,配合數(shù)據(jù)分級分類、訪問控制、脫敏水印、數(shù)據(jù)流轉(zhuǎn)等能力建設(shè)一體化數(shù)據(jù)安全體系。
云原生API安全能力
綠盟科技憑借對云原生技術(shù)的探索和多年積累,提出云原生API安全解決方案。不僅支持daemonset、deployment等多種部署模式,還能適配Kubernetes、Openshift和Service Mesh等多種云原生管理框架。通過統(tǒng)一的云原生API安全管控平臺,對于所有的云原生API安全探針進行管理、安全數(shù)據(jù)分析。通過云原生API安全探針,不僅能捕獲pod級別的API流量,不放過任何一次東西向流量會話;還能跟蹤繪制API調(diào)用訪問序列,形成云原生內(nèi)部的業(yè)務(wù)鏈路可視化。
API安全防護能力
綠盟科技API安全運行時防護系統(tǒng),內(nèi)置豐富的API防護規(guī)則,針對十?dāng)?shù)種不同類型的Web攻擊特征進行防護,且通過個性化的模板進行封裝,一鍵應(yīng)用,快速生效,可有效防護對API的注入攻擊、開源框架漏洞攻擊、遠程命令執(zhí)行攻擊等。同時通過自動化工具識別技術(shù),避免黑灰產(chǎn)對API的濫用,邏輯漏洞利用或者批量爆破登錄接口等操作。基于準(zhǔn)確的檢測引擎,可快速阻止針對API的攻擊行為和調(diào)用。避免攻擊者對于API的利用。
API訪問控制能力
綠盟科技API安全網(wǎng)關(guān)可以按需對API進行訪問控制,提供細粒度、自定義、貼合業(yè)務(wù)流程的API訪問與數(shù)據(jù)傳輸控制點。通過豐富的授權(quán)模型,可以保證在不同場景下根據(jù)限定API訪問權(quán)限,還能按需對API傳輸數(shù)據(jù)進行脫敏。也能通過API審計能力,記錄賬號對于API、數(shù)據(jù)的訪問詳細信息,發(fā)現(xiàn)不合規(guī)的數(shù)據(jù)調(diào)用、脫敏不充分、敏感數(shù)據(jù)泄露等場景。
API資產(chǎn)識別與管理能力
綠盟科技API安全解決方案,可結(jié)合已形成的數(shù)據(jù)分級分類規(guī)范,對流動中的數(shù)據(jù)進行監(jiān)控和審計,發(fā)現(xiàn)敏感數(shù)據(jù)的不合規(guī)傳輸與泄露。同時,配合醫(yī)院網(wǎng)絡(luò)建設(shè),在內(nèi)、外網(wǎng)分別架設(shè)兩套API安全審計系統(tǒng),分別針對DMZ區(qū)的API流量和內(nèi)網(wǎng)出口區(qū)的API流量進行監(jiān)控,形成API資產(chǎn)列表。
通過部署API安全解決方案,能夠快速梳理出API資產(chǎn)、業(yè)務(wù)系統(tǒng)列表、賬號資產(chǎn),并將三者進行關(guān)聯(lián),形成明確的資產(chǎn)信息。同時,通過與分級分類規(guī)則的聯(lián)動,能夠同時覆蓋靜態(tài)數(shù)據(jù)與動態(tài)數(shù)據(jù)的分級分類,觀測敏感數(shù)據(jù)的流動性,避免關(guān)鍵數(shù)據(jù)的泄露。配合研判和溯源模塊,能夠快速發(fā)現(xiàn)安全事件、追溯泄露源頭。
綠盟科技深耕API安全多年,配合多年的攻防實戰(zhàn)經(jīng)驗,形成一套覆蓋全生命周期,包含檢測、防護、分析、響應(yīng)的API安全解決方案。覆蓋API資產(chǎn)管理、攻擊檢測、異常行為分析、濫用識別、脆弱性發(fā)現(xiàn)、訪問控制等能力,同時也在不斷探索API安全的外延場景與創(chuàng)新的技術(shù)方案。我們認(rèn)識到API經(jīng)濟為業(yè)務(wù)帶來價值的同時,也存在著各種各樣的安全風(fēng)險。由于API不可見的特性,很容易成為安全體系建設(shè)中的“灰犀牛”。綠盟科技API安全解決方案致力于貼合行業(yè)場景,為大家切實解決API所引入的安全問題。
參考文獻
[1]Market Guide for API Management, China
說明:Gartner未在其報告中支持任何廠商、產(chǎn)品或服務(wù),也并不建議科技客戶只選擇最高評分或其它指定的廠商。Gartner報告含有其研究組織的意見,但該研究意見不應(yīng)被視作事實陳述。針對此報告,Gartner不承擔(dān)相關(guān)明示或暗示的保證,包括任何適銷性或適用于特定目的的保證。Gartner是Gartner有限公司和/或其附屬公司在美國及全球的注冊商標(biāo)和服務(wù)商標(biāo),經(jīng)許可在此使用,保留所有權(quán)利。GARTNER 是 Gartner, Inc. 和/或其關(guān)聯(lián)公司在美國和國際上的商標(biāo)和服務(wù)標(biāo)識,并在獲得許可的情況下在此使用。保留所有權(quán)利。
（免責(zé)聲明：本網(wǎng)站內(nèi)容主要來自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿，凡在本網(wǎng)站出現(xiàn)的信息，均僅供參考。本網(wǎng)站將盡力確保所提供信息的準(zhǔn)確性及可靠性，但不保證有關(guān)資料的準(zhǔn)確性及可靠性，讀者在使用前請進一步核實，并對任何自主決定的行為負責(zé)。本網(wǎng)站對有關(guān)資料所引致的錯誤、不確或遺漏，概不負任何法律責(zé)任。
任何單位或個人認(rèn)為本網(wǎng)站中的網(wǎng)頁或鏈接內(nèi)容可能涉嫌侵犯其知識產(chǎn)權(quán)或存在不實內(nèi)容時，應(yīng)及時向本網(wǎng)站提出書面權(quán)利通知或不實情況說明，并提供身份證明、權(quán)屬證明及詳細侵權(quán)或不實情況證明。本網(wǎng)站在收到上述法律文件后，將會依法盡快聯(lián)系相關(guān)文章源頭核實，溝通刪除相關(guān)內(nèi)容或斷開相關(guān)鏈接。 ）
