烽火三十六技丨如果要挑一个最省事的攻击突破口，黑客首选……

近几年，说起攻防对抗

大家聊的最多的可能是

0day、钓鱼、供应链风险……

如果非要挑一个

最省事的攻击突破口

那首选就是API

一位渗透高手如是说 

不只渗透高手这么认为

黑客也这么认为

API 到底是什么？

API = 放 着 我 来

 

API，中文名称叫应用程序编程接口

从银行、零售、运输到物联网、自动驾驶汽车、智能城市， API都是现代移动、SaaS 和 Web应用程序的一个关键组成部分。各类购票网站、电商平台，还有与民生息息相关的“一网通办”系统以及信息化建设中常用的数据中台、态势感知平台……不论是内部系统间的调用，还是各类数据汇集平台，都大量使用了API。

班里同学都喜欢Ta

因为Ta实在是

太！能！干！了！

API并不陌生

实则就在你我身边

早上出门，打开手机看看天气

天气APP提取数据用的就是API

到了公司，领导安排出差，赶紧上网查票

购票网站更新数据用的也是API

买好票后，打开OA提交流程，领导秒批

OA应用传递数据用的还是API

这次出差要演示几个产品

客户明确提出要统一管理

研发兄弟说，简单，上API！

我有数据，你有需要

你我之间就只差一个API

为什么黑客对API情有独钟？

为什么API总被攻击者盯上？

概括来说，有三个原因：

原因一：目标好找

API就是给别人来调用的

天然就是公开且暴露的

原因二：性价比高

API携带大量重要数据和认证信息

一旦突破，可直达核心系统

原因三：防不胜防

API权限控制往往不够精细

漏洞利用更容易，可轻易绕过边界防护

除了攻击威胁，由于API通常对应着大量高价值数据，也被各种自动化的爬虫工具高度关注，平台运营者饱受薅羊毛、数据窃取的干扰，而API的使用也常受到流量占用等影响，无法正常工作。

API安全防护怎么做？

传统的API安全依赖API网关与WAF、IPS类防护产品的配合，方案整合复杂并且针对性不足，在实战当中很容易漏防或误报，近年来逐渐被专用的API检测和攻击防护能力所替代。在攻防对抗愈演愈烈的今天，怎样让API的安全保护更加精准、有效？

API资产识别及主动防护新思路

 

主被动结合的API资产发现能力，精准识别API资产攻击面

API资产的暴露面很广，但运营者往往不清楚自己有多少API，也不确定哪些是废弃的、测试的或是有漏洞的，单纯通过人工梳理或网关搜集很难理清，并且无法掌握状态变化。

采用主被动结合的学习方式可以全面识别API资产，一方面通过流量学习来梳理活跃的API数据；另一方面通过主动画像的方式来发现暴露的API资产，同时记录API的状态变化并结合用途属性进行分级分类，区分在用API、废弃API、测试API、带病API和未知API，最终形成动态更新的API资产清单。

基于机器学习的API攻击训练引擎，有效防范0day漏洞威胁

针对API的攻击不同于传统攻击类型，并且API漏洞隐藏较深，通用的检测方法难以形成有效防护。利用机器学习算法构建一套API攻击训练模型，通过持续积累和更新攻击逻辑来训练检测引擎，形成对未知威胁的识别能力，有效防范0day漏洞的威胁。

基于人机识别的BOT攻击检测防护，全面防范业务安全风险

相比其他类型的资产而言，API资产访问规则较为标准，因此更容易遭受BOT攻击，除了加强对API使用权限的鉴别和管控之外，利用人机识别的方法来发现各种自动化脚本、爬虫工具和BOT工具，可以更准确地区分正常调用与非法爬取行为，从而抵御BOT攻击的干扰，提升业务安全的保护能力。

除此之外，对于API的数据保护和流量限制同样很重要，只有API安全可靠才能保证业务调用与协同的安全。后续盛邦安全将继续分享API防护相关话题，欢迎大家在后台留言分享你的观点。

（部分图片来自于互联网，如有侵权，联系删除）

点击阅读原文