《奇安信：API安全能力建设桔皮书（2022）（35页）.pdf》由会员分享，可在线阅读，更多相关《奇安信：API安全能力建设桔皮书（2022）（35页）.pdf（35页珍藏版）》请在三个皮匠报告上搜索。

1、 API 安全能力建设桔皮书 奇安信集团 股票简称：奇安信 股票代码：688561 第 2 页，共 35 页 API 安全能力建设 桔皮书 奇安信科技集团股份有限公司 2022 年 1 月 版权声明版权声明 本文中出现的任何文字叙述、文档格式、插图、图片、方法、过程等内容，除另有特别注明，版权均为奇安信集团奇安信集团（指包括但不限于奇安信科技集团股份有限公司、网神信息（指包括但不限于奇安信科技集团股份有限公司、网神信息技术（北京）股份有限公司、北京网康科技有限公司）技术（北京）股份有限公司、北京网康科技有限公司）所有，受到有关产权及版权法保护。任何个人、机构未经奇安信集奇安信集团团的书面授权许

2、可，不得以任何方式复制或引用本文的任何片段。前前 言言 对数据要素掌控和利用能力，已成为经济增长的核心驱动力。在数字化时代，数据是重要资产，数据的安全是网络安全乃至国家安全和社会安定不可或缺的重要要素。在云计算、大数据、人工智能等新兴技术的推动下，众多行业都在经历一场轰轰烈烈的数字化转型大潮。伴随着数字化进程的发展，API 作为连接数据和应用的重要通道，在物联网、微服务、云原生等场景都得到了非常广阔的应用，通过 API 的能力将企业的数据资源整合，即将其服务、能力和资产打包到可重复利用的模块化软件中，让数据在不同环境中使用，包括将其与合作伙伴及其他第三方有价值的资产结合起来。API在数字化转型

3、中的扮演的角色将愈发重要，通过 API 进行数据交换成为最重要的传输方式之一，也因此成为攻击者窃取数据的重点攻击对象。近两年来因 API 安全问题导致的数据泄漏事件频频发生，可以看到 API 安全是一个常见但似乎又不为人熟知的挑战。行业对 API安全的认识仍处于早期，OWASP API Security Top 10（失效的对象级授权、失效的用户认证、过度的数据暴露、资源缺失&速率限制、功能级别授权已损坏等）指出了 API 最常见的安全风险。本报告结合面向实战化的安全实践，通过将 API 的安全能力和组件，嵌入到业务体系，构建自适应的内生安全机制。按照“发现”、“检测”、“防护”、“响应”的安

4、全模型进行 API 安全体系建设，并不断地创新与迭代，提供万物互联时代的数据交换、大规模分布式架构、云计算、数字化改造等场景的数据安全保障 目目 录录 一、一、数字化转型浪潮催生数字化转型浪潮催生 APIAPI 高速发展高速发展 .1 1 (一)API 发展历程.1 1.单体架构.2 2.分布式架构.3 3.SOA 架构.4 4.微服务架构.4 5.Serverless 架构.5 6.Cloud Native 云原生架构.6(二)数字化转型带来云原生的发展.6 1.云原生赋能政企数字化转型.7 2.云原生成为驱动业务增长的重要引擎.7 3.云原生是下一代云计算的技术核心.7(三)API 成为资

5、源连接利器.8 1.API 是云原生架构的技术核心之一.8 2.数字化转型依赖 API 整合能力.8 3.API 成为企业发展的战略需求.9(四)API 成为政企数字化转型的核心能力.9 1.API 是一种核心能力.9 2.API 化是一种必然的趋势.10 3.API 是企业的核心数字资产.10 二、二、APIAPI 爆发式增长催生新的安全挑战爆发式增长催生新的安全挑战 .1010 (一)API 防护缺失已成数据安全最大风险敞口.10(二)API 安全面临的主要安全问题.12 1.缺乏可见性.12 2.攻击面增加.13 3.多种攻击隐患.15 4.敏感数据泄漏.17 三、三、围绕围绕 APIA

6、PI 安全构建全新数据安全体系安全构建全新数据安全体系 .1818 (一)场景变化带来的防护难点.18(二)新技术、新业务带来的防护难点.18(三)API 格式的多样性、复杂性面临的防护难点.19(四)传统防护手段无法应对 API 安全风险.19 四、四、APIAPI 安全防护要求与建议安全防护要求与建议 .2222 (一)持续构建发现能力.23 1.API 资产发现与管理.23 2.API 漏洞发现.24 3.API 滥用发现.24(二)持续构建检测能力.24 1.针对 API 漏洞攻击检测.24 2.逻辑异常攻击检测.24 3.异常行为检测.24 4.数据异常流转及泄漏检测.25 5.失陷