Insight

News, thoughts & updates from the industry

10個保護API安全的最佳做法

API在軟體開發行業中持續發揮著重要作用,使用戶體驗更加流暢,並能將數據在伺服器及終端用戶互相傳送。由於API的數據越來越有價值,威脅行為者現在經常將API用作攻擊向量,令安全專業人員更加嚴格地關注API安全。

API安全是指對API進行保護,以防止濫用和網絡攻擊的整個過程。在過去幾年中,業內已經制定了一套最佳做法,以確保API的安全性。需要注意的是,因應組織對API的價值和通過該API傳輸的數據類型,API安全的實施方式而異。儘管如此,以下10個有效保障API安全的做法,對所有企業都適用。

  1. 身份驗證
    身份驗證能讓組織確保正確用戶可以訪問正確的數據,可通過HTTP基本身份驗證、API身份驗證金鑰配置、IdP server tokens、SAML聯合身份、API access tokens以及OAuth與OpenID進行驗證。
  2. 加密
    有助於保持機密性,API加密可以使用標準的單向TLS或雙向互相驗證的TLS進行。
  3. 使用OpenID Connect的OAuth 2.0
    OAuth 2.0「開放授權」是一個標準,旨在允許網站或應用程序代表用戶訪問由其他Web應用程序托管的資源。組織通常會將其API的授權和/或身份驗證委託給第三方身份提供者(IdP)。為了進一步增強安全性,可以添加OpenID Connect形式的額外身份層,用於擴展OAuth2並提供ID tokens。
  4. API的審計、日誌記錄和版本管理
    組織應該擁有專門的團隊來監控API流量,同時確保設置了有效的故障排除流程,以減輕錯誤帶來的影響。API的版本應該有所記錄,特別是在API的路徑中,以追蹤仍在使用的API版本,並在需要時淘汰舊版本。
  5. API Gateway管理
    API Gateway是位於客戶端和後端服務之間的工具,作為反向代理,接受 API 調用,聚合所需的服務,並採取適當的行動。API Gateway讓你省時省力,使組織能夠更輕鬆地監控和控制對 API 的訪問,並會運用圖像令數據更一目瞭然。
  6. 防火牆
    API的防火牆應配置為兩層:第一層是DMZ(非軍事區),具有執行基本安全機制(如檢查消息大小、SQL注入和HTTP安全性)的API防火牆,可能會及早阻止入侵者;再將數據轉移到具有更高級安全功能的局域網(LAN)中。
  7. OWASP API 十大安全風險
    OWASP API 十大安全風險是根據其影響和可利用性進行排名的十大漏洞列表,這些風險涉及到 API 的漏洞。組織需要確保對這十個 OWASP 安全風險都有相應的保護措施。
  8. 保護您的基礎設施
    有效的API安全不僅僅涉及保護API本身,組織還應確保網絡、服務器和軟件,以及第三方服務提供商是最新的。
  9. 數據驗證
    組織應確保在接受數據之前對所有傳入的數據進行驗證,尤其是那些意外的、大型的或來自未知來源的數據。可以使用XML和JSON模式驗證來檢查數據參數,以確保它們不具有惡意。
  10. API執行期保護
    有助於為您的API流量建立行為基準;大致了解您API的重要部分,並利用這些知識來過濾API流量,從而保護您的API免受外部威脅,甚至低速攻擊。

文章來源:link

Get In Touch