重塑安全 Akamai支招企業如何應對API攻擊

如今API作為連接服務和傳輸數據的重要通道,已成為數字時代的新型基礎設施,但隨之而來的安全問題也日益凸顯。隨著數字化技術的發展和Web API數量的爆發性增長,API面臨的安全攻擊風險比其他類型的攻擊更加複雜和更難防護。

(Akamai北亞區技術總監劉燁)

Akamai北亞區技術總監劉燁告訴記者,API在企業中有著廣泛的應用,比如應用之間的通信、客戶端API調用。Akamai 3月份發佈的《潛伏在陰影之中:攻擊趨勢揭示了API威脅》報告顯示,API在Web攻擊裏面所佔的比例越來越高,2023年在所有Web攻擊類型裏面,針對API的攻擊佔了將近30%。

API攻擊的新觀察

在區域分佈方面,歐洲的API攻擊佔比非常高,然後是北美、亞洲和拉丁美洲。而在行業方面,商務行業包括電商、金融行業、製造業等是API攻擊的“重災區”。劉燁解釋説,因為這些行業與上下游夥伴的業務交互大多依靠API調用。

特別是金融行業,根據Akamai的網際網路狀況報告,從2022年第二季度到2023年第二季度,亞太地區和日本的金融服務行業的Web應用程式和API攻擊增加了36%,攻擊總數超過37億次。

劉燁表示,金融行業之所以是API攻擊的重點目標行業,是因為金融行業的數據非常重要,包括用戶的資金賬戶資訊,還有金融行業的API交互比較複雜,存在攻擊漏洞。

此外,針對API,攻擊者大多針對HTTP協議本身的漏洞産生攻擊,還有Active Session、數據挖掘、本地文件包含的攻擊手段。應該説,API的攻擊方式是非常多樣化的,企業的防護難度也在增加。

而且OWASP的API Top10安全隱患顯示,API攻擊大多與業務邏輯相關,攻擊者通過找到API交互過程中的業務邏輯漏洞來發起攻擊,造成的影響也是巨大的。

“這些攻擊不是原來針對傳統簽名或特徵識別就可以防護的攻擊,更多的是要看業務邏輯、建立自己的基線和模型。”劉燁説,“做好API安全防護,需要從可視化、評估漏洞風險和業務邏輯三個方面著手。”

具體來説,API管理需要足夠的可視化,實現審計和合規性要求;API的開發需要遵循安全實踐,減少風險點。通過安全産品和更合理的開發,可以大大幫助解決安全隱患。

劉燁表示,許多API的問題可能源於在開發過程中留下的介面,這些介面可能僅供內部調用或用於部門間協作。然而,當這些介面暴露在公網上時,安全隱患便産生了。

安全問題逐漸從基礎層面轉向業務邏輯漏洞,針對業務邏輯的攻擊,可以繞過現有的安全手段,直接獲取更有價值的東西。企業需要特別關注與業務邏輯相關的API部分,建立在不同業務場景下産生的基線,然後確定哪些是異常情況,也就是找到API和業務邏輯的關聯,哪些是違背了業務邏輯的訪問。

Akamai重塑API安全

針對API攻擊,Akamai提供了API Security産品,可以實現影子API、易受攻擊的API、API濫用等管理,形成可觀測的API基線。

劉燁表示,企業面對API攻擊,應該進行如下工作:減少漏洞,進行API發現,然後進行風險審計、行為檢測、響應、事後分析。

在減少漏洞方面,我們需要了解哪些用戶訪問了哪些內容、訪問了哪些端點以及傳輸了什麼內容。Akamai API Security産品利用大量離線分析和基於API訪問日誌的建模來建立基準。

Akamai微分段産品可以防止惡意攻擊者在企業內部橫向移動至核心繫統。因此,結合API安全標準方法論和網路微分段技術,Akamai可以幫助用戶減少漏洞並降低漏洞被利用後的損失。

Akamai把所有的API數據鏡像到Data Lake,分析用戶的API訪問行為,並判斷是否存在風險,並關聯到API防護機制阻斷這類型的攻擊。

當用戶違反了應用邏輯時,應能識別出該用戶。一旦識別出問題,需要給出防護措施的指導,如限制或中斷用戶訪問。事後分析有助於優化整體策略,應對可能的風險和惡意攻擊,提高API安全防護水準,減少潛在漏洞對系統的滲透。

人工智慧技術的流行也為API攻防帶來新的影響。在攻擊方面,人工智慧可以幫助攻擊者進行數據挖掘,構建自動化攻擊,並根據防禦策略調整自身策略,從而加快試錯的速度。在防護方面,人工智慧可以實現行為分析、異常檢測、自適應策略等。

從安全防護方面,Akamai利用AI技術檢測API漏洞和風險,實現行為分析、自動響應和策略部署等。劉燁認為,企業建立自己的安全防護模型需要投入巨大成本,而且企業的數據量通常不足,學習樣本不足可能會影響模型的準確性。

“在建立安全模型基線方面,數據量很重要,這也是Akamai作為守方具有更多優勢的原因,因為我們可以看到更多數據,更精準地建立模型。企業應該積極利用第三方資源,將AI應用於與業務相關的領域。”劉燁説,“儘管人工智慧在許多方面為我們做出了貢獻,但最終決策仍然可能需要專業人員的參與。因此,一個高效的安全團隊仍然至關重要,他們可以利用安全技術,更好地識別問題,並制定策略和操作方法。”

面對API安全挑戰,企業應該採取更加積極主動的防護措施,減少漏洞並實施行為分析、響應和事後分析。通過加強對API安全的關注和投入,企業可以更好地保護其API,守護核心數據資産。(來源:至頂網網路與安全頻道)