保护 API：不可能完成的任务？

毫无疑问，网络攻击正呈上升趋势。根据 Verizon 2021 年《数据泄露调查报告》，当今的威胁形势比以往任何时候都更加危险。各种规模的组织正面临着攻击频率的增加，以及攻击者日益高超的手段。与此同时，攻击者的成功率也在飙升。

分析最新的攻击案例有助于揭示黑客在针对网络防御的空前猛攻中所利用的最常见漏洞和技术。一些最流行的攻击方式，例如那些被列入开放式 Web 应用程序安全项目 (OWASP) 2021 年十大安全风险与漏洞名单的攻击，都涉及窃取或以其他方式破坏凭据。而根据 Akamai 的安全研究，绝大多数（近 75%）的攻击直接针对 API 所持有的凭据。

API 的兴起与潜在危机

难怪应用程序编程接口（通常简称为 API）在几乎每个组织的内部网络中都呈上升趋势。它们是大多数云服务的重要组成部分，而云服务正迅速取代大多数公司、组织和政府机构的本地资产功能。如今，几乎无法在没有云的情况下开展任何业务或任务，尤其是那些面向公众的业务。这意味着 API 必将成为连接每个网络中众多服务的粘合剂。

API 的神奇之处在于，它们在网络资源分配方面通常很小且不显眼。而且它们非常灵活，可以执行几乎任何任务。从本质上讲，API 是为控制或管理特定程序而量身定制的独立软件片段。它们可用于执行非常具体的功能，例如从主机操作系统、应用程序或服务中访问数据。

不幸的是，正是这种灵活性，加上它们通常体积小且容易被安全团队忽视，使得 API 成为了诱人的目标。大多数 API 是由开发人员为了实现完全的灵活性而设计的，例如，即使它们所管理的程序核心发生修改或变更，API 也能继续运行。此外，目前几乎没有统一标准。API 就像雪花一样，许多都是独一无二的，因为它们是为在特定网络上执行特定程序的功能而创建的。如果编写代码的开发人员安全意识不足，或者没有专门关注安全性，那么它们就可能（而且很可能会）存在各种漏洞，从而被攻击者发现并利用。

令人遗憾的是，这个问题正迅速失控。根据 Gartner 的预测，到 2022 年，涉及 API 的漏洞将成为所有网络安全类别中最常见的攻击向量。

攻击者想要破坏 API 的关键原因，并非为了接管 API 执行的具体功能，而是为了窃取与之关联的凭据。除了漏洞百出之外，API 最大的问题之一是它们在核心功能方面往往权限过高。为了简便起见，大多数 API 在网络上拥有接近管理员级别的访问权限。如果攻击者控制了一个 API，他们通常可以利用其权限对网络发起更深入、更重大的入侵。而且，由于 API 有权执行攻击者重定向的任何任务，其行为往往能绕过传统的网络安全监控，因为 API 凭借其“全场通行”的 VIP 权限，并没有违反任何规则。

如果组织不加防范，API 在其网络和云中的兴起，一旦被攻击者盯上，也可能引发严重问题。

保护 API

尽管 API 面临的形势日益严峻，但远非无药可救。目前，通过DevSecOps 等运动，人们正在努力提高开发人员的安全意识，并将安全性和最佳实践融入到从开发、测试到部署的软件创建的各个环节。对于任何希望在 2022 年及以后扭转 API 被利用趋势的组织来说，将 API 安全纳入培训至关重要。

话虽如此，在 API 安全方面，目前仍有一些非常好的最佳实践可以实施。

首先要为所有 API 实施严格的身份控制。在分配权限时，几乎应该将它们视为人类用户。仅仅因为 API 仅用于执行特定功能，你仍必须考虑如果攻击者能够破坏它会发生什么。考虑使用基于角色的访问控制。理想情况下，你应该最终对 API 和用户应用零信任原则，但这通常是一个漫长的过程。良好的身份管理是一个很好的起点。只需确保将 API 纳入该计划即可。

你还应尽可能严格控制 API 发出的各种调用。如果将这些调用限制为高度情境化的请求，攻击者就很难将其用于恶意目的。你甚至可以对 API 进行分层，让初始 API 向另一个明确知道该查找什么、忽略什么的 API 发出高度情境化的调用。即使攻击者能够利用并破坏链条中的某个 API，这也是限制威胁行为者可用功能的有效方法。

针对 API 的威胁确实令人感到不知所措。但通过实施最佳实践，并协助和奖励那些成为安全拥护者的开发人员，情况就不会显得那么绝望。通过良好的培训和实践，你可以建立一个强大的安全程序，即使攻击者以某种方式破坏了你那些微小但必不可少的 API 主力，他们也几乎没有回旋余地。