“現在去政府辦事，越來越簡單方便了！”剛剛給公司辦完工商審批手續的行政小王如此感嘆，企業工商數據已經全部聯網同步，一個窗口全部搞定。

小王感受到的改變，要歸功于全國各地推廣的“最多跑一次”改革。所謂“最多跑一次”，就是通過“一窗受理、集成服務、一次辦結”的服務模式創新，讓企業和群眾到政府辦事實現“最多跑一次”的行政目標。更通俗的說，就是讓“數據多跑路、群眾少跑腿。”

路上出行會存在交通事故的風險，同樣在“數據多跑路”的過程中，由于海量的公民個人信息、企業商業數據等在各個部門和系統中流轉和分享，甚至對外開放，就帶來了不可忽視的數據泄露、黑客攻擊等安全風險。這其中，作為數字世界中的“信息高速公路”，API數據接口服務可以說是首當其沖。

某市大數據局在積極推動“互聯網+政務”深度融合、政府數字化轉型的過程中，廣泛依托API接口實現各級各部門信息系統的互聯互通。其中對外部的應用開放，這其中暗藏了巨大的數據安全隱患。為此，該市大數據局通過與奇安信合作，以API安全為核心，兼顧加密流量威脅，構建起了覆蓋 API 資產可視化、API 風險可視化、行為可視化、數據安全事件可視化、加密流量可視化的全閉環數據安全保護體系。

數據在“高速公路”狂奔，安全風險伴隨而來

據介紹，該市大數據局主要職責是組織、指導、協調全市公共數據和電子政務發展管理工作，深化“最多跑一次”改革，落實支撐改革相關的信息系統建設任務，推進“互聯網+政務”深度融合、政府數字化轉型工作等。為此，大數據局內部部署了市公共數據共享系統、市公共數據系統、市多云管控系統、市經濟運行監測分析數字化系統、市公用事業信息化監管服務系統、市住房公積金信息管理系統等多個業務系統。

API作為應用連接、數據傳輸的重要通道，在該市公共數據和電子政務發展管理的數字化轉型中被廣泛應用。依托API數據接口服務，全市各部門機構可以輕松獲取和利用各種數據資源，方便地共享數據，實現信息流動和互聯互通，進而提高運營效率，優化決策和服務，促進創新和發展。

然而，API帶來便捷性和靈活性的同時，其暗藏的安全風險也伴隨而來。國際權威咨詢機構Gartner曾預測，2022年，API濫用將成為導致企業Web應用程序數據泄露的最常見攻擊媒介。到2024年，API濫用和相關數據泄露將幾乎翻倍。從全球范圍來看，2023年API安全事件頻發，威脅愈發嚴重，涉及多家知名企業。在國內，各地不斷出現數據泄露事件，包括某知名大學的學生信息泄露等等，很多都是由 API接口安全問題導致。奇安信研究顯示，開放的業務能力越多，API使用范圍越廣泛，API暴露的攻擊面也就越大。

這對這些情況，該市大數據局通過和奇安信合作，系統梳理了當前存在的主要API安全風險，具體集中在以下幾個方面：

第一是API資產梳理不清，無法提前洞察潛在風險。由于業務系統的分期上線以及安全部門與業務部門職責不同，導致了安全部門無法實時掌握當前系統有多少API、哪些是長期不活躍的API、哪些是已下線的API、哪些是僵尸API、業務系統對外暴露了哪些API、以及是否存在未經審批登記的API等一系列問題，用戶對API資產情況掌握不清晰，更無法提前洞察潛在的數據風險。

第二是數據泄露無感知，安全事件總是后知后覺。攻擊者可以通過利用API接口存在的脆弱性批量獲取企業敏感信息，且數據在傳輸的過程中未對敏感信息進行處置，例如公民身份證號、電話、聯系地址等信息，這樣就導致大量數據在悄無察覺的情況下，被大量竊取。

第三是漏洞攻擊無防護，成為攻擊者最大突破口。API由于設計者或歷史遺留等原因存在邏輯缺陷、配置錯誤等安全漏洞，惡意攻擊者常常利用API漏洞進行攻擊。針對API漏洞利用攻擊行為，如何進行防范、如何精確控制訪問行為；針對漏洞攻擊、高頻訪問等異常行為如何進行快速安全防護，成為了困擾當前企業安全建設的難點。

第四是缺乏溯源響應機制，攻防對抗中限于被動。數據被竊取后，大數據局往往無法快速定源或響應，很容易造成被通報處罰等事件，嚴重影響政府聲譽，尤其在近年的實戰攻防演習中，總是出于被動局面。。

最后是對鏈路加密檢測無手段，存在威脅監控盲區。該市大數據系統內部全部采用Https加密方式進行傳輸，過去無解密手段，無法感知加密流量中夾帶的攻擊與威脅，這就造成了威脅監控的盲區。根據國外機構調研報告顯示，超過95%企業表示遭遇過由于加密流量引起的安全事件。因此，對API傳輸的數據進行高效解密是安全保護的基礎。

高效解密+API全閉環防護，為數字政務系上“安全帶”

在API接口越來越頻繁受到攻擊、成為數據安全核心隱患的情況下，奇安信為該市大數據局提供了“API安全衛士+流量解密編排器（SSLO）”的整體解決方案。此方案幫助客戶看見加密流量威脅的同時，進一步基于API檢測設備，通過API資產識別、API敏感數據傳輸識別、API漏洞攻擊檢測與防護、API訪問控制等技術解決企業當中API資產不清、API漏洞利用攻擊無防護手段，API敏感數據泄露無感知、API通信行為無審計等一系列API安全問題。

第一是高效流量解密，讓隱藏威脅無所遁形。

針對該大數據局系統內部全部采用Https加密方式進行傳輸的情況。奇安信通過在用戶南北向核心交換機上，透明串接奇安信流量解密編排器（SSLO）解密設備做代理解密，再對多個Https業務進行解密策略配置，解密設備對兩側密文進行解密操作后，將解密后的明文進行復制并轉發到鏡像口，最終通過鏡像口將明文傳遞給旁路的流量分析設備進行安全檢測，檢測完成后將流量日志和告警日志上傳至API安全分析與管理系統。

API安全分析與管理系統拿到解密后的明文流量后，可幫助大數據局實現全面API資產梳理、API資產脆弱性檢測等操作，管理和保護API資產。

圖：該市大數據局API安全衛士聯動流量解密編排器的部署

       第二是全面的資產梳理，形成可視化資產清單。

資產梳理市API安全衛士的重要功能，它可以通過內置規則自動識別API類型及公共組件，通過自動打標并進行分類統計，全面管理API資產。在該項目中，奇安信通過API安全衛士幫助某大數據局全面梳理了API資產，發現未知API、僵尸API，最終形成可視化API資產清單。

第三是風險可視化管理，并實現精細化策略管控。

通過API安全衛士幫助某大數據局發現內部API各種自身邏輯缺陷。主要包括未授權訪問的問題、弱認證問題、過度數據暴露問題、高敏感接口問題、以及接口誤暴露問題等。

其中，奇安信通過API安全衛士幫助某大數據局發現異常高頻訪問、文件批量下載、敏感數據批量爬取、以及接口參數遍歷等API異常訪問行為，發現潛在的API安全風險，將風險前置。并通過API安全衛士幫助某大數據局分析“誰通過什么方式的API，傳輸了什么類型的敏感數據，傳輸了多少”的效果，實現敏感信息的數據傳輸分析。

在運營分析方面，通過API安全衛士幫助某大數據局分析“什么人（攻擊者）通過哪個接口，什么攻擊方式手法，攻擊了誰（受害者），攻擊結果是什么”的效果，極大提升運營人員的分析效率。

在風險管控方面，通過API安全衛士幫助該大數據局在發現安全風險后，通過精細化策略管控避免惡意攻擊者通過惡意請求、DDoS攻擊等手段對API進行攻擊，導致系統癱瘓、數據泄露等的嚴重后果。

第四是滿足企業業務合規審查

合規是企業經營的底線和生命線，大數據局也同樣需要遵循《數據安全法》、《個人信息保護法》等相關法律法規的要求。在該項目中，大數據局業務通過API來實現數據的交互，而API應用因為其設計的獨特性，更多的業務邏輯是在客戶端執行，服務端往往會直接將包含的所有數據（其中包含很多敏感數據）發送給客戶端，由客戶端來按需使用。通過部署API安全衛士快速識別和審查 API 請求/響應的內容，進而滿足該大數據局安全合規的要求。

結束語：

奇安信數據安全專家認為，某市大數據局在API數據共享面臨的安全困局，也是數據安全最為典型的問題之一。在技術變革快，安全風險復雜，合規性要求越來高的背景下，數據安全存在著面臨“難看清”、“難管好”、“難防住”等困境。在這種情況下，奇安信推出了“奇安天盾”數據安全保護系統（簡稱：奇安天盾），用“六全”框架實現“三能”：風險能看清，內鬼能管好，攻擊能防住；將“事件監測、風險分析、策略調整、訪問控制”融為一套完整閉環體系，彌補了對于數據保護一體化能力的缺失。

國際市場研究與咨詢機構Gartner指出，“無論產品形態如何，API都存在自己獨特的風險，如API資產清單不全、API漏洞等。因此，用于網絡、應用或者數據的安全產品并不能簡單地復用于基于業務的API風險管控。”作為Gartner《中國API管理市場指南》中API安全領域的代表性供應商，奇安信認為，API安全是數據安全保護中最重要的一環，也是奇安天盾體系化能力的核心組件。該市大數據局在以API安全為核心的數據安全實踐，無疑為各省市大數據局數字化改革中的數據安全體系化建設，探索出一條可被廣泛借鑒和復制的標桿示范。