API 集成通常處理敏感數(shù)據(jù)，例如員工的個(gè)人身份信息 (PII)、公司的財(cái)務(wù)信息，甚至客戶(hù)的支付卡數(shù)據(jù)。

保護(hù)這些數(shù)據(jù)免受攻擊者的攻擊，同時(shí)確保集成按照所需的水平執(zhí)行，需要采取多種安全措施。

由于越來(lái)越多的組織正在尋求構(gòu)建面向客戶(hù)的 API 集成（即產(chǎn)品集成），因此采取這些措施只會(huì)變得越來(lái)越重要。（最近針對(duì) 2024 年產(chǎn)品集成狀況報(bào)告對(duì) 260 名產(chǎn)品經(jīng)理和工程師進(jìn)行了調(diào)查，我們發(fā)現(xiàn) 83% 的公司已將產(chǎn)品集成確定為今年的首要任務(wù)之一。）

組織可以通過(guò)采取以下步驟大規(guī)模構(gòu)建安全的內(nèi)部和面向客戶(hù)的 API 集成：

使用 API 網(wǎng)關(guān)采用整體安全方法

API 網(wǎng)關(guān)使用多種方法來(lái)最小化和防止跨 API 端點(diǎn)的威脅。其中包括以下內(nèi)容（除其他外）：

• 記錄 API 請(qǐng)求，以便輕松審核
• 應(yīng)用全球速率限制以避免潛在的濫用并更公平地服務(wù)用戶(hù)
• 阻止來(lái)自已知執(zhí)行惡意活動(dòng)的特定 IP 地址和/或區(qū)域的請(qǐng)求

使用作用域遵循最小權(quán)限原則

即使用戶(hù)經(jīng)過(guò)身份驗(yàn)證和授權(quán)，他們也可能不應(yīng)該（也不需要）從給定端點(diǎn)訪問(wèn)所有數(shù)據(jù)。

例如，用戶(hù)需要來(lái)自公司人力資源信息系統(tǒng) (HRIS) 的員工的具體詳細(xì)信息（名字、姓氏、經(jīng)理和職位）。用戶(hù)應(yīng)該能夠通過(guò) API 請(qǐng)求獲取此信息，同時(shí)無(wú)法檢索他們不需要的高度機(jī)密信息（例如，員工的社會(huì)安全號(hào)碼和銀行信息）。

由于范圍可以為訪問(wèn)令牌定義自定義權(quán)限，因此它們可以幫助促進(jìn)上述場(chǎng)景。如果訪問(wèn)令牌落入壞人之手，范圍可以防止許多負(fù)面后果，因?yàn)楂@得訪問(wèn)令牌的個(gè)人只能訪問(wèn)一組有限的數(shù)據(jù)和功能。

定期更新軟件以盡量減少薄弱環(huán)節(jié)

為了確保應(yīng)用程序的漏洞得到修補(bǔ)并不斷提高其安全能力，應(yīng)盡可能頻繁地更新應(yīng)用程序。

實(shí)現(xiàn)此目的的一種方法是在給定應(yīng)用程序有可用更新時(shí)打開(kāi)警報(bào)。如果這不是一個(gè)選擇，還存在其他方法，例如更新操作系統(tǒng)或使用可以自動(dòng)更新應(yīng)用程序的第三方工具。

值得注意的是，即使應(yīng)用程序安裝了最新更新，它仍然可能存在安全風(fēng)險(xiǎn)。靜態(tài)應(yīng)用程序安全測(cè)試 ( SAST ) 工具可以幫助識(shí)別和解決更新的應(yīng)用程序中存在的任何問(wèn)題。

對(duì)給定的 API 端點(diǎn)實(shí)施特定的速率限制

速率限制可以防止?jié)撛诘墓粽哐蜎](méi) API 端點(diǎn)，從而使真實(shí)用戶(hù)無(wú)法訪問(wèn)它（即拒絕服務(wù)攻擊）；它可以控制來(lái)自多個(gè)源的大量請(qǐng)求（即分布式拒絕服務(wù)攻擊）；它可以減緩暴力攻擊；并且可以防止數(shù)據(jù)抓取。

除了安全優(yōu)勢(shì)之外，速率限制還值得使用，原因有很多：它們有助于控制成本、確保可靠的性能、減少錯(cuò)誤、使 API 提供商能夠遵守特定的數(shù)據(jù)隱私法規(guī)等等。

漏斗日志記錄到 SIEM 解決方案以及時(shí)發(fā)現(xiàn)安全問(wèn)題

大規(guī)模分析 API 調(diào)用的日志可能非常耗時(shí)，因?yàn)檫@需要隨著時(shí)間的推移梳理數(shù)千甚至數(shù)百萬(wàn)條日志。手動(dòng)分析日志還可能導(dǎo)致代價(jià)高昂的人為錯(cuò)誤，例如丟失顯示潛在安全威脅的日志。

為了更輕松地查看日志并解決它們揭示的任何安全問(wèn)題，可以將它們添加到實(shí)時(shí)安全信息和事件管理 (SIEM) 解決方案中。

通過(guò) SIEM 解決方案，預(yù)定義的團(tuán)隊(duì)或員工可以收到有關(guān)可疑活動(dòng)的實(shí)時(shí)警報(bào)。該解決方案還可以將日志與其存儲(chǔ)的其他數(shù)據(jù)結(jié)合起來(lái)，以查明更復(fù)雜的威脅。