應用程序編程接口(APIS)在企業(yè)正在進行的數(shù)字化改造中發(fā)揮著核心作用,是應用程序、基礎設施和物聯(lián)網(wǎng)設備之間交換數(shù)據(jù)的渠道。如今,很多組織都向客戶和合作伙伴提供多種API,無論是內(nèi)部開發(fā)的還是開放的。然而,這些API通常是由不同的團隊構(gòu)建的,使用不同的應用程序棧,遵循不同的開發(fā)計劃和發(fā)布程序,導致安全和監(jiān)督不一致。這使API成為一把雙刃劍,對安全構(gòu)成各種挑戰(zhàn),例如:

· 不屬于安全團隊權(quán)限范圍的隱藏、過時或影子API可能會傳輸敏感數(shù)據(jù),影響法規(guī)的遵守。

· 隱藏的參數(shù),可以允許攻擊者改變一個用戶的配置文件到"管理",這可能導致數(shù)據(jù)丟失,欺詐,或其他有害的結(jié)果。

· 在響應碼或錯誤消息中暴露機密或敏感數(shù)據(jù),可以用來竊取數(shù)據(jù)或進行大規(guī)模攻擊。

· 應用程序中存在的業(yè)務邏輯缺陷允許壞的行為者進行欺詐,包括賬戶接管、報廢、偽造賬戶創(chuàng)建和其他類型的API濫用。

隨著關鍵業(yè)務功能日益依賴API,有效的API監(jiān)控變得比以往任何時候都更加重要。不過,各組織必須在徹底監(jiān)測和業(yè)績要求之間取得平衡,以確保最佳系統(tǒng)業(yè)績和最終用戶滿意。了解API監(jiān)控的重要性是實現(xiàn)平衡和避免業(yè)務操作潛在風險的第一步。

行動計劃的監(jiān)測和可見度

保護您的API和應用程序不受可能導致數(shù)據(jù)丟失、欺詐或網(wǎng)絡妥協(xié)的威脅,首先是可見性。API的無狀態(tài)性質(zhì),再加上它們通常包括整個事務這一事實,使得人們能夠理解您擁有多少API、使用模式及其各自的風險級別,關鍵的API可見性元素有助于形成一個強大而全面的API安全態(tài)勢。

為了確保API的安全性和可靠性,開發(fā)者和網(wǎng)絡安全專業(yè)人員必須了解其業(yè)務環(huán)境。這意味著清楚地了解本組織的目標、利益相關者和潛在的威脅。例如,他們可以利用對本組織最重要的數(shù)據(jù)類型、最有可能發(fā)生的攻擊類型以及安全漏洞的潛在影響等信息,制定能夠及早發(fā)現(xiàn)和應對安全事件的全面監(jiān)測政策和程序。

通過了解業(yè)務環(huán)境,開發(fā)人員和網(wǎng)絡安全專業(yè)人員可以根據(jù)本組織的具體需要制定監(jiān)測戰(zhàn)略。

API平衡法

雖然API安全監(jiān)測對于確保API的完整性和安全性至關重要,但在監(jiān)測儀器和系統(tǒng)性能要求之間找到適當?shù)钠胶饪赡苁且豁椞魬?zhàn)。一方面,過多的儀器可能導致性能下降,導致響應時間延遲和用戶體驗問題。另一方面,監(jiān)測太少會使系統(tǒng)容易受到攻擊,并使安保專業(yè)人員對潛在威脅一無所知。要達到適當?shù)钠胶?就需要仔細考慮諸如API調(diào)用量、所需監(jiān)測類型以及可用資源等因素。

要實現(xiàn)這一平衡,必須確定對你的組織最重要的是什么,無論是保護敏感數(shù)據(jù),確保業(yè)務連續(xù)性,還是保持積極的用戶體驗。您的優(yōu)先級將根據(jù)組織的行業(yè)和具體需求而有所不同,您必須相應地調(diào)整您的監(jiān)控方法。例如,醫(yī)療機構(gòu)可能優(yōu)先保護敏感的患者信息,而不是確?？焖俜磻獣r間。另一方面,電子商務公司可能優(yōu)先保持積極的用戶體驗,而不是保護客戶數(shù)據(jù),這可能不那么敏感。

同樣重要的是,要了解資源的消耗情況并相應優(yōu)化。這意味著確定資源密集型應用領域,將監(jiān)測工作重點放在這些領域,同時避免在不太重要的領域使用過多的儀器。

假設你正在開發(fā)一個處理支付處理的電子商務API。這個API端點對您的應用程序的功能至關重要,需要不斷的監(jiān)控,以確保用戶事務的安全性。然而,檢測支付處理API中的每一行代碼可能會顯著影響API的性能。這可能導致響應時間變慢,甚至導致API停機,使用戶難以完成其事務。相反,您可以使用特征分析工具來識別支付處理API中資源密集的部分,并將您的監(jiān)控工作集中在這些領域。例如,您可以在支付驗證和處理階段監(jiān)控API的錯誤率和響應時間,這些階段是API最關鍵的部分。您還可以通過減少處理時間、緩存API檢索到的數(shù)據(jù)以及盡量減少API對外部服務的依賴性來優(yōu)化API的代碼,以提高其性能。優(yōu)化您的監(jiān)控工作和改進您的API性能,可以為用戶提供安全和無縫的支付體驗。

通過了解資源分配的位置,并找到用于監(jiān)測和性能要求的儀器之間的適當平衡,開發(fā)人員可以確保他們的應用程序保持安全和可靠,同時也滿足用戶的需要。

實現(xiàn)完美平衡

平衡API監(jiān)測和性能要求要求開發(fā)人員和網(wǎng)絡安全專業(yè)人員了解業(yè)務背景,確定其組織的優(yōu)先事項,并相應優(yōu)化其監(jiān)測工作。通過對API監(jiān)控采取一種全面的方法,并側(cè)重于關鍵領域,同時避免過多的儀表,各組織可以在不犧牲性能或用戶體驗的情況下確保其API的安全性和可靠性。最終,API安全監(jiān)控是一個持續(xù)的過程,需要持續(xù)的關注和優(yōu)化,以適應不斷變化的威脅和業(yè)務需求。