應(yīng)用程序編程接口(APIS)在企業(yè)正在進(jìn)行的數(shù)字化改造中發(fā)揮著核心作用,是應(yīng)用程序、基礎(chǔ)設(shè)施和物聯(lián)網(wǎng)設(shè)備之間交換數(shù)據(jù)的渠道。如今,很多組織都向客戶和合作伙伴提供多種API,無論是內(nèi)部開發(fā)的還是開放的。然而,這些API通常是由不同的團(tuán)隊(duì)構(gòu)建的,使用不同的應(yīng)用程序棧,遵循不同的開發(fā)計(jì)劃和發(fā)布程序,導(dǎo)致安全和監(jiān)督不一致。這使API成為一把雙刃劍,對(duì)安全構(gòu)成各種挑戰(zhàn),例如:

· 不屬于安全團(tuán)隊(duì)權(quán)限范圍的隱藏、過時(shí)或影子API可能會(huì)傳輸敏感數(shù)據(jù),影響法規(guī)的遵守。

· 隱藏的參數(shù),可以允許攻擊者改變一個(gè)用戶的配置文件到"管理",這可能導(dǎo)致數(shù)據(jù)丟失,欺詐,或其他有害的結(jié)果。

· 在響應(yīng)碼或錯(cuò)誤消息中暴露機(jī)密或敏感數(shù)據(jù),可以用來竊取數(shù)據(jù)或進(jìn)行大規(guī)模攻擊。

· 應(yīng)用程序中存在的業(yè)務(wù)邏輯缺陷允許壞的行為者進(jìn)行欺詐,包括賬戶接管、報(bào)廢、偽造賬戶創(chuàng)建和其他類型的API濫用。

隨著關(guān)鍵業(yè)務(wù)功能日益依賴API,有效的API監(jiān)控變得比以往任何時(shí)候都更加重要。不過,各組織必須在徹底監(jiān)測(cè)和業(yè)績(jī)要求之間取得平衡,以確保最佳系統(tǒng)業(yè)績(jī)和最終用戶滿意。了解API監(jiān)控的重要性是實(shí)現(xiàn)平衡和避免業(yè)務(wù)操作潛在風(fēng)險(xiǎn)的第一步。

行動(dòng)計(jì)劃的監(jiān)測(cè)和可見度

保護(hù)您的API和應(yīng)用程序不受可能導(dǎo)致數(shù)據(jù)丟失、欺詐或網(wǎng)絡(luò)妥協(xié)的威脅,首先是可見性。API的無狀態(tài)性質(zhì),再加上它們通常包括整個(gè)事務(wù)這一事實(shí),使得人們能夠理解您擁有多少API、使用模式及其各自的風(fēng)險(xiǎn)級(jí)別,關(guān)鍵的API可見性元素有助于形成一個(gè)強(qiáng)大而全面的API安全態(tài)勢(shì)。

為了確保API的安全性和可靠性,開發(fā)者和網(wǎng)絡(luò)安全專業(yè)人員必須了解其業(yè)務(wù)環(huán)境。這意味著清楚地了解本組織的目標(biāo)、利益相關(guān)者和潛在的威脅。例如,他們可以利用對(duì)本組織最重要的數(shù)據(jù)類型、最有可能發(fā)生的攻擊類型以及安全漏洞的潛在影響等信息,制定能夠及早發(fā)現(xiàn)和應(yīng)對(duì)安全事件的全面監(jiān)測(cè)政策和程序。

通過了解業(yè)務(wù)環(huán)境,開發(fā)人員和網(wǎng)絡(luò)安全專業(yè)人員可以根據(jù)本組織的具體需要制定監(jiān)測(cè)戰(zhàn)略。

API平衡法

雖然API安全監(jiān)測(cè)對(duì)于確保API的完整性和安全性至關(guān)重要,但在監(jiān)測(cè)儀器和系統(tǒng)性能要求之間找到適當(dāng)?shù)钠胶饪赡苁且豁?xiàng)挑戰(zhàn)。一方面,過多的儀器可能導(dǎo)致性能下降,導(dǎo)致響應(yīng)時(shí)間延遲和用戶體驗(yàn)問題。另一方面,監(jiān)測(cè)太少會(huì)使系統(tǒng)容易受到攻擊,并使安保專業(yè)人員對(duì)潛在威脅一無所知。要達(dá)到適當(dāng)?shù)钠胶?就需要仔細(xì)考慮諸如API調(diào)用量、所需監(jiān)測(cè)類型以及可用資源等因素。

要實(shí)現(xiàn)這一平衡,必須確定對(duì)你的組織最重要的是什么,無論是保護(hù)敏感數(shù)據(jù),確保業(yè)務(wù)連續(xù)性,還是保持積極的用戶體驗(yàn)。您的優(yōu)先級(jí)將根據(jù)組織的行業(yè)和具體需求而有所不同,您必須相應(yīng)地調(diào)整您的監(jiān)控方法。例如,醫(yī)療機(jī)構(gòu)可能優(yōu)先保護(hù)敏感的患者信息,而不是確保快速反應(yīng)時(shí)間。另一方面,電子商務(wù)公司可能優(yōu)先保持積極的用戶體驗(yàn),而不是保護(hù)客戶數(shù)據(jù),這可能不那么敏感。

同樣重要的是,要了解資源的消耗情況并相應(yīng)優(yōu)化。這意味著確定資源密集型應(yīng)用領(lǐng)域,將監(jiān)測(cè)工作重點(diǎn)放在這些領(lǐng)域,同時(shí)避免在不太重要的領(lǐng)域使用過多的儀器。

假設(shè)你正在開發(fā)一個(gè)處理支付處理的電子商務(wù)API。這個(gè)API端點(diǎn)對(duì)您的應(yīng)用程序的功能至關(guān)重要,需要不斷的監(jiān)控,以確保用戶事務(wù)的安全性。然而,檢測(cè)支付處理API中的每一行代碼可能會(huì)顯著影響API的性能。這可能導(dǎo)致響應(yīng)時(shí)間變慢,甚至導(dǎo)致API停機(jī),使用戶難以完成其事務(wù)。相反,您可以使用特征分析工具來識(shí)別支付處理API中資源密集的部分,并將您的監(jiān)控工作集中在這些領(lǐng)域。例如,您可以在支付驗(yàn)證和處理階段監(jiān)控API的錯(cuò)誤率和響應(yīng)時(shí)間,這些階段是API最關(guān)鍵的部分。您還可以通過減少處理時(shí)間、緩存API檢索到的數(shù)據(jù)以及盡量減少API對(duì)外部服務(wù)的依賴性來優(yōu)化API的代碼,以提高其性能。優(yōu)化您的監(jiān)控工作和改進(jìn)您的API性能,可以為用戶提供安全和無縫的支付體驗(yàn)。

通過了解資源分配的位置,并找到用于監(jiān)測(cè)和性能要求的儀器之間的適當(dāng)平衡,開發(fā)人員可以確保他們的應(yīng)用程序保持安全和可靠,同時(shí)也滿足用戶的需要。

實(shí)現(xiàn)完美平衡

平衡API監(jiān)測(cè)和性能要求要求開發(fā)人員和網(wǎng)絡(luò)安全專業(yè)人員了解業(yè)務(wù)背景,確定其組織的優(yōu)先事項(xiàng),并相應(yīng)優(yōu)化其監(jiān)測(cè)工作。通過對(duì)API監(jiān)控采取一種全面的方法,并側(cè)重于關(guān)鍵領(lǐng)域,同時(shí)避免過多的儀表,各組織可以在不犧牲性能或用戶體驗(yàn)的情況下確保其API的安全性和可靠性。最終,API安全監(jiān)控是一個(gè)持續(xù)的過程,需要持續(xù)的關(guān)注和優(yōu)化,以適應(yīng)不斷變化的威脅和業(yè)務(wù)需求。