但是API有一個(gè)缺點(diǎn):如果管理不善，它們會(huì)變得襲擊者唾手可得的水果.

這就是為什么確保您在云中安全地使用API是至關(guān)重要的。本文揭示了IT組織遇到的常見(jiàn)API安全錯(cuò)誤，以便強(qiáng)調(diào)不如果您想充分利用API，同時(shí)最大限度地提高安全性，可以這樣做。

1.未能實(shí)施API限制

在許多方面，不安全的API是一種攻擊者的夢(mèng)想。原因在于，通過(guò)反復(fù)調(diào)用API，攻擊者可以淹沒(méi)托管它們的服務(wù)器，并使依賴于API的應(yīng)用程序不可用。

幸運(yùn)的是，有一個(gè)簡(jiǎn)單的方法來(lái)防止這種類型的API攻擊:節(jié)流。API節(jié)流允許管理員限制每個(gè)客戶端在給定時(shí)間段內(nèi)可以向API發(fā)出的請(qǐng)求數(shù)量。節(jié)流并不能完全防止濫用API——仍然有可能使用由大量獨(dú)立客戶端組成的僵尸網(wǎng)絡(luò)發(fā)起DDoS式的攻擊——但它對(duì)阻止或減輕旨在破壞應(yīng)用程序可用性的API攻擊有很大幫助。

2.不需要API認(rèn)證

除非通過(guò)API獲得的所有數(shù)據(jù)都是100%公開(kāi)的，否則API應(yīng)該要求身份驗(yàn)證才能響應(yīng)請(qǐng)求。否則，攻擊者可以使用API訪問(wèn)他們不應(yīng)該訪問(wèn)的數(shù)據(jù)——就像一個(gè)攻擊者在里收集數(shù)據(jù)比如說(shuō)。

API黑客有點(diǎn)復(fù)雜，因?yàn)楣粽呤占臄?shù)據(jù)是半公開(kāi)的。其他有權(quán)訪問(wèn)個(gè)人資料的用戶可以在個(gè)人資料上看到這些信息。但是它不應(yīng)該對(duì)發(fā)出API請(qǐng)求的隨機(jī)的、未經(jīng)驗(yàn)證的客戶端可用?；镜腁PI認(rèn)證可以防止在這個(gè)事件中發(fā)生的濫用。

3.使用“模糊安全”策略來(lái)保護(hù)API

另一個(gè)可能使您的業(yè)務(wù)遭受API攻擊的API安全錯(cuò)誤是，僅僅因?yàn)槟鷽](méi)有公開(kāi)宣傳您的API端點(diǎn)，就認(rèn)為沒(méi)有人能夠找到它們，因此您不需要擔(dān)心保護(hù)您的API。

這種策略相當(dāng)于安全人士所說(shuō)的“默默無(wú)聞的安全感”—類似于在網(wǎng)站上發(fā)布敏感數(shù)據(jù)，但選擇不共享URL，希望沒(méi)有人發(fā)現(xiàn)它。

有些情況下，您可能選擇不公布API的位置(例如，如果API不被公眾使用，您可能只在內(nèi)部共享端點(diǎn)信息)。但即便如此，你也應(yīng)該像保護(hù)一個(gè)完全公開(kāi)的API一樣保護(hù)它。

4.公開(kāi)不必要的API

從安全角度來(lái)看，您公開(kāi)和使用的API越少越好。不必要的API就像操作系統(tǒng)上的無(wú)關(guān)庫(kù)或應(yīng)用程序中被放棄的代碼:它們給攻擊者提供了更多的潛在破壞途徑，而對(duì)您的業(yè)務(wù)沒(méi)有任何價(jià)值。

所以，在你發(fā)布一個(gè)新的API之前，確保你有一個(gè)好的理由這樣做。同樣，一定要廢棄不再需要的API，而不是讓它們保持活動(dòng)狀態(tài)。

5.定義過(guò)于寬泛的API訪問(wèn)控制

通用的安全模型通常不適用于API。不同的API用戶可能有不同的需求，需要不同的安全控制。例如，與您的客戶或合作伙伴相比，您企業(yè)內(nèi)部的用戶可能需要通過(guò)API進(jìn)行更高級(jí)別的數(shù)據(jù)訪問(wèn)。

出于這個(gè)原因，以細(xì)粒度的方式定義和實(shí)施API訪問(wèn)控制是一個(gè)最佳實(shí)踐。使用API網(wǎng)關(guān)，為不同的用戶建立不同的訪問(wèn)級(jí)別(您可以根據(jù)他們的網(wǎng)絡(luò)位置來(lái)區(qū)分他們，例如，來(lái)自VPN的請(qǐng)求應(yīng)該與來(lái)自互聯(lián)網(wǎng)的請(qǐng)求區(qū)別對(duì)待，或者根據(jù)身份驗(yàn)證方案來(lái)區(qū)分)。

結(jié)論

API使得在云環(huán)境中共享資源變得容易。但是通過(guò)API分享太多是一件壞事。API必須通過(guò)節(jié)流、認(rèn)證和粒度訪問(wèn)控制來(lái)保護(hù)，以保護(hù)數(shù)據(jù)和應(yīng)用的安全，防止攻擊者尋找濫用API的方法。