如今社會隨著互聯網應用領域愈發寬廣，我們對應用程序編程接口 (API) 的依賴也越來越巨大。因為當我們開發應用程序時，API可以無縫、流暢且無形地在幕后完成各種任務，比如從您自己的應用程序時向另一個應用程序中提取您請求的數據。它們是我們生活中非常有用且十分必要的一部分。

但就像所有數字化事物一樣，API也存在風險，因為他們比較容易向網絡攻擊者暴露漏洞。好消息是您可以采取多種措施來保護您的API安全。因此，火傘云為大家介紹5個確保API安全的5個良好措施，以促進您提升您的API安全。

一、制定強有力的安全策略

WAAP（Web 應用程序和 API 保護）是保護API的行業標準，主要是因為：它們易于大規模部署，且提供全面的安全性。當需要評估WAAP產品時，請確保它們包括網絡機器人管理、WAF（Web 應用程序防火墻）以及API和 DDoS 防護，這可以為您的產品安全策略奠定了良好的基礎。您將獲得全面的保護，以防范多種類型的網絡威脅，這些威脅隨時可能襲擊應用程序、竊取有價值的數據并關閉您的運營。

二、自動化保護API安全是一個很好的辦法

雖然基于規則和策略的安全檢查是API開發不可或缺的一部分，但需要盡可能納入機器學習和自動化，之所以這樣做是因為可以大大節省時間并防止人為錯誤。基于機器學習 (ML) 的應用程序安全性具有自適應性，可以自動檢測和響應針對 API 漏洞的攻擊。只需確保在部署新的Web應用程序后通過自動策略生成添加它們即可。ML可保護API免受多種威脅，包括協議攻擊、參數篡改、令牌操縱等。

三、檢查您對第三方的安全設定

在過去的5-10年里，絕大多數企業和組織已經樹立了數字化轉型的目標以及明確了實現數字化轉型的重要性，但如果太過于急于實現這一目標而忽視安全就很容易暴露安全漏洞，API的增長有更多此類風險。雖然第三方供應商（包括云提供商）始終將安全放在首位，但這始終是將安全寄托在他人身上，自己切實做到了解第三方的安全性很重要。首先我們需要了解第三方如何訪問您組織的數據，這包含您需要全面了解所有 API 的托管位置、誰可以訪問它們以及它們可以獲取哪些數據。雖然市場上有許多API管理工具，但許多工具只是提供可見性和監控功能卻并沒有提供太多保護。API網關提供IP過濾和基本身份驗證，但無法提供針對攻擊媒介的自動保護。

四、讓安全團隊引入CI/CD體系

您的安全團隊需要從一開始就參與應用程序/API開發過程。根據《Web應用程序和API保護狀況》報告，92%的組織的安全人員對CI/CD（持續集成/持續部署）的影響有限。而不應該等API和應用程序開發完成后，再將安全性職責強加給安全團隊，DevSecOps從一開始就應該是開發生命周期中不可或缺的組成部分。

五、評估WAAP的相關關鍵要素

DevOps和CI/CD管道的引入和依賴已成功使組織能夠高速創建和部署應用程序，而不會影響生產力和敏捷性。 同時在評估適合您組織的WAAP解決方案時，還應該積極考慮以下關鍵要素：

1、可視化

確保可視化不僅僅停留在API上。該解決方案需要包括性能指標，并最終提供360°視圖，讓您了解安全和性能問題，擁有統一管理平臺監控和管理儀表板至關重要。

2、彈性擴展

彈性是定義安全解決方案可擴展性的另一種方式，它需要能夠增長和擴展以滿足您的需求。實現這一目標的好方法是擁有允許實現這一目標的工具，例如自動學習以及策略和配置設置的高級選項。

3、針對已知和未知威脅的安全性

大多數解決方案應該能夠立即檢測CI/CD管道中新的和更改的應用程序，您需要一個能夠自動生成和優化安全策略的解決方案。

4、數據中心、云環境等的統一安全性

每個產品架構就像一個指紋，沒有兩個組織架構是完全相同的，這也是為什么您選擇的解決方案必須適應架構，無論您的云或數據中心環境如何，您都需要能夠微調解決方案以滿足您的需求。

5、與現有工具和系統集成

您的安全解決方案與現有工具和系統無縫集成至關重要，這樣您的安全解決方案才能應對破壞應用程序、發布周期和生產力的后果。

審核編輯 黃宇