2024-05-29-Akamai-2024潜伏在阴影之中-攻击趋势揭示了API威胁报告_34页_10mb

API安全攻击趋势报告总结（第10卷第01期）

1. 关键见解

• API攻击占比：2023年全球网络攻击中，约29%以API为目标，表明API成为主要攻击媒介。
• 攻击类型：HTTP协议攻击、SQL注入和数据收集是主要攻击手段；业务逻辑滥用、数据抓取等风险尤为突出。
• 行业分布：商业（44.2%）、商业服务（31.8%）API攻击占比最高；医疗行业面临潜在风险，主要来自IoMT和数据互操作性。
• 区域分布：欧洲、中东和非洲（EMEA）API攻击占比最高（47.5%），其次是北美（27.1%）；亚太地区占比最低（15%）。
• 威胁趋势：API攻击事件呈上升趋势；爬虫程序请求占比高，需加强监控。

2. 攻击媒介

- HTTP协议攻击  
- SQL注入  
- 跨站脚本攻击  
- 本地文件包含  
- 命令注入  
- 服务器端请求伪造  
- 数据收集  
- 活动会话  

3. 保护措施

• 加强监控能力：识别影子API、恶意端点，增强威胁检测和响应机制。
• 漏洞管理：防范OWASP API安全风险，提升编码质量和配置控制。
• 合规要求：遵循GDPR、PCI DSS等法规，防范数据泄露和法律风险。
• 持续改进：通过左移测试、安全演练，提升防御策略和响应速度。

4. 行业及区域趋势

• 高风险行业：

  • 全球：商业、商业服务、高科技、游戏、视频媒体。
  • EMEA区域：商业行业占比最高（74.6%）。
  • APJ区域：制造业风险最高（31.2%）。

• 主要威胁类型：

  • HTTP、SQL注入和XSS占主导；业务逻辑滥用频繁，导致数据抓取和收入损失。

5. 行动建议

• 实施全面API审计，加强威胁情报和自动化响应。
• 遵循OWASP API安全标准，提升编码规范和运维管理。
• 关注新规（如 PCI DSS 4.0），调整安全策略以应对合规要求。
• 合理分配资源，保障高价值API资产，优先修复关键漏洞。

总体而言，API安全已成为企业数字化转型的关键挑战，需通过技术手段和管理流程双重保障。