中国信通院-应用程序接口（API）数据安全研究报告-2020.7-57页_4mb

应用程序接口（API）数据安全研究报告总结

核心内容

本报告由中国信息通信研究院安全研究所于2020年7月发布，主要围绕API技术在当前互联网环境下的安全态势、风险分析以及安全建议展开，旨在为企业提供API安全管理的实践指导和参考。

主要观点

• API的重要性：随着云计算、大数据、人工智能等技术的发展，API已成为数据传输和系统交互的重要通道，广泛应用于通信、金融、交通等多个领域。
• API安全挑战：API的广泛应用带来了显著的安全风险，包括外部攻击、网络爬虫、第三方非法数据留存、参数篡改等。
• 安全标准化不足：尽管我国在API安全方面已有部分标准出台，但尚未形成全面覆盖API数据安全的规范体系。
• 企业需全生命周期管理API安全：从设计、开发、上线、运行、变更、下线等阶段，企业应建立完善的安全机制，强化安全防护能力。
• 安全技术手段多样化：企业可通过API网关、加密通信、身份认证、异常行为监测、数据脱敏、自动化审计、威胁感知等技术手段提升API安全性。

关键信息

一、API基本情况

• API简介：API是预先定义的函数，用于程序间的数据交互和功能触发。
• API分类：
  • 按开放程度：开放API、面向合作方API、内部API。
  • 按核心技术：SOAP API、RESTful API、RPC API。
• API组成要素：通信协议、域名、版本号、路径、请求方式、请求参数、响应参数、接口文档。

二、近年来API安全态势

• 数据安全事件频发：国内外多次发生API相关的数据泄露事件，如Facebook、美国邮政服务、T-Mobile、Twitter、考拉征信、新浪微博和微信等。
• 事件影响广泛：涉及用户隐私、企业数据安全、经济损失等，凸显API安全的重要性。
• 企业需加强防护：部分企业已开始采取改进API安全策略、部署防护措施等方式应对安全威胁。

三、安全风险分析

外部威胁因素

1. API漏洞：如身份认证缺失、参数篡改、越权访问等，导致数据被非法获取。
2. 网络攻击：如重放攻击、DDoS攻击、注入攻击、会话cookie篡改等。
3. 网络爬虫：通过API抓取大量数据，尤其针对移动应用JSON传输特性。
4. 第三方数据留存：合作方可能非法存储接口数据，形成事实上的拖库。
5. 请求参数篡改：利用参数特征进行数据遍历，获取敏感信息。

内部脆弱性因素

1. 身份认证机制：单因素认证、弱密码、明文传输等安全隐患。
2. 访问授权机制：权限配置不当导致用户越权访问。
3. 数据脱敏策略：未统一脱敏策略可能造成数据泄露。
4. 返回数据筛选机制：未有效筛选返回数据可能造成敏感信息暴露。
5. 异常行为监测：内部人员可能非法访问或操作数据。
6. 特权账号管理：特权账号权限过大，易被滥用。
7. 第三方管理：合作方可能成为数据泄露的源头。

四、安全建议

事前

1. 统一开发规范：减少安全隐患，提高API开发质量。
2. 全生命周期监控：强化API上线、变更、下线的监控和管理。
3. 身份认证和授权机制：建立强密码、双因素认证等机制，严格权限管理。
4. 健全安全防护体系：部署API网关、加密通道、安全审计等。
5. 加强安全宣传：提高员工安全意识，推动安全机制落地。

事中

1. 身份认证实时监控：识别异常登录行为，防止账号滥用。
2. 异常行为监测预警：识别非正常访问、数据泄露等行为。
3. 数据分类分级管控：制定不同敏感级别的访问控制策略。
4. 数据流向监控：识别异常数据流动，防范数据滥用。

事后

1. 应急响应机制：制定应急预案，及时处置安全事件。
2. 日志审计机制：完整记录访问日志，便于安全事件溯源。
3. 数据泄露溯源追责：利用自动化工具进行线索和主体溯源，明确责任主体。

五、附录

全知科技API安全实践

• 开放API安全实践：建立生命周期监控、认证授权、防爬虫机制等。
• 面向合作方API安全实践：建立供应商接口管理制度，部署敏感数据保护策略和自动化审计工具。
• 内部API安全实践：强化身份验证、敏感信息展示监测、特权账号行为审计等。

观安API安全实践

• 安全方案：接口敏感级别划分、深度分析系统、行为轨迹描绘等。
• 技术手段：协议解析、数据分类分级、敏感数据识别、API全盘发现等。
• 实践应用：实现接口异常行为监测、敏感信息识别、用户行为异常分析等。
• 发展趋势：AI与机器学习技术在API安全中的应用，推动API安全向智能化发展。

爱加密API安全实践

• 安全方案：源码防护、数据传输安全、API安全性检测等。
• 技术手段：自动化安全扫描、VMP代码加固、API探针技术等。
• 实践应用：
  • 运营商计费类API：防止恶意破解与非法调用。
  • 互联网企业认证API：加强源码混淆、日志安全、行为监测等。
• 产品研发：建立移动SDK/API资产互联网监控平台，提升风险预警与防护能力。

总结

API在数据交互和系统集成中发挥着重要作用，但其安全风险日益突出。企业需从API的全生命周期进行安全管理，包括事前规范设计、事中实时监控、事后应急响应与溯源追责。同时，应结合技术手段，如身份认证、数据脱敏、异常行为监测、自动化审计等，构建全面的API安全防护体系。随着技术发展，AI与机器学习等手段将逐步成为API安全的重要支撑，推动API安全向智能化、系统化方向发展。