中国信通院-应用程序接口（API）数据安全研究报告（2020年）-2020.7-57页_4mb

应用程序接口（API）数据安全研究报告总结

核心内容

本报告由中国信息通信研究院安全研究所发布，分析了近年来API技术在各行业中的广泛应用及其带来的数据安全风险，并提出了相应的安全建议。报告指出，随着云计算、大数据、人工智能等技术的发展，API已成为数据交互与系统集成的重要工具，但其开放性和复杂性也带来了显著的安全挑战。为应对这些问题，报告建议企业从事前、事中、事后三个阶段加强API安全管理，以提升整体数据安全防护能力。

主要观点

API技术的重要性

• API是数据传输和系统集成的核心技术，广泛应用于Web应用、移动应用、物联网、云计算等领域。
• API推动了企业间的协作，甚至催生了“API经济”。
• 在疫情期间，API在协同办公、在线教育、便民服务等领域发挥了重要作用。

API安全问题现状

• API安全事件频发，如Facebook、T-Mobile、美国邮政服务等均因API漏洞或管理不善导致用户信息泄露。
• 多起事件表明，API安全问题已影响到企业与用户的数据安全、社会形象及经济利益。

安全风险来源

• 外部威胁：包括API漏洞、网络爬虫、第三方非法留存数据、请求参数篡改等。
• 内部脆弱性：包括身份认证机制、访问授权机制、数据脱敏策略、返回数据筛选机制、异常行为监测、特权账号管理及第三方管理等。

关键信息

API分类与组成要素

1. API分类：
   • 按开放程度：开放API、面向合作方API、内部API。
   • 按核心技术：SOAP API、RESTful API、RPC API。
2. API组成要素：
   • 通信协议（如HTTPS）
   • 域名
   • 版本号
   • 路径（End Point）
   • 请求方式（GET、POST、PUT、DELETE）
   • 请求参数与响应参数
   • 接口文档

API安全标准化情况

• 国家标准：
  • GB/T35273-2020《个人信息安全规范》
  • GB/T 36478.4-2019《物联网信息交换和共享 第4部分:数据接口》
  • GB/T 21062.3-2007《政务信息资源交换体系 第3部分:数据接口规范》
  • GB/T 19581-2004《会计核算软件数据接口》
  • GB/XXXX-XX《政务信息共享数据安全技术要求》
• 通信行业标准：
  • YD/T3217-2017《基于REST技术的业务能力开放API视频共享》
  • YD/T 2807.4-2015《云资源管理技术要求 第4部分：接口》
• 金融行业标准：
  • JR/T0185-2020《商业银行API安全管理规范》
  • JR/T0171-2020《个人金融信息保护技术规范》
• 交通行业标准：
  • JT/T1183-2018《出租汽车ETC支付接口规范》
  • JT/T1049-2017《道路运政管理信息系统》

安全建议

事前

1. 统一API设计开发规范，减少安全隐患。
2. 强化API上线、变更、下线环节的实时监控，确保全生命周期安全。
3. 完善身份认证和授权管理机制，强化接口接入安全审核。
4. 健全API安全防护体系，提升抵御外部威胁的能力。
5. 加大API安全保护宣传力度，提高员工安全意识。

事中

1. 加强身份认证实时监控能力建设。
2. 加强异常行为实时监测预警能力建设。
3. 加强数据分类分级管控能力建设。
4. 加强API数据流向监控能力建设。

事后

1. 建立健全应急响应机制。
2. 建立健全日志审计机制。
3. 建立健全数据泄露溯源追责机制。

关键实践案例

全知科技API安全实践

• 开放API安全实践：
  • 实现API生命周期监控。
  • 部署强认证与授权机制。
  • 实施防爬虫与防泄漏保护机制。
• 面向合作方API安全实践：
  • 建立供应商接口管理制度。
  • 部署敏感数据保护策略。
  • 实现自动化审计与溯源。
• 内部API安全实践：
  • 实施API生命周期实时监控。
  • 强化身份验证机制。
  • 建立敏感信息展示监测预警机制。
  • 实施账号风险监测机制。
  • 实现数据行为威胁实时监控。
  • 建立敏感数据暴露监测机制。
  • 实施特权账号行为监测与审计机制。
  • 部署自动化数据泄露溯源追责机制。

观安API安全实践

• 安全方案：
  • 接口敏感级别梳理与分级策略。
  • 建立深度分析系统，实现多维度风险评估。
  • 描绘行为轨迹，实现流动监控。
• 技术手段：
  • 协议解析与流量数据采集。
  • 数据分类分级与敏感数据识别。
  • API全盘发现与可视化管控。
  • API安全检测与异常行为识别。
• 实践应用：
  • 完成3个业务风险场景建设。
  • 构建2套分析模型。
  • 日均处理200G数据，监测识别72起异常事件。

爱加密API安全实践

• 安全方案：
  • 实施源代码防护、数据传输安全与API安全性检测。
• 技术手段：
  • 自动化业务检测与威胁感知探针。
  • VMP高强度代码加固。
  • API探针技术实现运行时行为监控。
• 实践应用：
  • 运营商计费类API保护。
  • 互联网企业认证API安全检测。
• 产品研发：
  • 建立移动SDK/API资产互联网监控平台。
  • 提供API全质量常态监测服务，提升风险预警与防护能力。

总结

API作为现代数据交互与系统集成的核心技术，其安全问题日益突出。报告强调，企业应从API的全生命周期出发，建立完善的管理制度和技术防护体系，提升数据安全防护能力。同时，应加强对API的实时监控、异常行为识别和数据泄露溯源，以应对内外部安全威胁。不同行业已逐步出台相关标准，但整体规范体系仍需进一步完善。在实际应用中，全知科技、观安、爱加密等企业已提供成熟的API安全实践方案，值得借鉴。