是時候關(guān)注API安全了
數(shù)字化進程催生了一系列新的商業(yè)模型與合作伙伴關(guān)系生態(tài)系統(tǒng)，當今時代，協(xié)作與集成不再僅僅是錦上添花的東西，而是切切實實的競爭優(yōu)勢。
應(yīng)用程序編程接口(API)的大量使用奠定了該數(shù)字化轉(zhuǎn)型的基礎(chǔ)。可編程Web，實際上的API經(jīng)濟賬本，記錄了自新世紀第一個10年末尾開始的這波急速增長趨勢，并且，該趨勢至今毫無停止的跡象。
今年早些時候發(fā)布的調(diào)查研究顯示，超過60%的公司企業(yè)認為API集成是自身商業(yè)戰(zhàn)略的關(guān)鍵。乘著這股趨勢，很多公司企業(yè)找到了從現(xiàn)有資源中謀求額外價值，并更快速地將新解決方案推向市場的方法。
很多公司向第三方開發(fā)人員開放了他們的API，力求擴寬自身領(lǐng)域，交付創(chuàng)新服務(wù)，產(chǎn)生新的收益流。
金融機構(gòu)、醫(yī)療提供商和零售商是其中主導(dǎo)，開展了很多項目以改善與客戶的互動，并和其他利益相關(guān)者共享數(shù)據(jù)以交付更好的收益并提升服務(wù)水平。
API還塑造了支托起物聯(lián)網(wǎng)熱潮的關(guān)鍵基礎(chǔ)。
API是設(shè)備聯(lián)網(wǎng)的接口，從運動健康記錄器到維護傳感器和車輛定位跟蹤器，無一不需要通過API來連接互聯(lián)網(wǎng)，連接網(wǎng)絡(luò)上其他設(shè)備，以及連接用戶需與之互動的App和設(shè)備。
注意漏洞——傳統(tǒng)API安全失效的地方
由于API是眾多戰(zhàn)略性和業(yè)務(wù)關(guān)鍵項目的基礎(chǔ)，必須確保API不被破壞或被不當使用來進行欺詐、盜竊或泄露隱私。
截至目前，網(wǎng)絡(luò)安全行業(yè)沒能跟上API的爆炸式發(fā)展，保護敏感數(shù)據(jù)和應(yīng)用的萬全之策尚有待推出。
API擴大了企業(yè)的攻擊界面，卻常常未受到傳統(tǒng)安全防御的足夠保護。典型的API防護落腳在通過身份安全解決方案和API網(wǎng)關(guān)來限制對API的訪問上。
這類訪問控制很強大，但卻不全面。我們還需要一組補充性的安全功能，用來解決包括API特定拒絕服務(wù)攻擊、登錄攻擊和應(yīng)用及數(shù)據(jù)工具在內(nèi)的各種威脅。
有鑒于此，安全工具箱中納入API特殊保護要求就十分有必要了。
高科技版的大海撈針
在API流量汪洋里找出可疑活動就是個大數(shù)據(jù)噩夢。試圖在萬千交易中定位某一惡意交易，就是高科技版的大海撈針。
除了大得嚇人的總流量，IT人員還得應(yīng)付以各種方式使用的各類API，包括要支持移動和語音應(yīng)用。這些復(fù)雜多樣的環(huán)境下，要想將攻擊與合法活動區(qū)分開來并非易事，編寫適用于所有API的規(guī)則策略也幾乎是不可能。
同時，隨著數(shù)字化的演進和黑客在技術(shù)與膽量上的精進，新的威脅也在不斷涌現(xiàn)。
AI會是API安全問題的救星嗎?
智能API安全正逐漸成型，有望成為解決API安全問題的良方。人工智能和機器學(xué)習是在大量交易數(shù)據(jù)中檢測惡意企圖的絕佳工具，而且具備與時俱進功能，可以自適應(yīng)新威脅的出現(xiàn)。
通過學(xué)習多個環(huán)境不同情況下與每個API相關(guān)的正常行為模式的范圍，AI可以識別并阻止API攻擊。隨著時間進程，即便沒有成文的規(guī)則或有關(guān)新攻擊模式的前置知識，異常活動也會被標記出來。
AI驅(qū)動的API安全軟件是可以隨時間流逝變得越來越好的解決方案。API安全完全有可能從老舊的訪問控制模型進化到全面的安全防護解決方案。
AI驅(qū)動的解決方案有望交付的對數(shù)據(jù)、應(yīng)用和系統(tǒng)的強化安全防護，不僅僅意味著公司管理層和IT員工可以就此放心，還可能是企業(yè)賴以繼續(xù)充滿自信地利用API經(jīng)濟新機會的基礎(chǔ)。
API調(diào)查研究報告原文：
https://blog.cloud-elements.com/state-of-api-integration-2018-report-infographic
【本文是51CTO專欄作者“”李少鵬“”的原創(chuàng)文章，轉(zhuǎn)載請通過安全牛（微信公眾號id:gooann-sectv）獲取授權(quán)】
