潜伏在阴影之中：攻击趋势揭示了 API 威胁

• 在 2023 年 1 月至 12 月这 12 个月期间，共有 29% 的网络攻击以 API 为目标，这表明 API 是网络犯罪分子重点攻击的目标。

• 对 API 的攻击范围超出了 开放式 Web 应用程序安全项目 (OWASP) 十大 API 安全风险清单，攻击者主要使用一些行之有效的方法，例如，本地文件包含 (LFI)、结构化查询语言注入 (SQLi) 和跨站点脚本 (XSS) 来入侵他们的目标。

• 业务逻辑滥用成为一个严重问题，因为在缺乏 API 行为基线的情况下，识别异常的 API 活动变得尤为困难。企业若缺乏解决方案来监视 API 活动中的异常情况，将面临运行时攻击的风险。例如，数据抓取作为一种新兴的数据泄露媒介，可利用经身份验证的 API 从企业内部缓慢窃取数据。

• API 是当今大多数数字化转型的关键所在，所以了解行业趋势和相关应用场景（例如会员欺诈、滥用、授权问题和盗刷攻击）至关重要。

• 企业需要尽早考虑合规要求和新出台的法规，以避免未来可能需要重新设计。

除了 OWASP 十大 API 安全风险清单 中强调的风险之外，企业还面临着无数其他 API 安全挑战，例如我们将其归类为态势问题和运行时问题的常见漏洞。

1. 态势问题 与企业 API 实施中的缺陷有关。指示态势问题的告警可有助于安全团队识别并修复高优先级漏洞，提前避免攻击者利用这些漏洞。最常见的态势问题包括：

• 影子端点
• 未经身份验证的资源访问
• URL 中的敏感数据
• 宽松的 CORS 策略
• 客户端错误过多

2. 运行时问题 是需要紧急回应的主动威胁或行为。虽然这些告警通常在本质上具有关键性，但与其他类型的安全告警相比，它们更隐蔽，因为它们采用了 API 滥用的形式，而不是较为明确的基础架构入侵尝试。最常见的运行时问题包括：

• 未经身份验证的资源访问尝试
• JSON 属性异常
• 路径参数模糊测试尝试
• 不可能的时间旅行
• 数据抓取

同样重要的是，您需要从更高的层面来了解 API 所面临的三个更为普遍的挑战，以确保您的安全计划涵盖以下内容： API 滥用 和利用。

1. 监测：您是否采取了适当的流程和技术控制措施来确保自己的安全计划能够保护所有 API？这是一个关键问题，因为 API 通常是转型的一部分或嵌入到新产品中，因此许多 API 没有像传统网络业务那样的指导、保护和验证措施。

2. 漏洞：您的 API 是否遵循最佳开发做法？您是否避免了 OWASP 中最常见的编码质量不佳问题？此外，您是否在跟踪和检查漏洞？  

3. 业务逻辑滥用：您是否有预期流量的基准值？您是否确定了可疑活动的构成要素？

以上问题的答案构成了您的团队应了解内容的基础。总体目标应该是具有开展调查的可见性和能力，并建立能够快速抵御威胁的流程。不管是面向客户的 API，还是内部 API，都是如此。完整的 SOTI 报告包括一些针对特定行业的威胁方法的说明性案例研究。

在解决 API 编程质量问题后，您必须确保自己的安全计划能够保护您的所有 API。在这种情况下，“您无法抵御未知的攻击”这句俗话从未如此在理。以下是针对您的管理目标的一些标准：

• 发现 ——了解企业内部的 API 清单
• 风险审计 ——了解发现的每个 API 的风险状况
• 行为检测 ——了解正常使用与异常滥用的区别，以检查每个 API 上的主动威胁
• 调查与 威胁搜寻 ——了解由专业人工威胁搜寻人员发现的潜伏在 API 资产内部的威胁

您可以通过以下五个步骤获得这些好处：

1. 通过监测能力找到 API

2. 开展整顿

3. 增强 API 安全态势

4. 加强威胁检测和响应

5. 制定更强的防御策略

在制定安全计划时，不要忘记合规性要求。尽管目前关于 API 的法律/法规还不是很多，但您应该利用一些最佳做法（如 OWASP， 与编码实践相关的指导）和准则（如美国国家标准协会的准则）来确保您正在采取正确的措施来保护您的客户。

现行法规，如欧盟的 《通用数据保护条例》(GDPR) 就包括 API；还有一些新标准，如 支付卡行业数据安全标准 (PCI DSS) v4.0 也特别提到了 API 及其保护 API 的重要性。

在努力确保您的安全计划能够保护自己的所有 API 时，您需要评估发现、调查和抵御攻击的能力。接下来，您的红队应该测试身份验证和公开数据的安全态势，以及 JSON 属性和抓取等运行时问题。

这些验证测试应构建为蓝队练习，以确保您拥有适当的流程来减轻这些影响。SOTI 报告中回顾的应用场景（如会员欺诈和盗刷攻击等）是用于测试计划的理想模板。