API 和 Web 应用程序受到围攻的原因以及攻击方式
保卫您的数字堡垒
Web 应用程序以及为它们提供支持的 API 具有不容忽视的意义，它们正在重新界定客户体验、简化业务运营并且助燃经济增长。然而，它们也为攻击者入侵您的数字堡垒开辟了新的潜在途径。
随着应用程序进一步融入业务的各个层面中，其运行也更加依赖于错综复杂的连接网络，而恶意软件、 爬虫程序和其他攻击者不断探查这些网络，期望找到安全漏洞并加以利用。
为此，我们发布了全新的互联网现状 (SOTI) 报告《 数字堡垒受到围攻：现代应用程序架构面临威胁》，探讨了这一趋势，并介绍了一些措施来帮助企业保护其 Web 应用程序和 API 基础架构。此报告深度剖析了 Akamai 对攻击趋势进行分析后得出的重要洞见。
SOTI 报告的关键发现
从 2023 年第一季度到 2024 年第一季度，应用程序和 API 攻击数激增了 49%。应用程序和 API 的使用日益增长，这显著扩大了企业的攻击面，从而引发了攻击数急剧增长。
此报告期内共观察到 1080 亿次 API 攻击。这些攻击可能会导致欺诈和滥用攻击、重大财务损失和监管制裁。
DDoS 攻击会向系统发送大量流量，针对关键的第 3 层、第 4 层和第 7 层发起攻击。这些不间断的攻击可能会导致停机和业务中断。
API 攻击数不断增加
针对 Web 应用程序和 API 的攻击 数量持续攀升，在 2023 年第一季度到 2024 年第一季度期间增加了 49%（参见图表）。在 2023 年 1 月到 2024 年 6 月期间，总计记录到 1080 亿次 API 攻击 。这些无休止的攻击反映出，攻击者正在不遗余力地尝试获取有价值的数据。实际上，近几个月内发生的多起备受瞩目的数据泄露事件都与 API 滥用或 API 漏洞利用有关。
攻击者越来越多地将 Web 应用程序和 API 作为攻击目标，Web 攻击数年同比增长 49% 便是有力例证
API 滥用 日渐成为企业的一大隐忧，特别是对那些依赖应用程序接口来提供对数据和服务访问的企业。滥用可能会以不同的形式出现，例如内部人员的未经授权访问、数据泄露和分布式拒绝服务 (DDoS) 攻击等。
SOTI 报告详述了攻击者喜欢使用的一些手段，包括本地文件包含 (LFI)、跨站脚本 (XSS)、SQL 注入 (SQLi)、命令注入 (CMDi) 和服务器端请求伪造 (SSRF) 攻击。2023 年第一季度到 2024 年第一季度期间，所有这些手段的使用量都出现了大幅增长。
风险较大的行业
我们的研究结果表明，商业、高科技和社交媒体这三个垂直行业受到的 应用层 DDoS 攻击最多，在短短 18 个月内就经历了超过 11 万亿次攻击。我们发现，2023 年 6 月的第 7 层 DDoS 攻击次数急剧增加，这可能与当时的地缘政治事件有关。
报告指出，在所有行业中，商业企业受到的 Web 攻击次数最多。2023 年 1 月到 2024 年 6 月期间，商业企业受到攻击的次数排名第一，是排名第二的高科技行业的两倍以上。这反映出商业行业严重依赖于 Web 应用程序和 API，并且面临快速上市的压力，从而可能导致了未能采取充分的安全措施。
保护 Web 应用程序和基础架构
考虑到这种日益增长的威胁，企业需要加倍努力， 保护 Web 应用程序以及为其提供支撑的基础架构。首先，要了解 DDoS 攻击这一重大威胁如何将应用程序作为目标（包括第 3 层、第 4 层和第 7 层）。
第 3 层和第 4 层攻击
基础架构 DDoS 攻击通常侧重于攻击网络层（第 3 层）和传输层（第 4 层)，一般会使用大量流量来使网络不堪重负。此外，这些第 3 层和第 4 层攻击的次数全年内起伏不定；在编写此报告的 18 个月观察期中，每月攻击事件数相差超过 200 起。
第 7 层攻击是
应用层攻击，它通常以第 7 层为攻击目标，此类攻击的数量在不断增加，攻击者偏好此类攻击的原因可能是因为实施攻击所需的资源更少。而且此类攻击更难被发现，这为攻击者提供了另一个潜在优势。
DNS 攻击
对域名系统 (DNS) 协议发起的攻击越来越常见。Akamai 研究发现，在过去 18 个月里，60% 的第 3 层和第 4 层 DDoS 攻击都与 DNS 有关。
使用 Zero Trust 保护应用程序
任何关键数据都需要可靠的安全方法，Web 应用程序和 API 同样如此： Zero Trust。当 Web 应用程序和 API 被忽视时，它们可能会暴露在外部攻击中，在它们之间运行的工作负载也会面临这样的问题。
一种观点认为，实施 Zero Trust 原则（如微分段）始终是一项艰巨的任务，需要完成大量“淘汰和更换”工作。不过，现代方法（例如基于软件的分段）能够大幅减少确保应用程序安全的工作，并提供更出色的网络监测和精细治理控制功能。
采取相应的措施来击退网络威胁围攻
Web 应用程序和 API 的数量持续激增，它们不断推动创新，也塑就了引领现代生活的各种体验。了解其中潜藏的漏洞，进而采取相应措施来增强应用程序是抵御网络威胁围攻的关键。
了解：下载全新互联网现状 (SOTI) 报告《 数字堡垒受到围攻：现代应用程序架构面临威胁》。