近日，網(wǎng)絡(luò)安全領(lǐng)域的一項(xiàng)研究顯示，中國(guó)在過去一年中在應(yīng)對(duì)應(yīng)用程序編程接口（API）安全事件上的花費(fèi)位居全球之首，總額高達(dá)77.8萬美元（折合人民幣約568萬）。這一數(shù)據(jù)出自Akamai發(fā)布的《API安全影響研究》報(bào)告，揭示了API安全已成為企業(yè)不可忽視的重大挑戰(zhàn)。
API攻擊并非新鮮事物，其歷史可追溯至互聯(lián)網(wǎng)發(fā)展的早期階段。從最初的計(jì)算機(jī)單機(jī)時(shí)代，API主要用于軟件模塊間的內(nèi)部交互，安全問題尚未浮出水面，到CGI（通用網(wǎng)關(guān)接口）的出現(xiàn)，API攻擊開始嶄露頭角，攻擊者通過篡改參數(shù)、簡(jiǎn)單注入等手段試圖突破接口限制。
進(jìn)入2000年至2010年間，隨著Web2.0的興起，SOAP協(xié)議推動(dòng)了企業(yè)對(duì)外API的標(biāo)準(zhǔn)化，但復(fù)雜的協(xié)議設(shè)計(jì)也引入了新的安全風(fēng)險(xiǎn)，如XML注入和中間人劫持。隨后，RESTful API因其簡(jiǎn)潔性而廣受歡迎，卻也因此暴露了會(huì)話劫持和令牌泄露等問題。
自2010年后，云計(jì)算的崛起使API成為企業(yè)的核心數(shù)字資產(chǎn)，然而，企業(yè)API清單管理的滯后導(dǎo)致了大量影子API的存在，為攻擊者提供了可乘之機(jī)。利用這些未記錄或過時(shí)的接口，攻擊者能夠發(fā)起DDoS攻擊和敏感數(shù)據(jù)竊取，如2017年Equifax因API漏洞導(dǎo)致1.4億用戶數(shù)據(jù)泄露的事件。
隨著Bot技術(shù)的成熟，惡意爬蟲通過批量調(diào)用API接口，進(jìn)一步加劇了安全威脅。例如，2019年某社交平臺(tái)因缺乏反爬機(jī)制，導(dǎo)致5億用戶信息在暗網(wǎng)上流通。在此期間，API攻擊流量的增速達(dá)到了普通流量的三倍。
如今，以生成式AI為代表的新AI時(shí)代已經(jīng)到來，企業(yè)通過API調(diào)用大模型已成為趨勢(shì)。在此背景下，云服務(wù)商承擔(dān)了大模型底座安全、應(yīng)用訪問以及數(shù)據(jù)合規(guī)安全的責(zé)任，但企業(yè)仍需關(guān)注API調(diào)用和數(shù)據(jù)外發(fā)的安全問題。
Akamai的研究顯示，2023年1月至2024年6月間，亞太地區(qū)記錄到1080億次API攻擊，占所有Web攻擊的15%。在中國(guó)，企業(yè)對(duì)API安全的重視程度極高，將“保護(hù)API免受攻擊”列為網(wǎng)絡(luò)安全的第一要?jiǎng)?wù)，遠(yuǎn)超其他國(guó)家。
然而，盡管中國(guó)企業(yè)對(duì)API安全的重視程度較高，但在實(shí)際操作中仍存在諸多挑戰(zhàn)。例如，API錯(cuò)誤配置、網(wǎng)絡(luò)防火墻和API網(wǎng)關(guān)未能有效攔截攻擊、授權(quán)漏洞以及生成式AI工具暴露等問題頻發(fā)。其中，API錯(cuò)誤配置漏洞最為常見，占比達(dá)到22.3%。
從API攻擊類型來看，注入攻擊、越權(quán)/未授權(quán)訪問以及DDoS攻擊是當(dāng)前主要的攻擊手段。以DeepSeek為例，該大模型在火爆出圈后不到一個(gè)月內(nèi)就遭遇了多次大規(guī)模DDoS攻擊，包括HTTP代理攻擊和僵尸網(wǎng)絡(luò)攻擊等。
面對(duì)日益復(fù)雜的API攻擊手段，企業(yè)應(yīng)如何應(yīng)對(duì)？Akamai北亞區(qū)技術(shù)總監(jiān)劉燁建議，企業(yè)首先需要就API安全事件的原因、影響及處理優(yōu)先級(jí)達(dá)成共識(shí)，并在此基礎(chǔ)上分步構(gòu)建持久的API安全策略。
具體來說，企業(yè)應(yīng)從API發(fā)現(xiàn)和監(jiān)測(cè)能力入手，利用自動(dòng)化工具全面清查API資產(chǎn)。同時(shí)，完善API測(cè)試，確保API編碼能夠?qū)崿F(xiàn)預(yù)期功能，并在部署前和生產(chǎn)環(huán)境中進(jìn)行測(cè)試。對(duì)API進(jìn)行充分記錄，審核API環(huán)境以識(shí)別配置錯(cuò)誤或其他問題，并確保每個(gè)API都得到充分記錄，以滿足合規(guī)要求。
在運(yùn)行時(shí)檢測(cè)方面，企業(yè)應(yīng)利用API安全解決方案的自動(dòng)運(yùn)行時(shí)檢測(cè)功能，區(qū)分正常和異常的API活動(dòng)，并實(shí)時(shí)檢測(cè)威脅行為。通過與現(xiàn)有的安全產(chǎn)品組合（如WAF或Web應(yīng)用程序和API保護(hù)）集成，企業(yè)能夠發(fā)現(xiàn)高風(fēng)險(xiǎn)行為并在可疑流量抵達(dá)關(guān)鍵資源之前進(jìn)行攔截。
在API安全防護(hù)更為成熟的階段，企業(yè)還應(yīng)對(duì)過往的威脅數(shù)據(jù)進(jìn)行取證分析，了解系統(tǒng)是否正確識(shí)別不同的威脅并觸發(fā)相應(yīng)的告警，并確認(rèn)是否出現(xiàn)了新型攻擊模式。通過結(jié)合先進(jìn)工具與人類智慧，企業(yè)能夠主動(dòng)搜尋威脅，確保API安全。
