网络安全|以AI行为分析技术切入全面管控数字时代的API安全风险网络安全

文章图片

文章图片

随着企业数字化转型的加速，越来越多的企业开始大量的使用API技术来构成自身的竞争力和生命力。 API开始成为数字时代的信息基础设施，在现代企业的商业模式中发挥着巨大的作用。
但随着API自身经济价值的凸显，攻击者和黑灰产从业者的觊觎也随之而来。 API一旦被恶意利用，黑客有可能获取大量敏感数据，给企业带来严重损失。包括FaceBook、Linkedin这样具备一定安全能力的大型互联网公司都遭遇了因API安全问题导致的数据泄漏事件。 Gartner也曾预测， “到2022年， API将成为网络攻击者利用最频繁的载体。 ”
安全419在与业内多家厂商朋友们的交流中发现，尽管当前已有多家厂商投身于API安全这一赛道，但有趣的点在于，厂商之间的竞争似乎并不激烈，大家都在从自身的能力出发，从各自的不同视角去看待、思考，并结合自身能力提出API安全建设方案。但某种程度上这也证明， API安全并非一个成熟的市场，安全厂商们也在摸着石头探索前进的方向。
瑞数信息是安全419近期接触到的一家业内主打动态安全技术和AI技术的应用安全厂商，因为API与应用面临的安全风险关联紧密，因此其在API安全领域也有较早的投入。
在本篇文章中，我们再次邀请到了瑞数信息CTO马蔚彦带来自身对于API安全领域的观察和理解，并围绕API安全市场发展情况、在API领域的技术思路，以及未来API安全整体发展方向等话题进行了分享。

API正在从技术语言走向业务语言
API（Application Programming Interface）的本义是应用程序接口，主要的作用是实现应用程序或者软件组件之间的链接，通过API来实现它们之间的交互。马蔚彦指出，过去API主要用于企业内部， API的流量也以企业内部应用与应用之间的互访为主，利用API组件能够更快速地实现功能复用、功能调整，提升开发效率。 “作为一项底层的开发技术，除了开发人员之外，几乎没人会过多地关注API 。 ”
但随着云计算的发展，云原生、微隔离等技术出现后， API一举成为了实现微隔离、微服务和云原生的必要组成部分，甚至已经成为了数字时代的信息基础设施。与此同时，数字化的发展以及企业数字化转型的加速，也让API迅速从一个技术语言走向了业务语言。 API也不再是一个纯粹的技术名词，而是逐渐走向业务化和商业化，以API为核心的商业模式——API经济也随之出现。
“这个时候API已经跳出了原来狭小的技术范畴，也不再仅仅连接企业组织内部，而是连接企业和企业，供应链上下游的商业生态，成为实现数字业务服务和数据交换的重要桥梁。当API成为IT系统和业务应用当中的一个组成部分之后，它的安全问题也就伴随而来了” ，马蔚彦谈到。
API的安全是一个完整的安全命题
【网络安全|以AI行为分析技术切入全面管控数字时代的API安全风险】马蔚彦告诉我们，在《网络安全法》《数据安全法》出台之后， API的数据安全合规成为了企业重点关心的问题，因为作为数据交换的接口， API面临的数据泄露风险时非常高的。但事实上， API的安全绝非仅仅是数据安全，它面临的风险十分复杂，其中既有传统的漏洞风险和网络攻击风险，也有API滥用风险、僵尸API、非授权访问和不当配置等具有API自身特性的风险。 “API的安全问题同应用安全实际上是类似的，它既存在保密性问题，也存在可用性问题，所以如何做好API安全是一个完整的安全命题。 ”

网络安全|以AI行为分析技术切入 全面管控数字时代的API安全风险

网络安全|以AI行为分析技术切入全面管控数字时代的API安全风险