保護(hù)這些數(shù)據(jù)免受攻擊者的攻擊，同時(shí)確保集成按照所需的水平執(zhí)行，需要采取多種安全措施。
由于越來越多的組織正在尋求構(gòu)建面向客戶的API集成（即產(chǎn)品集成），因此采取這些措施只會(huì)變得越來越重要。（最近針對(duì)2024年產(chǎn)品集成狀況報(bào)告對(duì)260名產(chǎn)品經(jīng)理和工程師進(jìn)行了調(diào)查，我們發(fā)現(xiàn)83%的公司已將產(chǎn)品集成確定為今年的首要任務(wù)之一。）
組織可以通過采取以下步驟大規(guī)模構(gòu)建安全的內(nèi)部和面向客戶的API集成：
使用API網(wǎng)關(guān)采用整體安全方法
API網(wǎng)關(guān)使用多種方法來最小化和防止跨API端點(diǎn)的威脅。其中包括以下內(nèi)容（除其他外）：
記錄API請(qǐng)求，以便輕松審核
應(yīng)用全球速率限制以避免潛在的濫用并更公平地服務(wù)用戶
阻止來自已知執(zhí)行惡意活動(dòng)的特定IP地址和/或區(qū)域的請(qǐng)求
使用作用域遵循最小權(quán)限原則
即使用戶經(jīng)過身份驗(yàn)證和授權(quán)，他們也可能不應(yīng)該（也不需要）從給定端點(diǎn)訪問所有數(shù)據(jù)。
例如，用戶需要來自公司人力資源信息系統(tǒng)(HRIS)的員工的具體詳細(xì)信息（名字、姓氏、經(jīng)理和職位）。用戶應(yīng)該能夠通過API請(qǐng)求獲取此信息，同時(shí)無法檢索他們不需要的高度機(jī)密信息（例如，員工的社會(huì)安全號(hào)碼和銀行信息）。
由于范圍可以為訪問令牌定義自定義權(quán)限，因此它們可以幫助促進(jìn)上述場(chǎng)景。如果訪問令牌落入壞人之手，范圍可以防止許多負(fù)面后果，因?yàn)楂@得訪問令牌的個(gè)人只能訪問一組有限的數(shù)據(jù)和功能。
定期更新軟件以盡量減少薄弱環(huán)節(jié)
為了確保應(yīng)用程序的漏洞得到修補(bǔ)并不斷提高其安全能力，應(yīng)盡可能頻繁地更新應(yīng)用程序。
實(shí)現(xiàn)此目的的一種方法是在給定應(yīng)用程序有可用更新時(shí)打開警報(bào)。如果這不是一個(gè)選擇，還存在其他方法，例如更新操作系統(tǒng)或使用可以自動(dòng)更新應(yīng)用程序的第三方工具。
值得注意的是，即使應(yīng)用程序安裝了最新更新，它仍然可能存在安全風(fēng)險(xiǎn)。靜態(tài)應(yīng)用程序安全測(cè)試(SAST)工具可以幫助識(shí)別和解決更新的應(yīng)用程序中存在的任何問題。
對(duì)給定的API端點(diǎn)實(shí)施特定的速率限制
速率限制可以防止?jié)撛诘墓粽哐蜎]API端點(diǎn)，從而使真實(shí)用戶無法訪問它（即拒絕服務(wù)攻擊）；它可以控制來自多個(gè)源的大量請(qǐng)求（即分布式拒絕服務(wù)攻擊）；它可以減緩暴力攻擊；并且可以防止數(shù)據(jù)抓取。
除了安全優(yōu)勢(shì)之外，速率限制還值得使用，原因有很多：它們有助于控制成本、確保可靠的性能、減少錯(cuò)誤、使API提供商能夠遵守特定的數(shù)據(jù)隱私法規(guī)等等。
漏斗日志記錄到SIEM解決方案以及時(shí)發(fā)現(xiàn)安全問題
大規(guī)模分析API調(diào)用的日志可能非常耗時(shí)，因?yàn)檫@需要隨著時(shí)間的推移梳理數(shù)千甚至數(shù)百萬條日志。手動(dòng)分析日志還可能導(dǎo)致代價(jià)高昂的人為錯(cuò)誤，例如丟失顯示潛在安全威脅的日志。
為了更輕松地查看日志并解決它們揭示的任何安全問題，可以將它們添加到實(shí)時(shí)安全信息和事件管理(SIEM)解決方案中。
通過SIEM解決方案，預(yù)定義的團(tuán)隊(duì)或員工可以收到有關(guān)可疑活動(dòng)的實(shí)時(shí)警報(bào)。該解決方案還可以將日志與其存儲(chǔ)的其他數(shù)據(jù)結(jié)合起來，以查明更復(fù)雜的威脅。
