API 安全最佳实践： 确保数据安全的 10 +提示

随着企业不断拥抱数字化转型，API（应用编程接口）几乎已成为每家公司 IT 基础设施不可或缺的一部分。虽然 API 是应用程序之间连接和共享数据的好方法，但它们也存在潜在的安全风险。

因此，制定全面的 API 安全战略至关重要。从身份验证到安全存储和加密，安全最佳实践可确保您的数据安全。

在这篇文章中，我们将解释 API 安全的基本原理，包括针对 API 的常见威胁以及防御这些威胁的最佳方法，这样您就可以从这项技术中获益，而不会受到其不利影响。

什么是 API 安全性？

API 安全是保护 API 免受网络攻击和滥用的做法。适当的应用程序接口安全措施可确保对API的所有处理请求均来自合法来源且有效。安全最佳实践还可确保来自 API 的所有响应都不会被拦截或利用。

API有助于在系统和外部用户之间传输数据（通常是私人数据）。因此，维护不善和不安全的 API 是通向敏感数据的一扇未上锁的大门。使用最佳实践（如使用VPN而不是杀毒软件和真实API）来保护您的数据非常重要。

这对黑客来说是个好消息，对您的客户来说是个巨大威胁。如果你觉得这是在危言耸听，那么你要知道，数十亿条记录已因网络攻击而曝光，其中许多都是由于不安全的 API 造成的。

恶意行为者将目标对准了大小公司。API 黑客已经影响到 Facebook、Venmo、Twitter 和美国邮政等企业。为了保护敏感数据，您必须将 API 安全纳入规划和构建流程。

为什么 API 安全很重要

虽然网络安全是一个涵盖所有在线技术的广泛话题，但API却带来了独特的挑战。

API介于第三方开发人员和公司资源之间。这些安全漏洞会对应用程序和用户造成危害，因为被黑客攻击的端点会直接访问敏感信息。

虽然财务影响可能很大，但对品牌的损害可能无法弥补。使用您的 API 肯定会失去客户的信任和信誉。第三方集成应用程序甚至可能因此受到损害。

API网络攻击的类型

在回顾加固 API 的最佳实践之前，我们需要知道我们要面对的是什么。以下是您应该了解的针对 API 的最常见攻击。

被盗验证

访问API的最简单方法之一就是劫持授权用户的身份。例如，如果身份验证令牌落入不法分子之手，它可能会被用来访问具有恶意意图的资源，同时看起来是合法的。

网络犯罪分子会试图猜测身份验证密码或破解薄弱的身份验证程序，以获取访问权限。

中间人攻击

当黑客截获终端用户与API之间的请求或响应时，就会发生中间人（MITM）攻击。他们可能窃取通信内容（如登录凭证或支付信息）或修改请求/响应内容。

代码注入

在身份验证和验证方面存在漏洞的 API 也容易受到代码注入的攻击，在这种情况下，攻击者会通过 API 请求向应用程序的服务器发送脚本。这种脚本的目的是暴露或删除数据、植入虚假信息和/或破坏应用程序的内部结构。

您还会看到 “SQL 注入 ”一词。这种代码注入是在 SQL 数据库中进行的。

拒绝服务攻击

拒绝服务（DoS）攻击会通过 API 请求压倒服务器资源，从而导致网络服务器速度变慢、中断或崩溃。这些攻击通常由多个恶意源同时发起，即分布式拒绝服务（DDoS）攻击。

API安全最佳实践

尽管存在这些风险，但 API 不会很快消失。几乎所有寻求与他人集成的在线应用程序都需要 API。

每一个新的API都为黑客提供了另一个利用个人数据的机会。因此，任何监督软件集成的人都应该了解 API 安全措施。这些最佳实践有助于保护敏感数据免受网络攻击和未经授权的访问。

1.实施身份验证和授权。

防止未经授权访问的第一道防线是实施身份验证系统，要求用户在访问任何数据前提供有效凭证。授权也很重要，因为它规定了每个用户访问特定信息的级别。

我们喜欢的是：身份验证和授权保护用户免受未经授权的访问。

最适合：所有涉及敏感数据或需要用户身份验证的应用程序。

专业建议：启用双因素身份验证 (2FA)，提供额外的安全保障，确保只有获得授权的人才能访问系统。

2.使用 SSL/TLS 加密。

API与客户端之间的所有通信都应通过 SSL 连接或 TLS 加密协议（如 HTTPS）来确保安全。这可确保通过网络发送的所有数据都经过加密，并防止第三方恶意攻击。

我们喜欢的是：SSL/TLS加密为保护传输中的数据提供了一个额外的安全层。

最适合：任何通过网络发送敏感数据或存储用户私人信息的应用程序。

专业建议：确保您的网络应用程序使用最新、最安全的 HTTPS 版本，并启用 TLS 1.3 协议，以最大限度地提高安全性。

3.实施速率限制。

为了防止恶意自动攻击，您应该对 API 调用实施速率限制。这将确保请求得到及时处理，而且不会有一个用户同时向系统发出过多请求。

我们喜欢的是：速率限制可防止恶意自动攻击。

最适合：任何网络应用程序或API都会快速接收来自同一用户的多个请求。

专业建议：根据系统需要设置费率限制，并根据使用模式进行调整。

4.使用审计和日志记录。

跟踪用户访问的内容以及他们使用这些信息所做的事情至关重要。确保记录每个 API 请求，并保留用户活动的审计日志，以确保数据安全和合规性。

我们喜欢的是：审计和日志记录有助于跟踪用户活动，防止数据泄露或违规问题。

最适合：任何存储或传输机密信息或个人数据的系统。

专业建议：确保您制定了全面的审计和日志记录政策，并确保定期审查和更新，以跟上最新的安全威胁。

5.限制访问敏感数据。

如果可能，限制对银行信息或健康记录等敏感数据的访问。这可以通过授权策略或在数据通过网络传输前对其进行加密来实现。

我们喜欢的是：限制敏感数据的访问是防止潜在数据盗窃或滥用的好方法。

最适合：任何处理重要个人或财务信息的系统。

专业建议：评估不同的方法，如授权策略、加密、令牌化等，并使用最能满足应用需求的方法。

6.监控异常活动并发出警报。

建立一个系统来监控用户行为，并在发现可疑活动（如多次尝试访问某个端点失败）时发出警报。这将帮助你检测和阻止恶意活动，避免其成为更大的问题。

我们喜欢的是：建立一个系统来监控用户行为并对可疑活动发出警报，可以帮助您在恶意攻击成为更大问题之前发现并阻止它们。

最适合：任何需要验证或携带敏感数据的网络应用程序。

专业建议：使用自动化工具定期扫描系统，并对任何异常活动设置警报。通过自动化工具利用流行的漏洞扫描仪来增强系统安全性。

7.定期更新并迅速修补漏洞。

确保为您的 API 更新最新的安全补丁，以及可能发布的任何新功能或错误修复。这有助于防止攻击者利用任何已知漏洞。

我们喜欢的是：及时更新 API 可确保修补所有已知漏洞，这有助于防范潜在的攻击者。

最适合：定期发布更新或漏洞修复的任何应用程序。

专业建议：随时关注最新的安全更新，并确保一有更新就立即应用。

8.使用 API 网关。

API 网关可以在客户端和 API 之间充当 “守门员”，帮助保护 API 免受恶意攻击。它将过滤掉任何可疑请求，并在请求到达目的地之前将其阻止。

我们喜欢的是：API网关充当客户端和服务器之间的 “守门员”，在恶意攻击到达目的地之前提供保护。

最适合：任何从外部接收大量请求的应用程序。

专业建议：选择具有高级过滤功能的 API 网关，以最大限度地防范潜在威胁。

9.安全存储和加密静态数据。

任何本地存储的数据都应加密，以防止未经授权的访问。这包括可能拍摄的任何数据备份或快照。

我们喜欢的是：确保本地存储的所有数据都经过加密，防止未经授权的个人或程序访问。

最适合：在本地数据库或备份中存储敏感数据的任何应用程序。

专业建议：确保在存储机密信息时使用多层加密，以最大限度地提高数据安全性。

10.使用网络应用防火墙 (WAF)。

WAF是一款安全软件，它位于您的API和互联网之间，可以在恶意流量到达您的服务器之前将其过滤掉。它是防止 DDoS 攻击和其他恶意活动的好方法。

最适合：任何面向外部流量的网络应用程序或API，例如通过公共网站或移动应用程序暴露的网络应用程序或API。

专业建议：选择一个可以根据您的特定需求轻松定制的 WAF，允许您根据系统内不同的访问点或用户角色设置不同的安全级别。然后，确保您的 WAF 定期更新，以确保应用最新的安全补丁，从而保证数据和应用程序的安全。

确保在整个应用堆栈中实施上述所有最佳实践，不仅仅是API层。这将会确保您所有数据的全面安全性 ，无论其在何处。

API安全测试

API 安全的第一步是确保您的 API 按预期运行。这意味着通过 API 客户端提交常规请求，并确保它们符合上述原则。开发能回答以下问题的方案：

• 只有经过身份验证的用户才能访问端点吗？
• 用户是否只能根据其角色访问必要的端点？
• 是否在每个潜在请求的响应中返回正确的信息？
• 是否拒绝了良性但无效的请求？

一旦确定您的 API 可以正常工作，您就需要在适当的测试环境中模拟针对系统的代码注入、MITM、DoS 和密码窃取攻击。请在测试中注意以下几点：

• 我的身份验证能否抵御暴力进入尝试？我的应用程序接口如何处理大量激增的请求？
• 如果已通过身份验证的用户通过请求提交了有害脚本或文件怎么办？
• 所有数据传输是否都经过加密？是否禁止不使用 TLS/SSL 的请求（即使用 HTTP 而非 HTTPS）？
• 如果请求或响应被拦截怎么办？
• 我的 API 和用户如何知道？

以下是您可以进行的一些具体测试。

注意：也许您没有内部员工来执行这些测试。请寻找能够提供这方面专业知识的顾问提供帮助。

用户身份验证测试

如果身份验证机制实施不当，攻击者就会破坏身份验证令牌，或利用实施缺陷假冒其他用户的身份，从而访问您的 API 端点。

若要测试身份验证机制，请尝试在没有正确身份验证的情况下发送API请求。查看API是否响应正确的错误和消息。尝试使用无凭据和不正确的凭据进行此测试。

参数篡改测试

要运行参数篡改测试，在 API 请求中尝试各种无效查询参数的组合，看看它是否以正确的错误代码做出响应。如果没有，您的API可能存在一些必须解决的后台验证错误。

注射测试

尝试在 API 输入中注入 SQL、NoSQL、LDAP、操作系统或其他命令。然后，看看你的 API 是否会执行它们。这些命令应该是无害的，比如重启命令或 cat 命令。

未处理 HTTP 方法测试

大多数 API 都有各种 HTTP 方法来检索、存储或删除数据。有时，网络服务器会默认访问不支持的 HTTP 方法，从而使您的 API 容易受到攻击。

要测试此漏洞，请尝试所有标准 HTTP 方法（POST、GET、PUT、PATCH 和 DELETE）和一些不常用的方法。

例如，使用 HEAD 而不是 GET 发送 API 请求，或者使用 FOO 等任意方法发送请求。你应该得到一个错误代码。如果得到的是 200 OK 响应，说明你的 API 存在漏洞。

模糊测试

模糊测试应该是 API 安全审计流程的最后步骤之一。这类测试会将 API 推向极限，以发现任何尚未暴露的安全问题。

要做到这一点，请发送大量随机请求，包括 SQL 查询、系统命令、任意数字和其他非文本字符。然后，看看你的API是否会出现错误响应、错误处理这些输入或崩溃。

这类测试将模拟溢出和 DDoS 攻击。

API管理器或网关工具将处理或帮助处理上述API安全准则（包括测试）。下面让我们来详细了解一下这些工具。

API安全管理

借助 API 管理平台，您可以在一个地方确保跨环境和供应商的所有 API 和端点的安全。您还可以通过分配预先配置的安全认证配置文件、创建和定制可用于保护所有 API 或单个 API 安全的策略等方式，实现 API 安全流程的自动化。

可以说，API 管理平台最重要的功能就是访问控制。它们应防止未经授权的用户获得对 API 服务和数据的不当访问权限。

为了执行访问控制，大多数API管理平台至少支持以下一种或全部三种类型的安全方案：

• API 密钥：提供唯一身份验证信息的单个令牌字符串。
• 基本身份验证：一种双令牌字符串解决方案，类似于用户名和密码，可提供唯一的身份验证信息。
• OpenID Connect (OIDC)： OAuth框架之上的简单身份层，通过获取基本档案信息等方式验证用户，并使用身份验证服务器。

要了解一些能帮助您保护 API 安全的流行 API 管理平台，请查看”What Is an API Gateway & How Does It Work? [+Best Service Providers].”

这篇文章的重点是 REST API，因为目前 REST API 约占 API 的 83%，但任何 API 都存在安全漏洞的风险。这就是为什么我们将讨论REST API安全性和另一种常见的API类型SOAP的安全性之间的关键差异。

REST API 安全与 SOAP API 安全

软件开发人员可以采用不同的架构来构建API 。最流行的是表示状态传输（REST）和简单对象访问协议（SOAP）。

REST API 通过超文本传输协议（HTTP）传输数据。同时，SOAP 将数据编码为 XML（一种用于存储和传输信息的通用标记语言），并通过 HTTP 发送。

SOAP的要求比RESTful设计更严格，这使得这种API类型的构建更具挑战性。不过，与其他API设计相比，它往往更安全，更能保持数据的完整性。

下面让我们来分析一下他们的不同之处。

RESTful API 安全

RESTful 协议支持 SSL 以保护传输的数据，但缺乏内置的安全功能，包括错误处理。它也不支持网络服务（WS）规范，因此无法使用网络服务安全等安全扩展来实现企业级安全。

这意味着 REST API 的安全性取决于 API 本身或 API 网关的设计。

SOAP API 安全

与 RESTful 一样，SOAP 协议也支持 SSL 以保护传输时的数据，但它更进一步。

它不仅包括 SAML 标记、XML 加密和 XML 签名（基于 W3C 和 OASIS 建议），这些有助于保护 SOAP API 发送和接收数据的安全，而且还支持网络服务 (WS) 规范。

这样，您就可以使用安全扩展，如用于企业级安全的 Web Services Security 和提供内置错误处理功能的 WS-ReliableMessaging。

通过保护API 来保护用户

API 技术为在线应用程序带来了无数的可能性，但安全事故可能会让您从 API 中获得的任何好处迅速化为乌有。虽然不可能根除所有威胁，但上述原则对于任何关心其声誉，更重要的是关心其客户的组织来说都是必要的。

原文链接：https://blog.hubspot.com/website/api-security