在当今开放的生态系统中，集中式安全性是管理所有API的挑战系统。IBM集成工程总监托尼·库西奥(TonyCurcio)表示，他的许多客户公司已经在使用混合架构，其中包括典型的本地基础架构，同时跨多个云提供商以SaaS和IaaS模型采购服务。这些架构旨在提高安全弹性和灵活性。但我们很清楚，这会使集中化工作变得复杂，也就是说：提高安全弹性和灵活性的代价是集中化工作的复杂性。因此，需要有一个集中的API控制位置，以确保API相关业务活动的可见性和更好的管理。由于这种级别的复杂性会随着时间的推移而增加，安全团队面临的问题是开发团队没有集中管理所有API的地方。此外，这种复杂性不仅限于基础设施层，还会延伸到应用层。Deloitte高级技术主管MoeShamim认为非单体应用程序开发是关键。他声称，为了在最大限度减少威胁的同时保持竞争力，组织现在必须将数百万行代码分解为模块化的基于API的流程和系统。这需要重新考虑API网关、IAM、节流和其他因素。这意味着要花费大量的时间和资源。组织的API足迹不再随时间定期增加。它们由多种API组成，包括并购、版本控制API、内部API、第三方API以及偏离其预期用途、开发、测试、调试和诊断目的的API。然而，许多API没有文档记录和管理，有些甚至没有受到保护，这使得复杂性问题更加严重。“ShadowAPI”从何而来？在这种混合云现实中，在不同企业资产所在的环境中运行相同的程序是一项挑战。在选择技术堆栈以顺利实施政策并在所有地方实施治理时，应考虑到这一挑战。但这说起来容易做起来难，尤其是在收购或与其他组织合并的成功企业中：每个企业都使用不同的技术，并且需要为每个额外的环境定制环境。API安全流程。API生命周期？API是如何工作的！根据MoeShamim的说法，API的生命周期可以归结为下图。在制定API安全策略时，必须考虑影响组织开发API的方法的体系结构、分布、设计和其他方面。您可以将这些方面视为在API生命周期的每个阶段引入的控件。它本质上与上面提到的可见性和焦点有关。API生命周期示意图设计阶段决定了API是仅在网络防火墙内使用还是公开使用，以及身份验证等问题。它还将涵盖更多技术问题，例如开发、网关类型和使用的编程语言。在考虑您的威胁模型时做出与您的工具生态系统一致的选择非常重要，并且这适用于您对安全态势做出的每个决定。在构建阶段，必须扫描OWASP前10个问题。为此，SAST工具是一个不错的选择。渗透测试和版本控制不一定集成到您的安全态势中，但它们是可以添加到您的安全武器库中的强大机制。操作阶段包括节流、缓存和日志记录等问题。完整的日志记录和监控机制是修复阶段必不可少的工具，可以帮助修复不同版本的漏洞。最后但并非最不重要的是离线阶段。删除不再使用的端点是一个基本的最佳实践；一般来说，如果您不再需要某项服务，就不要让它一直打开。如果您不再需要某个API，请将其关闭；云帐户也是如此。TonyCurcio声称API项目治理的关键原则之一是API的开发人员、产品经理和消费者之间的协作。检查每个角色的安全配置并协调API策略以确保安全使用是组织安全状况的一个基本方面。在组织内建立API优先的心态是有益的。例如，IBM开发了自己的API管理技术，使他们更容易公开和保护他们的API。但像Imvison一样，拥有先进的API技术，还有很长的路要走。他们的人工智能技术帮助我们更多地了解攻击向量，包括它们的来源等关键问题。采用以情报为主导的安全响应方法马士基的高级解决方案架构师GabrielMaties提供了另一种观点。由于MAERSK有3年的API项目经验，期间遇到了严重的危机，在网络安全方面，他一直认为，如果自己做不到比攻击者更好，至少也要做到和他们一样好。Gabriel分享了他对可见性的看法，因为API管理在内部共享资源，他从一开始就将API管理视为一项多方参与的工作。因此，系统的每个入口点及其支持机制都应仔细审查和集中监控。这种集中化很重要，因为可见性是多维的，从不监控单个方面。这就需要对API有一个全面的了解，这样你就可以很容易的了解API部署在哪里，所有者是谁，使用者是谁，如何使用，正常使用是什么状态，每个API是如何保护的..此外，集中化还有助于更好地了解每个API的生命周期是什么样的、存在多少个版本、共享哪些数据、存储在何处以及谁在使用它。中心化是确保以最大利益和最小风险管理这个复杂生态系统的唯一方法。具有重点观察的可见性层次结构图可以使进一步的见解对观察起作用。可视化使您能够在制定策略时观察正在进行的、未知的主动攻击，并使您能够根据从观察中获得的洞察力采取行动。基于规则的安全性非常有效，机器学习和深度学习两种技术可以使其自动化和程序化。主要是因为没有其他替代技术来处理海量数据。而且，这两种技术都支持自适应威胁防护，以帮助应对新威胁。坏消息是黑客正在使用相同的技术，与他们打交道需要组织成熟度来采取必要的行动。我们在这里谈论的是繁重的工作，比如关闭负载平衡器、切换防火墙和其他自动快速发生的基础设施更改。如果整个组织没有高度成熟，这是不可能实现的。监督机器学习可以帮助组织提高这种成熟度。它使您能够处理大量规则并生成洞察力，以便设计自动化操作流程。此外，数据科学提供了跟踪特定攻击者行为的重要知识。当组织面临不同的资源或持续存在的高级威胁时，这些专业知识至关重要。随着规则和流程的变化和更新，这种以情报为主导的安全响应能够根据可量化的证据做出持续的自适应、反思性响应。这是应对数量和复杂性不断增加的攻击的唯一方法。黑屏：一次真实的攻击Gabriel谈到了他在Maersk工作时经历的一次真实攻击。一天，也就是他加入马士基大约九个月后，他们的屏幕变黑了。断开服务器连接并拔下插头也无济于事。为时已晚，几分钟之内，数千台计算机宕机了。这不是一次赚钱的攻击，而是一次旨在让马士基屈服的破坏性攻击。由于攻击者使用了单向加密，加布里埃尔和他的团队别无选择，只能重建系统。显然，网络安全是重建系统时的重中之重。他们认为，动态分析对于实时分析以增强持续学习和适应威胁的能力至关重要。由于80%的攻击都是内部行为，他们的目标是了解什么是正常的，什么不是。攻击发生后，Gabriel提出了四个级别的可见性、健康检查和一种判断系统安全是否已被破坏的方法。现在所有的流程和架构决策都必须经过网络安全评估，而且它们都必须经过大量的制衡。但这并不意味着必须满足所有条件才能批准新流程或决定。因为重点是让你了解自己的差距和弱点。这样您就可以利用正确的功能和供应商来实施您的安全理念。在过去两年中，我们看到越来越多的组织采用特定于API的工具来帮助监控、发现和消除影子API，以更好地了解其风险。这是一个很大的改进，因为API与我们的应用程序世界完全不同。使用专为它构建的独特工具和流程是保护API的唯一方法。API安全：让董事会参与进来正如我们所见，网络安全攻击的数量和严重程度不断增加，这让许多企业董事会和高管开始关注API保护。提高知名度是高管了解他们面临的风险的另一种方式。如果您能找到一种方法让您的主管知道有多少未受保护的数据容易受到损害，那么您就已经赢得了一半的胜利。反过来，这种可见性将增强更具适应性和自反性的网络安全态势，使您能够不断学习、获得洞察力并调整态势以应对不断出现的新型攻击。在不同的企业资产中建立一致、可见的安全态势是健全的网络安全战略的核心原则。这种安全态势必须考虑API生命周期的四个阶段：设计、构建、操作和停用。为了正确地做到这一点，您必须选择合适的技术。该技术需要能够实施您在API安全管理的早期阶段确定的策略、工具和治理。最后，同样重要的是制定一个全面的、有针对性的战略来保护具有更高可见性的资产。来自Imvision等创新公司的高级ML和深度学习技术一定能帮助您实现这一目标。点评随着API应用场景的增多，系统被攻击的风险也越来越大。API安全的维护不仅仅是网络安全部门的工作，更需要整个企业，尤其是领导决策层的重视。API生命周期中可视化技术的应用，使得网络安全态势能够更加形象、具体地呈现给包括非技术人员在内的所有系统用户。这不仅可以让用户更好地了解当前系统的安全状况，还可以充分发挥群体决策的优势。
