API安全正逐步邁入主流視野
無(wú)數(shù)物聯(lián)網(wǎng)設(shè)備正不斷從云端“母艦”處檢查豐富數(shù)據(jù)，而其中使用的強(qiáng)大API接口也迅速成為惡意黑客眼中的攻擊目標(biāo)。于是，API安全再次站在了時(shí)代舞臺(tái)的最中央。
谷歌API安全計(jì)劃Apigee的出現(xiàn)，令A(yù)PI的整體安全水平邁上新的臺(tái)階。而且不僅僅是物聯(lián)網(wǎng)，流暢絲滑的用戶體驗(yàn)設(shè)計(jì)背后也同樣要求機(jī)器間數(shù)據(jù)的無(wú)縫對(duì)接。只有這樣才能以低摩擦方式交換大量數(shù)據(jù)，將遠(yuǎn)端分布式響應(yīng)技術(shù)融入到前所未有的精彩體驗(yàn)中來。
但為了讓這一切“正常起效”，我們也要考慮到強(qiáng)大接口所引發(fā)的惡意攻擊可能性。如果不加控制，創(chuàng)紀(jì)錄的傳輸能力只會(huì)把敏感數(shù)據(jù)以創(chuàng)紀(jì)錄的速度傳遞給惡意黑客。
為此，我們?cè)诮衲甑腞SA大會(huì)上發(fā)表了一篇文章，討論初創(chuàng)企業(yè)正以怎樣的方式保障API安全、防止其在悄無(wú)聲息之下淪為傾泄數(shù)據(jù)的致命軟肋。除我們之外，知名安全媒體DarkReading也打算好好給API安全事件引發(fā)的業(yè)務(wù)損失算筆賬。
如今，更多重量級(jí)巨頭也在進(jìn)軍這一領(lǐng)域，打算將API安全保障塑造成“下一件大事”。谷歌為自家云平臺(tái)打造的Apigee Advanced API Security，就是想幫助組織客戶發(fā)現(xiàn)API配置錯(cuò)誤并阻止惡意機(jī)器人。從之前的記錄來看，API配置錯(cuò)誤正是多數(shù)安全事故的罪魁禍?zhǔn)字弧?/p>
好在OWASP API Security Project等工具已經(jīng)相繼出爐，能幫助大家對(duì)自己的API或需要交互的API開展健康檢查，并以結(jié)果作為安全衡量基準(zhǔn)。這些工具還深入剖析了常見錯(cuò)誤配置及處理方法，相當(dāng)于給大家提供了良好的保護(hù)起點(diǎn)。
而就在企業(yè)重視API保護(hù)工作的同時(shí)，下階段針對(duì)API的黑客攻擊也必然迅速增加。而這一波的攻擊重點(diǎn)，很可能就是在云和大數(shù)據(jù)體系中至關(guān)重要的工業(yè)接口。而一旦這里存在配置錯(cuò)誤，將很快導(dǎo)致大量數(shù)據(jù)被傳遞至犯罪分子手中，最終引發(fā)嚴(yán)重危害。在這場(chǎng)關(guān)于安全的軍備競(jìng)賽中，我們唯一能做的就是避免自己淪為那個(gè)受害者。
