​黑客眼中的“香饽饽”：API攻击为啥盛行，企业应该如何防范？

近几年，说起攻防对抗，大家聊的最多的可能是0day、钓鱼、供应链风险……对于一个黑客来说，如果他要挑一个既省事又好用的攻击突破口，那首选恐怕就是API了。

API到底是什么？

API，中文名称叫应用程序编程接口，是现代移动、SaaS 和 Web应用程序的一个关键组成部分。听起来很晦涩难懂，但其实我们每个人的生活都会接触 API：早上出门，打开手机看看天气，天气APP需要通过 API 提取数据；到了公司，被安排出差，赶紧上网查票，购票网站更新数据用的也是API；买好票后，打开OA提交流程，OA应用传递数据用的还是API……在数字经济时代，不论是内部系统间的调用，还是各类数据汇集平台，都大量使用了API。为什么黑客对API情有独钟？为什么API总被攻击者盯上？概括来说，有三个原因：一、目标好找：API的职责就是应用之间的调用，天然就是公开且暴露的；二、攻击潜在收益高：API携带大量重要数据和认证信息，一旦攻击者成功突破 API，可直达核心系统。三、攻击防范较困难：大量的API权限控制不够精细，很容易被攻击者找到漏洞，从而轻易绕过边界防护。

由于API通常对应着大量高价值数据，也被各种自动化的爬虫工具高度关注，平台运营者饱受薅羊毛、数据窃取的干扰，而API的使用也常受到流量占用等威胁的影响，无法正常工作。

API安全防护怎么做？

在攻防对抗愈演愈烈的今天，怎样让API的安全保护更加精准、有效？传统的API安全防护依赖API网关与WAF、IPS类防护产品的配合，方案整合复杂并且针对性不足，在实战当中很容易漏防或误报，近年来逐渐被专用的API检测和攻击防护系统所替代。

作为专用的API检测和攻击防护方案，盛邦安全API资产识别及主动防护方案为解决API安全防护问题提供了新的思路：

l 主被动结合的API资产发现能力，精准识别API资产攻击面

API资产的暴露面很广，但运营者往往不清楚自己有多少API，也不确定哪些是废弃的、测试的或是有漏洞的，单纯通过人工梳理或网关搜集很难理清，并且无法掌握状态变化。

盛邦安全API资产识别及主动防护方案采用主被动结合的学习方式，可以全面识别API资产，一方面通过流量学习来梳理活跃的API数据；另一方面通过主动画像的方式来发现暴露的API资产，同时记录API的状态变化并结合用途属性进行分级分类，区分在用API、废弃API、测试API、带病API和未知API，最终形成动态更新的API资产清单。

l 基于机器学习的API攻击训练引擎，有效防范0day漏洞威胁

针对API的攻击不同于传统攻击类型，并且API漏洞隐藏较深，通用的检测方法难以形成有效防护。盛邦安全API资产识别及主动防护方案利用机器学习算法，构建了一套API攻击训练模型，通过持续积累和更新攻击逻辑来训练检测引擎，形成对未知威胁的识别能力，有效防范0day漏洞的威胁。

l 基于人机识别的BOT攻击检测防护，全面防范业务安全风险

相比其他类型的资产而言，API资产访问规则较为标准，因此更容易遭受BOT攻击，除了加强对API使用权限的鉴别和管控之外，盛邦安全API资产识别及主动防护方案还利用人机识别的方法来发现各种自动化脚本、爬虫工具和BOT工具，可以更准确地区分正常调用与非法爬取行为，从而抵御BOT攻击的干扰，提升业务安全的保护能力。

除了部署专用的API检测和攻击防护方案之外，企业还需要强化API的数据保护，并进行流量限制，这对于防范数据外泄、避免 API 滥用行为有着重要意义。

盛邦安全将基于在安全技术方面的长期积累与创新，帮助企业更好地保护 API 的安全可靠，保证业务调用与协同的安全。