社区编辑申请
注册/登录
没有零信任,就没有真正的API安全
安全 零信任
根据Salt的2022年第一季度API安全状况报告,恶意API调用从2020年12月的每个客户月均273万次飙升到2021年12月的2132万次。Salt的客户拥有Web应用程序防火墙,并且几乎所有客户都拥有API网关,但API攻击正在绕过这些安全控制。

API安全是当下企业面临的最严峻的网络安全挑战之一。在过去的12个月中,API攻击增加了681%,而整体API流量也增加了321%。根据Salt的2022年第一季度API安全状况报告,恶意API调用从2020年12月的每个客户月均273万次飙升到2021年12月的2132万次。Salt的客户拥有Web应用程序防火墙,并且几乎所有客户都拥有API网关,但API攻击正在绕过这些安全控制。

API安全失控

API攻击的爆发式增长也扼杀了业务创新。例如,62%的企业承认由于API安全问题推迟了新产品的推出和应用程序的推出。此外,95%的DevOps领导者和团队表示他们在过去12个月中遭遇过API安全事件。三分之一的DevOps组织表示,尽管在生产环境中运行API,但他们的公司缺乏任何API安全策略。

根据Gartner的数据,到2024年API攻击将加速并翻一番。与此同时,API承载的业务量也在高速增长,从2019年到2021年,与API相关的查询量稳步增长,平均同比增长33%。

DevOps领导者面临着在预算内按时交付数字化转型项目的压力,同时还需要开发和微调API。不幸的是,当DevOps团队急于在截止日期前完成项目时,API安全管理往往成了马后炮。当企业中的所有DevOps团队都没有他们需要的API管理工具和安全防护时,API安全问题很快就会失控。

更多的DevOps团队需要一种可靠、可扩展的方法来防止API安全失控。此外,DevOps团队还需要将API管理转移到零信任框架,以降低数据泄露的风险。

API防护的六个阶段

Cequence Security和Forrester在DevOps和API安全网络研讨会提出了API保护的六个阶段。

“那些最大型的组织日常会处理数百个使用扩展API的应用程序,随着数字化的不断深入,未来他们将面对数万或数十万个API。因此,对API的管理和跟踪将变得更加困难。”Forrester首席分析师Sandy Carielli在网络研讨会上说。

Cequence Security则将API防护划分为六个阶段,第一阶段从发现和识别所有面向公众的API开始,然后进阶到库存、合规性、检测、预防和检测(下图):

Cequence Security认为,在整个API安全生命周期采用集成的,基于生命周期的迭代方法有助于识别和管理API,同时能有效检测和防止API攻击。

Forrester的首席分析师Sandy Carielli指出:API需要作为易受攻击的、未受保护的开放攻击面进行管理。网络犯罪分子知道API疏于防护,API攻击近年来保持着三位数的高增长率,企业迫切需要使用零信任框架进行API安全管理。

API攻击面管理离不开零信任

Capital One、JustDial、Venmo、Panera Bread、T-Mobile、美国邮政服务等公司的API漏洞表明,数以千计的API没有受到保护,是网络犯罪分子最喜欢的攻击面之一。API需要最少的特权访问,并使用更基于微分段的方法进行管理。零信任的这两个要素结合身份和访问管理(IAM)框架来管理API,将减少企业目前难以追踪的“流氓API”和“失踪API”的数量。此外,应用最小权限、微分段和IAM将减少用于内部测试的端点数量(这些端点保持打开状态,可以访问API)。

API生命周期需要建立在零信任之上

安全控制不应当成为DevOps的绊脚石。将零信任嵌入API生命周期首先是不信任客户端提供的数据,并使用默认拒绝流程来删除所有隐式信任。DevOps领导者需要将身份验证构建到API生命周期的每个阶段。目标需要是为每个API开发和部署项目设计明确的信任规则。

基于零信任的有效API治理

DevOps领导者及其团队需要帮助平衡其业务对API不断增长的需求与保持合规性的需求,以支持新的数字化转型项目。面对快速地创建API的压力,DevOps团队首先加速业务收益,并尝试在开发时间表允许的情况下赶上合规性、安全性和隐私性。安全控制必须转向API级别的信任,为生成的每种类型的API定义安全上下文。

以零信任加强CI/CD和SDLC

对源代码供应链的攻击表明,零信任必须成为持续集成/持续交付(CI/CD)和SDLC等DevOps框架和流程的核心。类似SolarWinds这样的软件供应链攻击成功地更改了应用程序的核心可执行文件,然后感染了整个供应链,这使得零信任成为当今DevOps团队需要处理的紧迫问题,只有在SDLC设计阶段融合安全,才能让安全不再成为代码生产的阻力。SDLC周期也将运行得更快,因为安全将不再是项目结束后的附加流程,这将大大改善了代码安全治理。

API安全不能是马后炮

为了按时完成大型数字化转型项目,很多DevOps团队负责人急于完成API发布周期,同时将安全性视为完成工作的障碍。这导致API的安全检查和审计工作非常草率甚至缺失。DevOps团队中的每个人都被迫满足或超过代码发布日期。API安全成为没有人有时间处理的附加流程,导致API安全问题蔓延。

当零信任成为API和DevOps流程的设计目标时,安全性才能在整个SDLC中得到加强。此外,IAM和微分段将极大地提高库存准确性,减少流氓或被遗忘的API的威胁,避免整个平台或公司因网络攻击而瘫痪。


责任编辑:华轩 来源: 今日头条
相关推荐

2022-06-01 12:21:26

安全事件零信任

2022-05-24 08:21:16

数据安全API

2022-07-18 13:36:13

2022-07-05 11:17:46

零信任安全技术网络安全

2022-03-12 10:00:49

零信任数据安全

2021-11-17 10:35:34

2021-08-09 08:40:33

2021-05-04 22:31:15

零信任网络安全网络攻击

2021-09-03 20:25:57

2021-08-12 17:25:10

2021-06-30 06:56:18

2020-04-28 10:36:08

网络安全疫情技术

2019-01-02 06:26:02

API应用程序编程接口应用安全

编辑推荐

“零信任”安全体系架构和实践在零信任世界中建立真正的信任启用“零信任”模型前需要解决的6个问题了解零信任-SDP关系新冠终结VPN?打造零信任网络的五个步骤
我收藏的内容
点赞
收藏

51CTO技术栈公众号