1988年10月31日，，，，，，，一位住在沪嘉高速公路左近的阿婆看见汽车奔腾而过，，，，，，，惊讶地揉了揉眼睛，，，，，，，汽车“哧溜”一下飞从前了。。。。。。。原来车能够在公路上开得这么快。。。。。。。

    而这一天，，，，，，，正是中国大陆首条建成的高速公路——沪嘉高速公路正式通车的日子。。。。。。。

    高速公路的通车，，，，，，，对经济发展的带作为用肉眼可见。。。。。。。1984年，，，，，，，嘉定县级财政收入仅为1.9亿元。。。。。。。到1989年，，，，，，，嘉定县级财政收入达到了4.28亿元，，，，，，，足足翻了两倍多。。。。。。。

    在尔后的数年间，，，，，，，沈大高速公路、京津唐高速公路陆续建成通车，，，，，，，中国的高速公路网在960万平方公里的地皮上缓缓发展。。。。。。。

    截至2021年底，，，，，，，我国高速公路总里程达到了16.91万公里，，，，，，，位居世界第一。。。。。。。从南到北，，，，，，，从东到西，，，，，，，一条条高速公路上呼啸而过的汽车，，，，，，，正是高速公路经济腾飞的缩影。。。。。。。

    01

    “要想富，，，，，，，先建路”

    高速公路带来了商品经济的进一步繁华，，，，，，，由于商品经济的性质是互换；；；；；；；；而在赛博世界，，，，，，，利用法式也并非要成为一个个孤岛，，，，，，，你中有我，，，，，，，我中有你才应该是常态。。。。。。。

    好比一款地图导航软件，，，，，，，除了单独的出行导航之表，，，，，，，其部门职能还应该能够放在打车软件或者订餐软件中使用。。。。。。。

    而在这个过程中，，，，，，，必然陪伴着分歧利用法式之间职能、服务和数据的频仍流动。。。。。。。

    但在互联网发展早期，，，，，，，挪用其他利用法式的职能和数据，，，，，，，对于开发者来说并不是一件极度容易的事件：你得理解法式内部的工作机造，，，，，，，甚至读懂源代码。。。。。。。

    多所周知，，，，，，，即就是在法式开发说话已经极度简化的今天，，，，，，，在不足代码注解的情况下，，，，，，，自己写的代码时时只有自己能力看懂，，，，，，，甚至自己也看不懂。。。。。。。

    所以得有一种步骤，，，，，，，可能让开发人员在不相识具体细节的情况下，，，，，，，能够轻松挪用所必要的职能和数据。。。。。。。利用法式也应该构筑自己的“高速公路”。。。。。。。

    这种步骤叫做API，，，，，，，中文翻译为利用法式编程接口。。。。。。。

    API的数据挪用效能，，，，，，，足以和高速公路相媲美：当你使用订餐软件的时辰，，，，，，，能够瞬间挪用支付职能实现订单支付；；；；；；；；当你使用打车软件的时辰，，，，，，，能够瞬间挪用地图软件进行导航……

    2000年，，，，，，，销售治理软件巨头Salesforce颁布了他们WebAPI的首个版本，，，，，，，允许第三方通过这些WebAPI挪用Salesforce部门职能，，，，，，，实现自动化治理买卖流程。。。。。。。

    Salesforce把必要盛开给第三方利用的职能和数据，，，，，，，封装成一个个API接口，，，，，，，方便开发人员“一键挪用”。。。。。。。就像高速公路上奔腾的车辆一样，，，，，，，“哧溜”一下就把货物就送到了你手钟祝。。。。。。

    “API经济是将企业能力或竞争力作为API服务而进行贸易互换的经济模式。。。。。。。”ca88登陆平台网络探针事业部总经理刘洪亮说，，，，，，，API大幅缩短了利用法式之间“商品互换”的效能，，，，，，，也让数据的流动变得越发自由。。。。。。。

    02

    利用法式的“高速路网”

    现实上，，，，，，，最起头的API是放在企业内部，，，，，，，供分歧利用之间相互挪用的。。。。。。。

    千禧年以来，，，，，，，企业内部信息化建设如火如荼，，，，，，，ERP、CRM、OA等各类治理软件，，，，，，，逐步成为了支持企业财政、进销存、客户治理等日常工作流程的工具，，，，，，，并且堆集了大量数据。。。。。。。

    为了便于企业日常业务的发展，，，，，，，分歧利用系统之间，，，，，，，必要API支持数据挪用。。。。。。。

    好比一家造作企业在使用CRM治理客户关系时，，，，，，，可能必要挪用ERP软件的企业进货、存货以及销货等各类资源数据。。。。。。。

    此时，，，，，，，API还没显露出什么安全问题。。。。。。。置身企业内网环境中的它，，，，，，，能够受到防火墙、IDP/S等设备很好地保；；；；；；；ぁ。。。。。。表部人员想要在未经授权的情况下接见内部API，，，，，，，必要绕过一大堆防御设备。。。。。。。

    并且，，，，，，，此时API的整体数量并不算大，，，，，，，部署相对集中，，，，，，，治理起来也极度轻松。。。。。。。

    很快事件产生了变动。。。。。。。；；；；；；；チ际跤绕涫且缘缟獭⑸缃晃淼囊贫チ际醯姆⒄，，，，，，，高低游产业链缜密地融合在了一路，，，，，，，信息化再也不能局限在组织的围墙之内。。。。。。。

    这就意味着，，，，，，，API必须得盛开给企业表部利用使用。。。。。。。

    事件还没有实现。。。。。。。2015年前后，，，，，，，云推算尤其是公有云起头在数字经济领域强势崛起，，，，，，，在云服务的援手下，，，，，，，人们就像用水用电一样，，，，，，，对利用法式“予取予求”。。。。。。。

    从那时起，，，，，，，把API托管在云上迅速盛行开来，，，，，，，这样能够方便开发者在云上挪用相应的API。。。。。。。

    好比目前大火的微服务架构，，，，，，，它允许开发人员将利用法式微分成一组独立的服务，，，，，，，每个服务都萦绕着具体业务进行构建，，，，，，，并且可能独立地部署，，，，，，，而服务与服务之间便必要通过API进行数据通讯。。。。。。。

    利用法式数量的爆炸式增长，，，，，，，天然带来了API数量的爆炸式增长。。。。。。。作为火速开发的沉要实现大局，，，，，，，没有人可能回绝API带来的方便。。。。。。。

    03

    频仍产生的“交通变乱”

    路多了，，，，，，，车多了，，，，，，，“交通变乱”的数量天然也上来了。。。。。。。

    尤其是“API号”高速公路甚至没有配套的“交通规定”和防备措施。。。。。。。

    如前文所述，，，，，，，API的本意是为了方便分歧利用法式之间，，，，，，，合法地挪用某些特定的职能和数据。。。。。。？？？？？勺苡腥瞬⒉皇呛芟不妒囟苏，，，，，，，尤其是此刻大量的API都直接托管在云上，，，，，，，所有人随时随地都能够接见。。。。。。。

    能够设想，，，，，，，一旦API上产生安全问题，，，，，，，必然会给其中流动的数据造成损失。。。。。。。

    好比2020年3月，，，，，，，国内驰名社交媒体因其用户查问接口滥用导致数据泄露，，，，，，，影响用户数量高达5.38亿；；；；；；；；

    再好比2021年7月，，，，，，，驰名职场社交网站被曝出由于API缝隙被攻击者爬取了超过7亿条用户数据；；；；；；；；

    ……

    尤其是，，，，，，，最危险的缝隙往往可能绕过脆弱的身份验证机造，，，，，，，使攻击者在未经授权的情况下能够接见API资产。。。。。。。

    这下让攻击者如同发现了新大陆：正本在内网“沉兵防守”的数据，，，，，，，此刻起头频仍呈此刻险些“无险可守”的API上。。。。。。。

    “2017年前后，，，，，，，我们起头在实战攻防演习期间，，，，，，，不休检测到针对API缝隙的利用行为。。。。。。。”刘洪亮说，，，，，，，并且近几年这个数量上升很快。。。。。。。

    早年窃取数据必要攻入内网，，，，，，，再经过一系列复杂的横向移动最终接见指标数据库，，，，，，，难度大、战线长还容易被发现。。。。。。。此刻只必要守在API边上“打伏击”即可，，，，，，，荫蔽性较强，，，，，，，攻击成功率能够说大大提高。。。。。。。

    但汗青不能开倒车。。。。。。。数据一旦流动起来，，，，，，，就绝不会由于安全问题缩回去。。。。。。。

    《中华人民共和国数据安全法》第一条明确说了，，，，，，，为了规范数据处置活动，，，，，，，保险数据安全，，，，，，，推进数据开发利用，，，，，，，保；；；；；；；び孜摇⒆橹暮戏ㄈɡ，，，，，，，守护国度主权、安全和发展利益，，，，，，，造订本法。。。。。。。

    显然，，，，，，，保；；；；；；；な莅踩闹髡攀俏送平莸目⒑屠，，，，，，，并不是让数据躲在隔离网环境，，，，，，，成为“温室里的花骨朵”。。。。。。。

    因而API的规模只会不休扩张，，，，，，，除非出现一种能够齐全取代API的新技术。。。。。。。

    既然这样，，，，，，，解决API的安全问题成了ca88登陆平台必必要要做的事件，，，，，，，而这个工作就落在了刘洪亮的肩膀上。。。。。。。

    04

    身份仿冒、暴力破解or缝隙利用，，，，，，，防得住吗？？？？？

    ca88登陆平台对于API安全的布局始于2019年，，，，，，，那一年国度级的网络安全攻防演习逐步走向了深水区，，，，，，，攻击队各类五花八门的攻击手法层出不穷。。。。。。。

    其中，，，，，，，常见的针对API的攻击步骤无非就以下三种：

    第一，，，，，，，窃取API账户的登录凭证，，，，，，，从而仿冒合法用户身份。。。。。。。登录凭证时时；；；；；；；嵬ü骼嘁庀氩坏降姆绞叫孤，，，，，，，好比更新社交媒体时一不幼心就泄露了，，，，，，，再好比身份信息被明文写在代码中，，，，，，，并且代码被分享到了某些技术社区。。。。。。。

    第二，，，，，，，对使用弱口令的API账户进行暴力猜解，，，，，，，获得账户的登录权限，，，，，，，弱口令不仅仅局限于123456这种单一的口令，，，，，，，还蕴含法规口令，，，，，，，好比首字母+诞生日期、企业邮箱之类的，，，，，，，很容易被攻击者猜到。。。。。。。

    第三，，，，，，，利用API自身的缝隙，，，，，，，绕过其安全机造，，，，，，，在未经授权的情况下获得API账户接见能力。。。。。。。

    只有获得了API的接见权限，，，，，，，就能够拿到经API挪用的数据。。。。。。。

    事实上，，，，，，，在专门的API安全产品出现之前，，，，，，，有好多组织选取WAF（Web利用防火墙），，，，，，，部署在Web服务器前面，，，，，，，来试图阻止针对API的攻击行为。。。。。。。

    但WAF有自己的规定。。。。。。。

    从名字上来看，，，，，，，再严害的WAF，，，，，，，它性质依然是一路“围墙”。。。。。。。围墙就注定了它在保；；；；；；；PI方面的最大弊端——没法子保；；；；；；；の街淼腁PI。。。。。。。

    但API的性质就是盛开和衔接，，，，，，，这一点是不能接受的。。。。。。。

    并且，，，，，，，对于依附静态规定匹配来检测入侵行为的WAF而言，，，，，，，想要发现未知威胁也极度难题，，，，，，，尤其是0day缝隙的利用行为。。。。。。。

    所以从一路头，，，，，，，ca88登陆平台就摒弃了这种传统围墙式的建设思路，，，，，，，无论是WAF还是其他什么墙。。。。。。。

    至于到底怎么做，，，，，，，ca88登陆平台或许早已有了定论。。。。。。。刘洪亮说，，，，，，，API安全卫士应该可能解决API运行时刻的安全问题，，，，，，，从API资产鉴别治理、攻击检测、敏感数据检测到API风险检测、行为审计、接见节造、攻击防护等方面。。。。。。。

    在接办API安全这个工作之前，，，，，，，刘洪亮携带的团队重要掌管网络探针的建设。。。。。。。探针就好比网络空间的摄像头，，，，，，，可能将所有的事件都纪录下来。。。。。。。

    要知路，，，，，，，探针早已宽泛利用于天眼、NGSOC、态势感知等产品钟祝。。。。。。

    那么若是在关键节点部署上探针，，，，，，，再共同上一些其他的技术伎俩，，，，，，，是不是能把所有的API以及安全风险都看得一清二楚？？？？？有什么攻击行为也都能了若指掌呢？？？？？

    带着这些疑难，，，，，，，刘洪亮刻意一试。。。。。。。

    05

    看不见的API是最危险的

    很快，，，，，，，第一个问题出现了，，，，，，，大无数组织并不明显自己都有哪些API。。。。。。。

    ca88登陆平台做过一次统计分析，，，，，，，客户少则部署了上千个API，，，，，，，多则甚至有十几万个API，，，，，，，好多API的开发过程也是随着业务拓展“赶洋胂架”，，，，，，，随着业务刷新、人员更替，，，，，，，早就把这些API抛之脑后了。。。。。。。

    就像不知路揣在哪个口袋里的几张红票票，，，，，，，若是不洗衣服底子想不起来在哪。。。。。。。那些正本应该在业务性命周期实现之后就该下线的API，，，，，，，最终也就不了了之。。。。。。。

    试想，，，，，，，若是连家门口有几条路、路路都通向哪里都搞不明显，，，，，，，更不要说搞明显哪条路安全、哪条路不安全了。。。。。。。

    看不明显API在哪里才是API面对的最大风险，，，，，，，也是安全防护首先要解决的问题。。。。。。。

    不外让刘洪亮也没想到的是，，，，，，，仅仅是解决API安全的第一步，，，，，，，就成为了ca88登陆平台面对的最大难题。。。。。。。

    其实鉴别IT资产都有着类似的步骤。。。。。。。无论是电脑、打印机蹬撞件设备，，，，，，，还是网站、虚构机、API这些软件资产，，，，，，，都有自己唯一的鉴别码，，，，，，，为了便于理解，，，，，，，你能够管这些鉴别码叫做“资产指纹”。。。。。。。

    通常情况下，，，，，，，“资产指纹”城市依照行业通用规定，，，，，，，被开发人员写入资产内部。。。。。。。系统通过不休扫描、鉴别资产指纹，，，，，，，从而对IT资产进行统一治理。。。。。。。

    这个过程就如同上课点名（没有沉名），，，，，，，听到我的名字我就答到，，，，，，，教员也就知路我来上课了。。。。。。。

    但API的情况有点特殊。。。。。。。

    在互联网“野蛮成长”的那些年里，，，，，，，为了钻业务务上线速度，，，，，，，好多开发者并没有依照规范去开发API接口，，，，，，，导致“资产指纹”五花八门。。。。。。。

    若是单一的依照API尺度规范去鉴别API资产的话，，，，，，，大量的API就会鉴别不出来。。。。。。。

    好比大部门人的身份证号码都是18位数字，，，，，，，但就是有些人的身份证号最后一位是“X”。。。。。。。早些年，，，，，，，某些身份信息录入系统就不支持输入“X”。。。。。。。

    所以，，，，，，，API安全卫士应该对各类“指纹”都了若指掌，，，，，，，不然系统在点名的时辰，，，，，，，部门API内心OS：“Whatareyou弄啥嘞，，，，，，，我也听不懂啊。。。。。。”

    这让刘洪亮一下子都犯了难。。。。。。。若是全中国的法式员一人一个API开发步骤，，，，，，，单单是API资产识此外工作量，，，，，，，还不得大到姥姥家去。。。。。。。

    说句切真话，，，，，，，即就是此刻回头看，，，，，，，也没什么捷径可走。。。。。。。

    但其时那种情况，，，，，，，数据安全已经提到了和国度安全一致的高度上去了，，，，，，，没法子也得硬着头皮上，，，，，，，至少得先摸摸底，，，，，，，看见解式员们都是怎么开发API的。。。。。。。

    常见的法式开发说话也就那么几种，，，，，，，没准能从中找到什么法规。。。。。。。

    功夫不负有心人。。。。。。。作为占有足够体量的安全公司，，，，，，，ca88登陆平台可能拿到足够数量的样本，，，，，，，能够说能想到的、想不到的API类型，，，，，，，都能在这里见到。。。。。。。

    把这些样本拿到机械进建的样本池里进行反复训练，，，，，，，最终得到了一个让所有人都喜出望表的了局：系统能够自动鉴别出大部门API资产的类型、地位、职能、等根基信息。。。。。。。

    有了这些信息，，，，，，，能力全面把握自身API的安全性到底若何，，，，，，，好比是不是直接露出在互联网上，，，，，，，是不是配置有谬误，，，，，，，存不存在弱口令和高危缝隙等等。。。。。。。

    把握这些信息正是API安全防护的前提。。。。。。。

    06

    一个好汉三个助

    在解决完这个问题之后，，，，，，，前路似乎平展了起来。。。。。。。

    ca88登陆平台API安全卫士聚焦打造持续监测响应的API安全防护能力，，，，，，，成立基于用户接见行为的用户画像或行为模型，，，，，，，发现API未认证接见、弱口令登录、未授权接见、异常接见行为等。。。。。。。

    此表，，，，，，，该产品还拥有基于自动化发现并可视化展示及治理API能力，，，，，，，可能实时发现与预警僵尸、未知等异常API，，，，，，，以及预防在API设计之初由于不足统一规范导致后期大量API无法统一治理而引入的安全问题。。。。。。。

    “借助ca88登陆平台的安全能力、大数据能力、安全中台的能力，，，，，，，ca88登陆平台API安全卫士为客户提供了摸清家底、看清风险、防住攻击关环解决规划。。。。。。。”刘洪亮说，，，，，，，一个好汉总得三个助啊。。。。。。。

    好比，，，，，，，借助大数据和机械进建能力，，，，，，，ca88登陆平台API安全卫士解决了API资产自动发现的问题；；；；；；；；

    再好比，，，，，，，借助用户实体行为分析能力，，，，，，，成立基于用户接见行为的用户画像或行为模型，，，，，，，只有API安全分析平台发现了针对偏离行为基线的异常接见，，，，，，，即可产生告警。。。。。。。

    还有，，，，，，，借助ca88登陆平台CERT的缝隙谍报能力，，，，，，，能够第一功夫把握最新缝隙情况，，，，，，，上线针对该缝隙的防护规定，，，，，，，同时凭据缝隙的风险、影响领域，，，，，，，为客户提供缝隙措置的优先级排序。。。。。。。

    ……

    所有API安全卫士所必要的能力，，，，，，，都能够在ca88登陆平台的“兵器库”里找到。。。。。。。

    而这远比在API刻下摆一路围墙，，，，，，，要有效得多。。。。。。。

    “随着数字经济的发展、微服务的发展以及云原生的发展，，，，，，，安全匹敌已经由原来的技术空间的匹敌转移到数据空间的匹涤祝。。。。。。”刘洪亮感伤路，，，，，，，看着API这条铺满利用法式世界的高速公路上奔腾的数据，，，，，，，没有交通规定和安全措施是千万不能的。。。。。。。

    但是我们还应该领略，，，，，，，或许对于数据安全而言，，，，，，，ca88登陆平台API安全卫士只是万里长征中最微不及路的一步。。。。。。。

    本文部门图片起源于网络