江苏龙网

  1. 主页 > 生活百科 > >

API攻击原理，以及如何识别和预防( 三 )

API攻击


然后要注意的是标准漏洞集 。2019年发布的OWASP API Top 10威胁在过去两年中没有发生变化，这说明我们正在重复遭遇同样的问题 。
最后，由于缺乏足够的人员手动监视API安全，因此组织需要研究工具、自动化、扫描技术和遥测监视，以确定API的调用方式，并寻找出可能表明恶意滥用的异常行为 。
仓储物流企业获得API安全可见性开发人员启动Web服务和设置API变得比以往任何时候都更加容易 。不过，与任何其他新技术一样，安全性也经常滞后 。
尽管开发人员都在使用新的安全控制，但仍然可能存在老旧的系统 。这些过时的僵尸API带来了巨大的安全风险，此外，那些原计划只做短期使用却未及时退役的API也会带来很大的风险 。
仓储物流公司Prologis的安全主管Tyler Warren表示，我们无法保护自己并不知道的东西！我们必须清楚地知道自己拥有什么才能保护它，这是头等大事 。
如今，Prologis已在全球19个国家/地区拥有近10亿平方英尺的面积，约5,000个仓库 。当人们听到Prologis是一家仓库公司时，往往会质疑“你们怎么可能正在研发高科技？”但是，Prologis高管层清楚地明白，技术是业务的推动者，而不是成本中心 。所以，早在4年前，该公司就开始开发面向客户的系统 。
现在，有了基于云的Prologis Essentials平台，客户可以随时提交服务票证或检查票证的状态，更重要的是，当有人搬进新仓库时，可以与提供虫害控制、叉车、照明以及其他所需产品和服务的本地供应商联系 。
Warren介绍称，Prologis Essentials几乎完全是无服务器的，主要依赖Amazon和lambda函数，所以无需处理任何的遗留系统问题 。该平台使用AWS API网关，并且有约15个API服务于500个端点，其中包括内部连接以及与外部业务合作伙伴的集成 。上个月，该系统处理了529,000个API请求 。
但是Warren发现，AWS并未提供有关API可视化的大量信息 。为了解决这一问题，Warren团队尝试了很多方法，但都不如人意 。他们致力于寻找一种易于部署且不会妨碍开发团队的技术 。最终，Prologis选择了Salt Security解决方案 。
他们原本计划2021年再将Essentials系统集成到Salt Security中，但是最终还是将计划提前了 。原因在于API攻击面正在吸引越来越多的关注，恶意行为者也发现了很多攻击面，他们没有时间去冒险 。
最终，将Essentials系统集成到Salt Security的工作花费了大约一个月的时间，因为许多方面都必须经过不断地测试，并确保开发人员对结果满意且保证不影响性能 。
该工具位于AWS环境中，并在API网关处侦听流量、获取日志和元数据，并将报告发送到Salt的SaaS仪表板以进行警报和报告，这使得Prologis获得了很好的API安全可见性 。
该系统已于去年秋天启动并运行 。它可以连接到WAF并自动触发动作，可以发送报告供安全人员手动查看，还可以查找潜在的PII泄漏 。此外，该系统还捕获到了一些情况，例如API提供了许多并非必要的信息，这一点是许多企业在使用API时必须注意的问题 。记住，如非必要，那就不要做！




推荐阅读


上一篇：三亚茶叶都有哪些品牌,茶叶都是什么样子的都有哪些形态

下一篇：密蒙花的使用方法,密蒙花米饭的做法