▲安天入选2024年度API安全领域十大代表性厂商
《报告》提到，随着API的广泛应用，API自身的安全缺陷、不安全的协议框架、开发缺陷和漏洞，都随着服务的广泛调用，广泛暴露到了互联网上，这不仅使应用程序和Web应用面临严重的安全威胁，还极大地增加了业务系统和数据的暴露面，为非法分子提供了可乘之机，给企业网络和业务系统安全埋入了不同程度的安全隐患。
针对目前API面临的风险问题，安天API雷达给出了具体的解决方案：
▶ 全面资产梳理：API雷达首先梳理出用户的API站点和资产，提供准确、详细的API资产清单，为后续的API安全治理提供依据。
▶ 安全性检测：在初期API学习阶段，API雷达综合分析每个API的业务数据，监控API使用细节，根据OWASP API安全风险清单和API安全性合规要求对每个API进行风险评估。
▶ 持续监控和学习：API雷达采用持续学习设计，动态更新API模型和画像，对发生变更的API及时应用新的安全策略，及时发现僵尸API和影子API，有效应对API的发展变化。
安天API雷达以可持续化安全防护为核心理念，为用户建立全面的API安全防御管控机制，通过API资产梳理、敏感数据识别、异常行为监测、威胁攻击溯源、精细策略防护等安全能力，帮助用户解决API难梳理、新型风险无有效发现手段、防护管控不知从何下手等新型业务下的各类痛点问题。
与传统的API防护软硬一体产品相比，安天API雷达产品支持虚拟实例形态，可以在线下载、实例部署、即插即用。在简化用户部署的同时，为用户提供持续的监测和防护能力，覆盖用户API整个生命周期，确保API资产的安全性和可靠性。
安天API雷达的创新能力和应用价值受到行业机构、客户及合作伙伴的广泛认可，已获得多项荣誉。此前，在今年国家网络安全宣传周的重要活动“2024年中国网络安全创新创业大赛”中，安天API雷达以总成绩第二名荣获优秀创新产品奖，并入选第十届WitAwards 中国网络安全行业年度评选“年度创新安全产品TOP10”。
API雷达通过监测API访问行为、检查API传输数据内容，识别用户业务系统中敏感数据泄露风险，发现数据窃取行为，保障政企机构的数据安全。如图1：通过前期设置的敏感数据检测策略，检测到回应数据中带有未经加密的用户名信息。
图1 数据包携带敏感数据示意图
2. 监控API生命周期排查“僵尸API”风险
API雷达追踪API的整个生命周期，监测API接口变化；通过持续学习访问行为变化，帮助用户形成API资产清单，时刻了解API服务版本更新；通过识别废弃API接口（僵尸/影子API），收敛API资产暴露面，排除安全隐患。如图2：通过接入数据流量，可梳理出API资产总数、活跃API资产总数、废弃API总数以及复活API总数，且通过列表方式展现API资产信息，每一条资产信息可查看详细信息，包括：Host、路径、合并后路径、API方法、风险级别、风险类型、业务类型、活跃状态、流量基线等。
图2 API资产台账&资产画像示意图
3. 完善各业务系统API接口规范
API雷达能根据API流量，自动重建OpenAPI规范，为用户提供全面且易于理解的API描述。通过使用API雷达生成的规范，用户可以清晰地识别出每个API所需的访问参数和应答内容字段，不仅提高了API使用的透明度，而且从运维的角度出发，确保API的安全调用。如图3：左侧为OpenAPI规范，右侧为当前API资产的属性信息，自动化进行横向对比分析，找出不满足规范的API接口，帮助客户进行整改。
图3 OpenAPI规范自检示意图
4. 识别API越权及异常访问风险
API雷达通过用户追踪，实时监测用户权限状态变化，防止越权行为发生。通过异常访问检测模型，识别盗号、信息窃取和业务漏洞利用等多种异常访问行为，帮助用户及时修复业务存在的风险漏洞。如图4：可以实时监测API运行过程中发生的异常风险，进行详细描述，包括：风险名称、风险级别、风险描述、修复方案等。
图4 API风险详情描述示意图
5. 威胁事件追踪回溯
通过先进的API识别技术，API雷达能够精确捕捉用户与API的交互操作，综合考虑API安全上下文信息，包括当前用户、威胁评分和API业务类别，详细记录API的访问情况。从来源、用户、API威胁等多维度建档，帮助用户便捷地进行API安全事件的纵深调查和分析。如图5：可详细记录当前接口的威胁情况，包括：威胁分布详情、命中内容、请求类型、五元组等信息。
图5 API威胁回溯示意图
关于安天青竹智语实验室：
安天青竹智语实验室专注于业务安全领域研究，帮助用户在有效应对传统WEB应用威胁的基础上，增强API安全防护和自动化攻击防御能力。实验室研发的下一代WAF、API雷达等相关产品深度结合客户业务场景，通过发现逻辑异常、分析用户行为、追溯攻击源头，来揭示攻击行为的深层次原因，提早发现客户业务系统漏洞，为业务稳定运行提供有效防护。
