SALT API安全最佳实践 | 长亭百川云

在多数情况下，专门部署的API安全工具可以更容易、更自动化解决API安全问题。此类平台在整个API生命周期中支持一系列功能，并为组织的API业务逻辑提供必要的上下文以阻止攻击和数据暴露。

这份API安全最佳实践将帮助企业弥补API安全策略中的差距，以下是关于如何确定问题范围和活动优先顺序的一些建议：

以下内容翻译来至：SaltSecurity Checklist-API_Security_Best_Practices，部分内容掺杂博主本人的观点和看法，如果有问题或者建议，请及时联系本人，鄙人将不胜感激。

1、API安全设计与开发

不需要在安全需求上重新创造轮子，可以参考OWASP应用程序安全验证标准(ASVS)，也可以参考安全开发厂商的安全需求自动化推导相关系统，对所有类型的应用程序设计都有用，确保可以进行API集成，并简化API的威胁建模。

不需要在安全需求上重新创造轮子，可以参考OWASP应用程序安全验证标准(ASVS)，也可以参考安全开发厂商的安全需求自动化推导相关系统。充分的文档还为一系列活动提供了好处，包括设计审查、安全测试、安全运维和保护。

尽管API文档本身是一种最佳实践，可能不会始终如一地完成。API地址、参数和数据类型的自动发现对所有组织都至关重要。如何创建准确的API清单，以满足公司内部的众多IT需求。

使用传统的安全测试工具来验证API安全风险，例如众所周知的错误配置或漏洞，但安全人员要意识到这些工具有局限性。没有一个扫描器擅长解析业务逻辑。API地址、参数和数据类型的自动发现对所有组织都至关重要。这一部分重点介绍如何创建准确的API清单，以满足公司内部的众多IT需求。

保护前端应用程序或API客户端(它们依赖于后端API来提供功能和数据)可以作为分层安全方法的一部分。这部分包括一些用于保护前端的关键元素，但是要注意客户端设计的缺陷。如客户端行为分析和设备标识不经意间造成隐私问题。

日志记录和监控数据对于构建构成“正常”的基线也很有用，这样就可以快速识别和解决异常事件。

API中间件将帮助企业加速交付、灵活运维、改进实施能力，特别是在涉及到 API 访问控制时。

零信任体系架构的一个主要目标是实施最小特权并动态限制网络访问。但是，API必须具有连接性才能正常工作，而且许多API攻击仍然发生在可信通道和经过身份验证的会话中。

数据安全方案旨在提供数据的机密性、完整性和可用性，但85%的组织缺乏信心，他们不知道哪些API会暴露敏感数据。参考这部分可以减少敏感数据的暴露，敏感数据泄露会导致重大的监管处罚、大规模的隐私影响和公司品牌损害。

在考虑用于身份验证和授权的API安全最佳实践时，需要同时考虑用户和计算机基础设施，尽可能将API访问控制和身份存储外部化，包括API网关、用户和计算机凭证存储、IAM解决方案、密钥管理服务、公钥基础设施和机密管理等安全机制。

任何运行时保护都应该是动态的，并不断学习。识别API基础架构中的错误配置以及诸如凭据填充、暴力破解或恶意爬虫等行为异常。

SoC安全人员必须经常依赖最了解应用程序体系结构和API逻辑的应用程序开发人员和API项目团队。详细的应用程序和业务逻辑在数字取证和事件响应中至关重要。安全管理人员需要更多地强调SecOps的人员和流程方面，而不是技术方面。