说米网

近日，IDC咨询正式发布《中国API安全商场洞察，2022》报告，对中国API安全商场发展现状及未来趋势进行调查，并经过对职业用户以及技能供给商的深入访谈，挑选出具有代表性的API安全相关产品和解决方案，供技能买家在进行技能选择时参考。

瑞数API安全管控途径（API BotDefender）凭仗本身的技能积累和职业优势，被列为具有代表性的API安全产品之一。

IDC认为，API作为数据流通和使用的重要通道，承载着十分重要的责任。一起，API的多样性、复杂性在不断增加，传统根据网络和主机边界安全的防护技能无法充分应对云核算和微服务技能下不断弹性部署的事务安全需求，许多用户在进犯事件发生后才意识到API危险。因而，API财物的全面整理和安全防护成为商场的迫切需求，API的安全建造也成为企业数字化创新的基础保证。

IDC将API安全定义为专门为维护API通信免受误用、乱用和缝隙使用而设计的解决方案，其所供给的功能包含API财物发现、验证和执行，动态和自适应的流量监测和形式剖析、检测和阻挠要挟，例如恶意软件、缝隙使用、(ru域名)代码注入、机器人流量、DDoS进犯、欺诈和乱用等。现在API安全多以API安全网关、API安全办理途径等产品形式进行交付。

IDC认为，API的安全防护商场在中国还处于开端发展阶段，产品和技能能力还需进一步加强。现在，国内众多网络安全厂商、数据安全厂商、云核算服务商、专业的API安全厂商纷繁布局API安全商场，且各个厂商结合自己的技能积累和职业优势推出了各具特色的产品和解决方案。

瑞数API安全管控途径（API BotDefender）

瑞数API 安全管控途径(API BotDefender)能够完成从API接入的客户端到API服务器端的全程式API安全要挟防护。不只能够快速主动地发现API，并且针对发现的API给出明确的确定，还能够显现出明晰的API列表，对API接口的拜访状况一望而知。一起，经过精准构建API画像，能够快速预览各个事务的API状况，包含使用状况、反常状况、拜访来源等，并且可根据行为剖析的结果或指定条件，调用动态呼应机制对反常API恳求进行阻拦、限速或脱敏等，从而提高经过逆向探测或机器学习剖析等进犯手法的难度。

API财物办理模块：根据大数据建模主动发现API接口，主动对API接口完成分类、分组、并指使责任人，完成数据分权办理。主动提取API接口样式，为API接口供给可视化的详情展示，协助客户完成API财物的生命周期办理。

API进犯防护模块：根据智能要挟检测引擎持续监控并剖析流量行为，用机器学习取得的多种要挟模型来确定反常进犯，一起使用语义剖析和流量学习技能，精准、快速辨认各类进犯，包含OWASP API Security Top10的安全进犯检测、API安全参数合规检测、API接口调用顺序检测。

API灵敏数据管控模块：内置灵敏信息检测引擎，覆盖姓名、手机号、身份证、银行卡、密码等18种灵敏数据类型，对灵敏信息进行主动分级，实时洞察API接口中双向传输的灵敏数据、明文密码和弱密码，并及时对API接口回传报文中的灵敏信息进行脱敏处理，躲避数据走漏危险。

API反常行为监控模块：根据多维度实时监控API接口的拜访行为，包含拜访成功率、耗时、 每秒事务处理量(TPS)、并发数等维度，树立API拜访基线，及时发现偏离基线的反常拜访 行为，及时发现未知的API和僵尸API。内置API 事务要挟模型，透视API常见的事务要挟， 如撞库、爬虫等。

API拜访操控模块：内置灵敏API拜访操控战略，可根据API接口、源互联网协议地址 (IP)、拜访频率、客户端指纹、API令牌、客户代理(UserAgent)、超文本传输协议 (HTTP )恳求特征等上百个基础要素和用户交互行为特征，对API接口完成精细化的拜访操控，支撑多维度限频、阻拦、延时等。

瑞数API安全管控途径(API BotDefender)具备以下特点：

全途径感知：支撑APP软件开发工具包(SDK)、微信小程序SDK和WebJavaScript，便利与各类API来源应用进行集成，经过东西和南北向流量收集客户端环境信息，对来源环境和用户行为进行感知，保证恳求客户端的合法性，一起，为每个API客户端生成仅有的指纹标识。

API接口精准辨认：经过API接口辨认模型对API接口可能性进行打分，确保API接口的精准辨认，一起显现明晰的API列表，对API接口的拜访状况一望而知，协助用户完成API财物生命周期办理。

创新灵敏数据辨认算法：大幅提高灵敏数据辨认速度和精准度，协助用户快速完成API灵敏数据辨认和分类分级。

动态拜访操控：支撑动态呼应防护，包含定时器、地域锁、按需阻拦等多种拜访操控战略，提高经过逆向探测或机器学习剖析等进犯手法的难度。

结合当时中国API安全商场发展现状及未来趋势，IDC为技能买家供给了以下几点主张：

DevSecOps协助企业将安全融入DevOps整体交付流程，从开端阶段就将安全列为优先事项。完整的API安全防护解决方案应从API开发和部署开端，运用SAST、DAST等手法在开发环节检验安全缝隙和过错配置的问题，协助用户从本源上下降API安全危险。

API财物的发现与办理是做好API安全的基础，但仅靠安全团队人工整理很难全面获取企业所有API财物信息及其应用状况。一方面需求相关事务部门的协同支撑；另一方面，需求经过主动或半主动化的工具全面检测和辨认企业网络中的各类API财物，并根据企业自有规矩进行精细化分类办理。

API安全不只需求重视API本身的暴出面和缝隙信息、API的拜访权限精细化办理、日志监控缺失等问题，还需求监测经过API流通的数据是否存在违规调用、灵敏数据泄露、数据篡改等数据安全问题，企业应结合本身事务需求，合理规划防护要点并选择匹配的技能供给商。

关于事务部门来说，为了防护API安全而显著影响事务系统的呼应速度是不可接受的。因而，企业在进行厂商能力评价时需求要点重视产品的性能表现，尤其是面向对通信速度有较高要求的事务系统供给API安全防护时，更要做好速度、功能、稳定性和一致性等多方面的平衡。