Skip to main content

安全性

API 安全填补了网络保护方面的关键空白

API安全性

无论您以数字方式访问银行账户、进行在线购买或登录云应用程序,您都需要使用应用程序编程接口 (API)。API 充当应用程序中的网关,是数字连接的粘合剂。然而,人们对它们仍然知之甚少,而且往往感觉不安全。

组织依赖于数百个甚至数千个 API,但 CISO、CIO 和 CTO 通常不了解准确的库存。这就解释了为什么 API 已经成为一种常见的网络攻击矢量的原因。涉及 API 的问题包括身份验证实践不佳、配置错误和缺乏监控。

API 安全是一个巨大的挑战,在很大程度上,这是网络安全解决方案如何应用的结果。大多数解决方案采用“马眼罩”方法,保护计算环境的特定部分,如端点、服务器和云应用程序,API 安全公司 Noname 战略联盟的技术总监 Ryan B 说。“他们只会看到他们专门课程中的内容和他们眼球前面的东西。”

结果:IT 环境中出现了巨大的安全漏洞,不仅影响了公司的内部资产,还影响了与不断增加的云端和软件即服务 (SaaS ) 应用程序堆栈的连接。Noname 填补了这一空白,无论资产在哪里,都可以利用人工智能和机器学习算法分析流量,并在云端、本地或两者兼而有之的地方识别和阻止恶意行为。“我们是专门为 API 问题而打造的,” Ryan 说。

Noname 从企业而不是安全供应商或云提供商的角度应对 API 挑战,从整个环境的全景视图来保护所有 API 。

“我们发现许多解决方案无法识别与 API 有关的恶意活动,” Noname 全球战略联盟副总裁 Peter Cutler 说。“当它们发现恶意活动时,已经太晚了。这就是为什么 Noname 集成开箱即用的 SIEM(安全信息和事件管理)和端点保护等网络安全解决方案的原因。”

利用人工智能和机器学习发现 API 漏洞

根据用于应用程序安全的开源基础 OWASP,最常见的 API 漏洞包括:

  • “损坏对象级别身份验证”,允许用户根据用户角色访问数据,而无需验证该人员是否有权访问数据
  • “损坏身份验证”,当攻击者入侵密码、会话令牌和用户帐户信息等凭证时,就会发生这种情况
  • “损坏对象财产级别身份验证”,涉及一个用户访问另一个用户的数据

恶意机器人通常是这些攻击的幕后黑手。试图对抗机器人行为的人类无法在速度和能力上与它们竞争,因此需要人工智能和机器学习。

“这是一个需要解决的超人问题。您雇用的所有人、您购买的所有技术,您认为这些是工作的合适的解决方案。您购买了防火墙、聘请了安全顾问、运行了一些渗透测试。猜猜是什么方法?这还不够好,” Ryan B 说。

Noname 使用机器人对抗机器人。在客户环境中实施的第一周,Noname® API 安全平台处于学习模式,观察使用 API 的应用程序之间流量的移动模式。该平台记住 API 规范、请求和响应模式,并查看涉及支付卡数据等机密信息的通信参数。

从第二周开始,安全平台会利用第一周获得的基准知识来识别偏离正常模式的活动。然后,人工智能确定这些异常是否是恶意的。可疑活动会被标记和阻止。Noname 对流程应用了置信度评分。Ryan B. 说,它基于至少 80% 的机器学习派生方法来确定某个特定动作是否是恶意的,并且可以追踪到攻击者及其已知位置。

为了使 IT 防御保持最新状态,Noname 使用了主动测试,这是一种模拟网络攻击的技术。每当客户更改环境时,此运行时测试会检查新的软件版本、端点或其他组件是否受到适当保护。这可以防止将新的漏洞引入环境。

Cutler 说,如果没有主动测试,组织启动新的生产 API 时,”就会祈祷 API 网关或网络应用程序防火墙 (WAF) 和其他安全层将识别和保护它们。这是非常危险的,肯定不是一个好的策略。”

API 安全意识需要高性能计算

当然,机器学习和人工智能将继续在 API 安全方面发挥重要作用。随着流量的增长,机器学习和人工智能需要大量的处理能力。”我们一开始使用 8 个 CPU,每秒处理大约 3000 条消息。当 API 流量扩展到每秒处理 7000;10000; 20,000 条消息时,我们的机器学习引擎将需要更多的 CPU,” Ryan B 说。

Noname 与英特尔密切合作,以利用运行人工智能和机器学习所需的性能。该公司对第五代英特尔® 至强® 处理器进行了基准测试,以从性能显著提升中受益。利用英特尔嵌入式加密技术来防止恶意行为者损害 Noname 技术的工作也正在进行中。

展望未来,Noname 希望 API 能被更好地理解。这需要教育,这是公司使命的一部分。

“我认为,进入 2024 年,人们将更加重视安全。他们将为工作购买合适的工具,并利用这些创新,以一种他们以前从未尝试过的方式保护他们的系统,” Ryan B. 说。
 

insight.tech 主编 Georganne Benesch 编辑。

作者简介

Pedro Pereira has covered technology for a quarter century. He has freelanced for some of the biggest names in IT publishing and an extensive list of marketing agencies and technology vendors. He was a pioneer in covering managed services and cloud computing, and currently writes about cybersecurity, IoT, cloud, and space. He holds a degree in Journalism from UMass/Amherst.

Profile Photo of Pedro Pereira