API安全是当下企业面临的最严峻的网络安全挑战之一。在过去的12个月中，API攻击增加了681%，而整体API流量也增加了321%。根据Salt的2022年第一季度API安全状况报告，恶意API调用从2020年12月的每个客户月均273万次飙升到2021年12月的2132万次。Salt的客户拥有Web应用程序防火墙，并且几乎所有客户都拥有API网关，但API攻击正在绕过这些安全控制。

API安全失控

API攻击的爆发式增长也扼杀了业务创新。例如，62%的企业承认由于API安全问题推迟了新产品的推出和应用程序的推出。此外，95%的DevOps领导者和团队表示他们在过去12个月中遭遇过API安全事件。三分之一的DevOps组织表示，尽管在生产环境中运行API，但他们的公司缺乏任何API安全策略。

根据Gartner的数据，到2024年API攻击将加速并翻一番。与此同时，API承载的业务量也在高速增长，从2019年到2021年，与API相关的查询量稳步增长，平均同比增长33%。

DevOps领导者面临着在预算内按时交付数字化转型项目的压力，同时还需要开发和微调API。不幸的是，当DevOps团队急于在截止日期前完成项目时，API安全管理往往成了马后炮。当企业中的所有DevOps团队都没有他们需要的API管理工具和安全防护时，API安全问题很快就会失控。

更多的DevOps团队需要一种可靠、可扩展的方法来防止API安全失控。此外，DevOps团队还需要将API管理转移到零信任框架，以降低数据泄露的风险。

API防护的六个阶段

Cequence Security和Forrester在DevOps和API安全网络研讨会提出了API保护的六个阶段。

“那些最大型的组织日常会处理数百个使用扩展API的应用程序，随着数字化的不断深入，未来他们将面对数万或数十万个API。因此，对API的管理和跟踪将变得更加困难。”Forrester首席分析师Sandy Carielli在网络研讨会上说。

Cequence Security则将API防护划分为六个阶段，第一阶段从发现和识别所有面向公众的API开始，然后进阶到库存、合规性、检测、预防和检测（下图）：

Cequence Security认为，在整个API安全生命周期采用集成的，基于生命周期的迭代方法有助于识别和管理API，同时能有效检测和防止API攻击。

Forrester的首席分析师Sandy Carielli指出：API需要作为易受攻击的、未受保护的开放攻击面进行管理。网络犯罪分子知道API疏于防护，API攻击近年来保持着三位数的高增长率，企业迫切需要使用零信任框架进行API安全管理。

API攻击面管理离不开零信任

Capital One、JustDial、Venmo、Panera Bread、T-Mobile、美国邮政服务等公司的API漏洞表明，数以千计的API没有受到保护，是网络犯罪分子最喜欢的攻击面之一。API需要最少的特权访问，并使用更基于微分段的方法进行管理。零信任的这两个要素结合身份和访问管理(IAM)框架来管理API，将减少企业目前难以追踪的“流氓API”和“失踪API”的数量。此外，应用最小权限、微分段和IAM将减少用于内部测试的端点数量（这些端点保持打开状态，可以访问API）。  

API生命周期需要建立在零信任之上

安全控制不应当成为DevOps的绊脚石。将零信任嵌入API生命周期首先是不信任客户端提供的数据，并使用默认拒绝流程来删除所有隐式信任。DevOps领导者需要将身份验证构建到API生命周期的每个阶段。目标需要是为每个API开发和部署项目设计明确的信任规则。

基于零信任的有效API治理

DevOps领导者及其团队需要帮助平衡其业务对API不断增长的需求与保持合规性的需求，以支持新的数字化转型项目。面对快速地创建API的压力，DevOps团队首先加速业务收益，并尝试在开发时间表允许的情况下赶上合规性、安全性和隐私性。安全控制必须转向API级别的信任，为生成的每种类型的API定义安全上下文。

以零信任加强CI/CD和SDLC

对源代码供应链的攻击表明，零信任必须成为持续集成/持续交付(CI/CD)和SDLC等DevOps框架和流程的核心。类似SolarWinds这样的软件供应链攻击成功地更改了应用程序的核心可执行文件，然后感染了整个供应链，这使得零信任成为当今DevOps团队需要处理的紧迫问题，只有在SDLC设计阶段融合安全，才能让安全不再成为代码生产的阻力。SDLC周期也将运行得更快，因为安全将不再是项目结束后的附加流程，这将大大改善了代码安全治理。

API安全不能是马后炮

为了按时完成大型数字化转型项目，很多DevOps团队负责人急于完成API发布周期，同时将安全性视为完成工作的障碍。这导致API的安全检查和审计工作非常草率甚至缺失。DevOps团队中的每个人都被迫满足或超过代码发布日期。API安全成为没有人有时间处理的附加流程，导致API安全问题蔓延。

当零信任成为API和DevOps流程的设计目标时，安全性才能在整个SDLC中得到加强。此外，IAM和微分段将极大地提高库存准确性，减少流氓或被遗忘的API的威胁，避免整个平台或公司因网络攻击而瘫痪。

文章来源：GoUpSec

黑白之道发布、转载的文章中所涉及的技术、思路和工具仅供以安全为目的的学习交流使用，任何人不得将其用于非法用途及盈利等目的，否则后果自行承担！

END