阅读 20

如何建立有效的API安全策略(二)

五、API安全策略分析

3、了解API安全性的相关功能

API网关是提供API安全性的强有力的工具,因为它能够支持多种功能。但是,众多的信息也会让人一时不知所措,让我们慢慢梳理。如图1展示了API安全策略中的多个“构造功能模块”,尽管许多构造模块的功能是不言自明的,但在某些场景下,他们在API安全性方面具有特定的用途。例如,在使用API密钥的客户端身份验证的场景中可以执行签名验证,签名通过客户端调用REST API来创建)以显示对该API密钥的拥有权。

为了避免被API安全产品的众多功能所淹没,以至于购买了一个功能最多的产品,而不是您真正需要的产品,我们建议您在这种情况下,应该采用功能方法来实现API安全。术语“策略”通常用于描述API安全性中涉及的工作流程。将所需的API安全策略按照步骤图列出来,然后使用图1中的一些API安全构造功能模块,然后,将产品功能映射到当前基础设施中,甚至可以将其用作概念验证的输入,(例如,通过询问供应商如何使用其产品来配置此API安全策略。)

下图2展示的是此类API安全策略的示例。注意,该策略用于攻击保护以及身份验证。它不仅对API的请求起作用,同时也对响应起作用。在将敏感数据返回给客户端之前,对其进行标记,然后验证响应来确保它是安全的。虚线表示在何处使用到其他产品的链接,例如用于身份和访问管理基础设施的链接。

上图2所示的安全策略通常使用API网关来实现,它通常作为完整生命周期API管理解决方案的一部分,将API网关与API开发者门户结合起来。当然,您也可以利用应用安全基础架构中的其他产品来实现这些功能。下图3在图2安全策略基础上,增加了产品类别。

应用交付控制器(ADC)已经在许多组织中用于传输层安全性(TLS)终止。除此之外,它还可以用于API的传输安全,与访问管理的集成可能涉及到访问管理服务或软件的连接。例如,含有身份识别服务(IDaaS)(例如Okta,它也提供API访问控制),或来自访问管理软件供应商ForgeRock和Ping Identity,两者均提供API访问控制。内容检查可以使用web应用程序防火墙WAF,例如Imperva。API的WAF功能也可以包含在应用程序控制(ADC)或内容分发网络(CDN)解决方案中(如Akamai,它也提供API保护)。

自动程序bot的攻击对于API来说尤其需要关注,因为从设计上讲,API是以编程方式调用的。因此,区分“好的”API调用和“坏的”API调用是很重要的,后者可能试图获取数据。自动程序bot的攻击缓解对策可能由已经为web流量中执行自动程序bot的攻击缓解的解决方案(例如,Distil Networks或ShieldSquare)或通过包含bot攻击缓解对策的API管理解决方案(例如Google的Apigee Sense)来提供。

通过使用功能方法,您可能会发现API网关就足以交付所需的API安全策略。但是,如果需要API网关没有提供的功能(例如高级自动程序bot的攻击缓解对策),那么可以由基础设施中其他产品的功能来提供。

(未完待续)

****未经同意,本文禁止转载或摘编。