浅谈API生态建设：API安全策略的6项原则

于 2024-07-17 20:48:19 发布
阅读量212 收藏 3
点赞数 5
文章标签： 网络安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_73095122/article/details/140505141
版权

　　API作为连接系统与应用的桥梁，在助力实现高效业务流程的同时，也不可避免出现资产管理困难、敏感数据泄漏风险骤增等安全问题。前段时间，安全公司Fastly公布了一项重磅调查报告，报告中显示95%的企业在过去1年中遭遇过API安全问题。本文分享API安全策略的6项原则，为企业API安全管理提参考建议。
　　 


　　原则1：了解API和端点

　　企业应当明确，如果API端点存在，它就可以被用作入侵途径。提供公共API还会让用户接收来自无数客户、合作伙伴和应用程序的查询。这也会使企业受到攻击。为了保护企业免受攻击，需要考虑一些风险控制措施。
　　原则2：在创新与安全之间找到平衡

　　根据您所在的行业，合规性标准会有所不同，有些要求相比其他行业而言，安全性需求更为严格。为每种类型的 API 设计 API 治理策略，以便设置适当的安全控制措施。此外，还要利用AI以应对新出现的**、异常行为以及试图利用或滥用API的恶意用户，从而减少安全团队的负担。

　　原则3：在整个开发周期内管控风险

　　API 安全测试并非一次性试验。在部署前、部署期间以及部署后进行测试都至关重要，这样才能在漏洞发生之前发现弱点和漏洞。F5公司的解决方案可自动为API创建并验证稳健的模式，通过可操作的洞察揭示API安全风险，利用AI/ML缓解复杂的API攻击等，赋予了客户随时随地保护任何应用和API的能力。
　　 


　　原则4：从后端到终端客户的层层保护

　　从外部客户端到内部、后端基础设施，架构的每部分都必须有各自的保护措施。内部API的安全更直接，可以与应用团队协调安全措施。对于外部API，可以从实时**情报和访问控制机制（例如加固的会话令牌）、建立正常和异常的流量模式基线以及限制API使用方面三方面入手进行保护。

　　原则5：拥有适当的策略和工具

　　作为整体安全架构的一部分，用户需要制定一项策略，部署全面的工具生态系统。作为应用和API安全领域的全球领导者，F5于5年前开始构建一套改变游戏规则的功能，作为F5分布式云服务的形式推向市场。F5正在将高 级API代码测试和遥测分析引入F5分布式云服务，打造业内首 个功能全面，且适合于AI的API安全解决方案。
　　 


　　原则6：将安全性纳入开发和部署流水线

　　由于技术、层、设计和所用API的上下文多样性，API安全可能变得十分复杂。安全需要在应用本身的同一连续生命周期中运行，这意味着 要与CI/CD流水线、服务预配和事件监控生态系统紧密集成。此外，屡试不爽的安全实践仍然适用——默认拒绝架构、强加密和最低权限访问。原文链接：http://tl.ylylzx.net 原文链接：http://tl.shjinji.net 原文链接：http://tl.meie.com.cn 原文链接：http://tl.656st.com 原文链接：http://tl.xukanghb.cn

m0_73095122
关注
  • 5
    点赞
  • 踩
  • 3
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
从OWASP API Security TOP 10谈API安全
qq_33163046的博客
04-17 1561
API安全是个持续的过程，要求开发者、操作和安全团队协作确保API面临的风险得到恰当管理。遵循OWASP API Security Top 10是创建一个更安全API生态系统的基础。在构建API时，要确保考虑到这些主要的安全问题，并在API的整个生命周期中持续关注安全保障。参考：OWASP API Security TOP 10中文项目 2023OWASP API Security TOP 10中文项目 — OWASP-CHINA。
浅谈API安全
Enlink_Young的博客
06-19 220
在API技术的发展过程中，业界通常将最初的类库API和操作系统API称为古典API，将远程应用API和Web应用API称为现代API。现代API是当前主要采用的API技术形式，它们采用了不同的通信协议或消息格式，根据服务对象、技术形式和使用者的不同，可以进行不同类型的分类。API在软件应用体系结构中占有重要的地位。Web应用型API通常使用HTTP协议，在企业与企业、企业内部不同 的应用程序之间，通过Web开发过程中架构设计的方法，以一组服务的 形式对外提供调用接口，以满足不同类型、不同服务消费者的需求。
浅谈微服务架构下的API网关
夜影风个人空间
07-28 2511
1. 概述 近几年来，移动应用与企业间互联需求的兴起。移动应用、企业互联，使得后台服务支持的对象，从以前单一的Web应用，扩展到多种使用场景，且每种使用场景对后台服务的要求都不尽相同。这不仅增加了后台服务的响应量，还增加了后台服务的复杂性。随着微服务架构概念的提出，API网关成为了微服务架构的一个标配组件。 Chris Richardson曾经在他的博客上详细介绍过API网关，包括A...
与骗子约会：浅谈欺诈性约会APP的生态
南迪叶先森
07-19 1343
公粽号：黒掌 一个专注于分享渗透测试、黑客圈热点、黑客工具技术区博主！ 摘要 这篇文章主要进行了一项关于恶意APP盈利方式的研究。这批恶意应用看似是一些约会类型应用，但实际上这些约会应用唯一的目的是就让消费者购买VIP服务来和其他用户交流，而这些“其他用户”很有可能是一些仿冒女性的虚假用户。这些恶意的约会类软件可以被称作虚假交友软件。这篇论文系统地研究了这些虚假交友软件，其中我们通过软件内的现有账户信息对软件的行为特征进行了分析。通过分析我们发现这些恶意聊天软件内的账户大多数并不是真人，而是通过预设.
参考范文：浅谈计算机系统的安全防范.doc
11-15
参考范文：浅谈计算机系统的安全防范.doc
通信与网络中的浅谈WLAN无线网络的安全策略
11-03
文中主要讨论了无线局域网的优越性、无线网络面临的风险，并详细说明了无线网络的安全防护和应对无线网络安全的策略。 　0、引言 　现在，组建无线网络来访问因特网已经成为一个趋势，然而这个趋势背后隐藏着许多...
浅谈不同运营策略下的我国3G无线网络建设
01-19
随着我国3G决策的日益迫近，各运营商在3G试验网络的基础上都在谋划在即将到来的3G网络建设热潮中如何规划和安排自己的建设方案。“3G”（英语 3rd-generation）或“三代”是第三代移动通信技术的简称，是指支持高速...
浅谈高级函数模块API进行运动轮廓开发技术
10-22
它提供了使用基于PLCOpen IEC 1131-3规范的高级函数模块API的运动轮廓编程的易用性。除了对全新NI C系列驱动器接口的本地支持之外，NI SoftMotion技术还提供了轴界面节点，可以用来添加专用I/O、定制控制算法或是与...
浅谈数据仓库建设中的数据建模方法
01-31
浅谈数据仓库建设中的数据建模方法浅谈数据仓库建设中的数据建模方法所谓水无定势兵无常法。不同的行业有不同行业的特点因此从业务角度看其相应的数据模型是千差万别的。目前业界较为主流的是数据仓库厂商主要是IB
一文解读，网络安全行业人才需求情况《网络安全产业人才发展报告》
weixin_59086772的博客
10-18 8349
随着近几天国家网络安全宣传周在全国各地开展活动，网络安全再一次成为热门话题。网络安全不再缩在小小的安全圈子里，惠及面越来越广。不少对网络安全颇有兴趣的朋友非常关心行业前景如何？该怎么提升自我能力，更快地加入网安行列。 今天雨笋君就10月13日在网络安全宣传周上发布的《2021网络安全人才报告》进行一个简单的行业前景分析。 一、网络安全行业市场发展情况 网络时代生活越来越离不开网络，与此同时发生的网络安全攻击事件、非法入侵等等一系列事件都威胁着普通人的生活。没有网络安全保障，个人和企业等重.
pi_heif-0.17.0-pp310-pypy310_pp73-macosx_12_0_x86_64.whl
07-27
pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。
mmexport1722080103662.jpg
07-27
mmexport1722080103662.jpg
matlab 20244a 6
07-27
matlab 20244a 6
pi_heif-0.17.0-cp310-cp310-macosx_12_0_x86_64.whl
07-27
pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。
pillow-10.4.0-cp312-cp312-musllinux_1_2_aarch64.whl
07-27
基本介绍 名称与起源：Pillow，原名为PIL（Python Imaging Library），但PIL只支持Python 2版本。随着Python 3的普及，Pillow作为PIL的一个分支出现，兼容Python 3并提供更多的功能和改进。 主要功能：Pillow支持多种图像格式的打开、保存、显示以及基本的图像操作和处理，如裁剪、缩放、旋转、翻转、滤镜应用等。 跨平台性：Pillow库可以在不同的操作系统上运行，包括Windows、Linux和MacOS等。 主要功能模块 Pillow库包含多个功能模块，每个模块都提供了特定的图像处理功能。以下是一些常用的模块： Image：用于处理图像文件，提供打开、保存、调整大小、旋转、裁剪、滤镜等功能。 ImageDraw：提供在图像上绘制各种形状（如线条、矩形、圆形）和文本的功能。 ImageFont：用于加载和使用TrueType字体文件，以便在图像上绘制文本时设置字体样式、大小和颜色。 ImageFilter：提供各种滤镜效果，如模糊、锐化、边缘增强等，用于图像增强、特效处理和图像识别等应用。 ImageEnhance：用于调整图像的亮度、对比度、颜色饱和度等参数，使图像更加清晰、明亮或具有特定的调色效果。 高级功能 除了基本的图像处理功能外，Pillow还支持一些高级功能，如色彩空间转换、直方图均衡化等。这些功能可以帮助用户进行更复杂的图像处理和分析。
生产管理体系设计全案.pptx
07-27
生产管理体系设计全案.pptx
软件管理器的开发-代码-AppExplorer-0.4.zip
最新发布
07-27
软件管理器的开发_代码_AppExplorer_0.4.zip
[毕设]一体化学生选课平台设计与实现.zip
07-27
[毕设]一体化学生选课平台设计与实现
API安全深入浅出：OAuth 2.0与超越
除此之外，作者Prabath Siriwardena可能还会讨论其他API安全策略，如使用API网关进行安全控制，实施速率限制防止DDoS攻击，以及使用API密钥、OAuth 2.0的授权流类型（如授权码流、隐式流等）的选择和适用场景。...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值