如何防止僵尸API

人们越来越依赖 Web API。92% 的组织计划在明年增加对 API 的投资，2023 年 API 的邮递员状态报告发现。API 正在为从内部微服务策略到合作伙伴策略和成熟产品的所有内容提供支持。

然而，这种新发现的 API 蔓延会产生后果;一个迫在眉睫的威胁，可能会从坟墓中升起，困扰着你......

当然，我说的是僵尸API。僵尸 API 是不再维护但仍处于活动状态的终结点。它们可能是未使用的端点、从未正式弃用或遗忘的开发或测试环境的旧功能。无论如何，僵尸API是一种技术债务，如果任其腐烂，可能会构成合法威胁。

API 的突然增长，以及不成熟的库存管理和缺乏内部沟通，可能会导致创建无数的影子端点。下面，我将回顾僵尸 API 可能导致的一些问题，并考虑 DevOps 团队可以采取的一些可行步骤来防止这些问题。

了解僵尸 API 风险

忘记 API 可能会导致许多问题。例如，假设一个不安全的测试环境意外地暴露在公众面前。使用自动终结点扫描的攻击者可能会发现要利用的身份验证和授权漏洞，从而可能泄露敏感数据。

让任何一项技术不维护也是一个坏主意，因为每天都有新的漏洞和漏洞涌入。API 的连接特性强调了这一点，它可以插入庞大的数据库网络，并允许对后端基础架构的读取和写入权限。

不安全的 API 可能会给企业带来经济损失和声誉损害。想想近年来大量与API相关的数据泄露事件，发生在Optus，Dropbox，Twitter和Zendesk等公司。甚至据估计，由于 Web API 的妥协，12 年损失了 23 亿至 2022 亿美元。

僵尸API很容易成为此类网络攻击的目标，因为它们往往具有更容易破解的不安全设计。他们还倾向于使用不成熟的监控系统，这意味着黑客可以比主动使用的端点更容易在雷达下采取行动。

避免僵尸 API 的提示

保持 API 的有效清单

正如他们所说，您无法保护您不知道的东西。事实上，OWASP将库存管理不当列为十大API安全风险之一。因此，适当的库存管理是避免僵尸 API 的良好第一步。扫描您的服务组合以查找忘记的端点，对其进行编目并定期更新目录。

最好彻底记录服务，以帮助内部发现。如果可能的话，采用规范优先的做法还可以确保文档和实现基于单一事实来源，从而避免版本不匹配和文档漂移。

“防止僵尸API的关键是可见性，”FireTail首席执行官Jeremy Snyder说。“许多组织缺乏在生产或过渡环境中运行的所有 API 的持续、最新清单。”

使用正确的版本控制和生命周期策略

减少僵尸 API 几率的另一种方法是采用成熟的 API 生命周期管理实践。应明确定义和编纂所选的 API 版本控制策略。版本控制更改应明确传达给所有利益干系人。

在这一点上，从一开始就计划一个日落、退休和弃用策略同样重要。然后，在已弃用的服务达到生命周期结束时将其删除！这不是一项迷人的任务，但它应该融入某人的任务中。

“良好的网络卫生是一个经常被忽视的策略，”斯奈德解释说。“第二个要求是围绕版本控制以及在任何给定时刻可以存在多少个版本的API制定策略。例如，该策略可能规定只能存在最新版本或最新版本加上一个版本。但是，这依赖于可见性以保持合规性。

适当的生命周期管理的其他方面包括围绕开发和部署采用治理，以及在持续部署 （CI/CD） 管道中利用自动化测试。这两者都可以帮助制定策略和安全要求，这也应该加强API的安全性。

共享内部和第三方服务的知识

部落知识是DevOps文化的对立面。因此，最好解除孤岛并共享 API 支持的服务的内部知识，以限制恶意终结点的传播。这可以通过专用网络存储库甚至内部邮递员集合或工作区来完成。

“组织协调和沟通等内部流程至关重要，”斯奈德补充道。“如果团队不告诉对方正在开发并投入生产的新API，安全团队就无法评估或审核它们。相反，如果应用程序团队不了解旨在涵盖各种 API 安全方面的网络基础设施资源，开发人员就不知道需要在 API 代码中加入哪些安全控制。

需要可见性以避免僵尸 API

CISO最近的一项调查显示，API安全性是CISO最关心的问题。由于许多原因，Web API 对于攻击者来说仍然是唾手可得的果实。今年早些时候，Salt Labs记录的恶意API攻击流量激增400%就强调了这一点。

我们还了解到，其中许多攻击都是通过经过身份验证的API进行的。这表明需要更大的问责制和可见性来开始阻止与API相关的安全事件的浪潮。

Snyder说，为了达到足够的可见性水平，领导者应该考虑采用有助于确定是否存在过时的API或具有多个实时版本的API的工具。“这些工具应该有助于显示实时API的安全性，并提供有关如何修复它们的建议，如果没有提供必要的代码或模块来直接保护API。