API 安全：大局
Posted: Wed Dec 04, 2024 10:44 am
應用程式介面 (API) 已成為現代業務的重要組成部分。它們使企業更具競爭力，並透過將功能推近客戶並加快公司開發和部署其應用程式的速度來應對市場壓力。因此，許多安全團隊將 API 安全視為來年的首要任務也就不足為奇了。毫不奇怪，許多 API 安全供應商都在爭奪這項業務。
就像任何正在升溫的市場一樣，證券買家面臨著大量的噪音、混亂，當然還有行銷廢話。顯然，炒作並不能解決營運安全問題。安全買家如何破除虛言並評估API安全解決方案？有哪些需要考慮但經常被噪音淹沒的重要事項？
我認為，考慮大局是有幫助的，而不是只是檢查個別特徵或從戰術上解決問題。以下是評估 API 安全產品時的 10 個策略考量。
1. 多環境能力
如果 API 安全性不能跨多個環境工作，那麼它就沒有太大幫助。我們曾經相信我們會逐漸將一切遷移到雲端上，但現在大多數企業發現自己面臨的是一個複雜的混合環境，由部署在本地、私有資料中心和多個不同雲端環境中的應用程式和API 組成。
管理這種複雜性已成為企業的沉重負擔，極大地影響了他們充分保護 API 的能力。因此，任何可行的 API 安全解決方案都需要能夠跨複雜的混合和多雲環境管理安全性。
2. 簡化管理
為不同環境購買 API 安全單點解決方案可能很誘人，但這種方法增加了複雜性，並且增加了學習、操作、管理和維護的工具。更好的方法是將 API 安全性視為整體平台的一部分，旨在簡化 法國電報手機號碼列表 混合和多雲環境的管理和安全性。
3. 簡化部署
保證 API 的安全不僅涉及防禦攻擊，還涉及確保 API 部署的簡化和標準化。否則，人為錯誤、疏忽、漏洞和未知/非託管 API 端點的可能性就會增加。它還引入了被鎖定到特定雲端環境的風險，這需要遷移應用程式和 API 才能行動提供者——這是一個成本高昂且乏味的過程，如果不小心完成，可能會帶來嚴重的安全問題。
在尋求 API 安全解決方案時，請尋找作為整體平台一部分的解決方案，該解決方案還可以滿足跨多個環境簡化和標準化部署的需求，而不會被鎖定在其中任何一個環境中。
4. 統一的安全策略
策略也是 API 安全性的重要組成部分，以與環境無關的方式統一、普遍地應用它。統一安全性策略應用是 API 安全性總體方法的另一個關鍵組成部分。
5. 發現和修復
未知/非託管 API 對企業來說是一個大問題。然而，API 發現只是成功的一半。另一半涉及以清點、管理和保護這些已發現 API 的形式進行補救。作為整體 API 安全方法的一部分，所有這些都變得更加容易。
6. 不只是 API 網關
不幸的是，雖然 API 閘道解決方案很有幫助，但還不夠。它們不能防禦複雜的攻擊，也不能幫助企業跨多個不同環境管理其 API。它們應該被納入更廣泛、更具策略性的 API 安全方法的一部分。
7. 超越WAF
與 API 閘道一樣，Web 應用程式防火牆 (WAF) 也不足以應對當今複雜的威脅情勢。需要採取各種安全措施來正確保護 API，包括防範進階自動攻擊、詐欺和針對性攻擊。儘管 WAF 是一種極其重要的工具，但它們需要透過更全面的 API 安全平台來增強，該平台包含針對最高級威脅的防護。
8. 威脅情報
攻擊者學習、發展和磨練其技術的速度令人畏懼。簡而言之，很難跟上，這使得整合威脅情報成為 API 安全難題的另一個重要組成部分。
9. 可見性
本文的大部分內容都集中在保護性控制和措施上，但安全專業人員知道他們還需要偵測性控制和措施。持續的安全監控和事件回應需要許多工具、流程和培訓，但它們也需要遙測資料形式的可見性。如果沒有能力在多個環境中提供可見性的全域元件，任何 API 安全解決方案都是不完整的。
10.人的因素
最後但並非最不重要的一點是，API 安全不僅與技術有關。雖然具有正確功能的正確平台對於 API 安全至關重要，但擁有正確的流程和經過正確培訓的正確團隊也同樣重要。
在 API 安全性方面，儘管關注戰術功能可能很誘人，但這樣做是一個策略錯誤。 API 安全需要一種整體方法，企業可以透過該方法來管理 API 安全性以及與之相關的所有人員、流程和技術。當安全買家評估 API 安全解決方案提供者時，重要的是他們要考慮大局並針對最終圍繞 API 安全主題出現的各種問題進行規劃。
就像任何正在升溫的市場一樣，證券買家面臨著大量的噪音、混亂，當然還有行銷廢話。顯然，炒作並不能解決營運安全問題。安全買家如何破除虛言並評估API安全解決方案？有哪些需要考慮但經常被噪音淹沒的重要事項？
我認為，考慮大局是有幫助的，而不是只是檢查個別特徵或從戰術上解決問題。以下是評估 API 安全產品時的 10 個策略考量。
1. 多環境能力
如果 API 安全性不能跨多個環境工作，那麼它就沒有太大幫助。我們曾經相信我們會逐漸將一切遷移到雲端上，但現在大多數企業發現自己面臨的是一個複雜的混合環境，由部署在本地、私有資料中心和多個不同雲端環境中的應用程式和API 組成。
管理這種複雜性已成為企業的沉重負擔，極大地影響了他們充分保護 API 的能力。因此，任何可行的 API 安全解決方案都需要能夠跨複雜的混合和多雲環境管理安全性。
2. 簡化管理
為不同環境購買 API 安全單點解決方案可能很誘人，但這種方法增加了複雜性，並且增加了學習、操作、管理和維護的工具。更好的方法是將 API 安全性視為整體平台的一部分，旨在簡化 法國電報手機號碼列表 混合和多雲環境的管理和安全性。
3. 簡化部署
保證 API 的安全不僅涉及防禦攻擊，還涉及確保 API 部署的簡化和標準化。否則，人為錯誤、疏忽、漏洞和未知/非託管 API 端點的可能性就會增加。它還引入了被鎖定到特定雲端環境的風險，這需要遷移應用程式和 API 才能行動提供者——這是一個成本高昂且乏味的過程，如果不小心完成，可能會帶來嚴重的安全問題。
在尋求 API 安全解決方案時，請尋找作為整體平台一部分的解決方案，該解決方案還可以滿足跨多個環境簡化和標準化部署的需求，而不會被鎖定在其中任何一個環境中。
4. 統一的安全策略
策略也是 API 安全性的重要組成部分，以與環境無關的方式統一、普遍地應用它。統一安全性策略應用是 API 安全性總體方法的另一個關鍵組成部分。
5. 發現和修復
未知/非託管 API 對企業來說是一個大問題。然而，API 發現只是成功的一半。另一半涉及以清點、管理和保護這些已發現 API 的形式進行補救。作為整體 API 安全方法的一部分，所有這些都變得更加容易。
6. 不只是 API 網關
不幸的是，雖然 API 閘道解決方案很有幫助，但還不夠。它們不能防禦複雜的攻擊，也不能幫助企業跨多個不同環境管理其 API。它們應該被納入更廣泛、更具策略性的 API 安全方法的一部分。
7. 超越WAF
與 API 閘道一樣，Web 應用程式防火牆 (WAF) 也不足以應對當今複雜的威脅情勢。需要採取各種安全措施來正確保護 API，包括防範進階自動攻擊、詐欺和針對性攻擊。儘管 WAF 是一種極其重要的工具，但它們需要透過更全面的 API 安全平台來增強，該平台包含針對最高級威脅的防護。
8. 威脅情報
攻擊者學習、發展和磨練其技術的速度令人畏懼。簡而言之，很難跟上，這使得整合威脅情報成為 API 安全難題的另一個重要組成部分。
9. 可見性
本文的大部分內容都集中在保護性控制和措施上，但安全專業人員知道他們還需要偵測性控制和措施。持續的安全監控和事件回應需要許多工具、流程和培訓，但它們也需要遙測資料形式的可見性。如果沒有能力在多個環境中提供可見性的全域元件，任何 API 安全解決方案都是不完整的。
10.人的因素
最後但並非最不重要的一點是，API 安全不僅與技術有關。雖然具有正確功能的正確平台對於 API 安全至關重要，但擁有正確的流程和經過正確培訓的正確團隊也同樣重要。
在 API 安全性方面，儘管關注戰術功能可能很誘人，但這樣做是一個策略錯誤。 API 安全需要一種整體方法，企業可以透過該方法來管理 API 安全性以及與之相關的所有人員、流程和技術。當安全買家評估 API 安全解決方案提供者時，重要的是他們要考慮大局並針對最終圍繞 API 安全主題出現的各種問題進行規劃。