API安全正逐步邁入主流視野
無數(shù)物聯(lián)網(wǎng)設(shè)備正不斷從云端“母艦”處檢查豐富數(shù)據(jù)，而其中使用的強大API接口也迅速成為惡意黑客眼中的攻擊目標(biāo)。于是，API安全再次站在了時代舞臺的最中央。
谷歌API安全計劃Apigee的出現(xiàn)，令A(yù)PI的整體安全水平邁上新的臺階。而且不僅僅是物聯(lián)網(wǎng)，流暢絲滑的用戶體驗設(shè)計背后也同樣要求機器間數(shù)據(jù)的無縫對接。只有這樣才能以低摩擦方式交換大量數(shù)據(jù)，將遠(yuǎn)端分布式響應(yīng)技術(shù)融入到前所未有的精彩體驗中來。
但為了讓這一切“正常起效”，我們也要考慮到強大接口所引發(fā)的惡意攻擊可能性。如果不加控制，創(chuàng)紀(jì)錄的傳輸能力只會把敏感數(shù)據(jù)以創(chuàng)紀(jì)錄的速度傳遞給惡意黑客。
為此，我們在今年的RSA大會上發(fā)表了一篇文章，討論初創(chuàng)企業(yè)正以怎樣的方式保障API安全、防止其在悄無聲息之下淪為傾泄數(shù)據(jù)的致命軟肋。除我們之外，知名安全媒體DarkReading也打算好好給API安全事件引發(fā)的業(yè)務(wù)損失算筆賬。
如今，更多重量級巨頭也在進(jìn)軍這一領(lǐng)域，打算將API安全保障塑造成“下一件大事”。谷歌為自家云平臺打造的Apigee Advanced API Security，就是想幫助組織客戶發(fā)現(xiàn)API配置錯誤并阻止惡意機器人。從之前的記錄來看，API配置錯誤正是多數(shù)安全事故的罪魁禍?zhǔn)字弧?/p>
好在OWASP API Security Project等工具已經(jīng)相繼出爐，能幫助大家對自己的API或需要交互的API開展健康檢查，并以結(jié)果作為安全衡量基準(zhǔn)。這些工具還深入剖析了常見錯誤配置及處理方法，相當(dāng)于給大家提供了良好的保護(hù)起點。
而就在企業(yè)重視API保護(hù)工作的同時，下階段針對API的黑客攻擊也必然迅速增加。而這一波的攻擊重點，很可能就是在云和大數(shù)據(jù)體系中至關(guān)重要的工業(yè)接口。而一旦這里存在配置錯誤，將很快導(dǎo)致大量數(shù)據(jù)被傳遞至犯罪分子手中，最終引發(fā)嚴(yán)重危害。在這場關(guān)于安全的軍備競賽中，我們唯一能做的就是避免自己淪為那個受害者。
