• API資產(chǎn)管理

由于API數(shù)量增長太快，很多企業(yè)都不清楚自己擁有多少個API，以及API處于什么樣的狀態(tài)。如果沒有深度的API資產(chǎn)梳理，安全團隊根本無法了解企業(yè)API的真實資產(chǎn)情況，也無法預(yù)估數(shù)據(jù)暴露的風險。

因此，瑞數(shù)信息引入API資產(chǎn)管理，通過對訪問流量進行分析，自動發(fā)現(xiàn)流量中的API接口，對API接口進行自動識別、梳理和分組。同時，通過從API網(wǎng)關(guān)上獲取API注冊數(shù)據(jù)，與API資產(chǎn)進行對比，從而發(fā)現(xiàn)未知API接口。

• API攻擊防護

通過自動化、多樣化的API網(wǎng)絡(luò)攻擊，黑客不僅可以達到消耗系統(tǒng)資源、中斷服務(wù)的目的，還可以通過逆向工程，掌握 API 應(yīng)用、部署情況，并監(jiān)聽未加密數(shù)據(jù)傳輸，竊取企業(yè)數(shù)據(jù)。

對此，瑞數(shù)信息綜合利用智能規(guī)則匹配及行為分析的智能威脅檢測引擎，持續(xù)監(jiān)控并分析流量行為，有效檢測威脅攻擊。智能威脅檢測引擎能在用戶與應(yīng)用程序交互的過程中收集數(shù)據(jù)，并利用統(tǒng)計模型來確定HTTP請求的異常。一旦確定異常情況，智能引擎就會使用機器學(xué)習(xí)獲得的多種威脅模型來確定異常攻擊，并對安全攻擊進行實時防護。同時，對API請求參數(shù)進行合規(guī)管控，對不符合規(guī)范的請求參數(shù)實時管控。

• 敏感數(shù)據(jù)管控

如果企業(yè)未對敏感信息等數(shù)據(jù)進行脫敏處理，且未加密傳輸，一旦流量被截獲、破解，將對企業(yè)、公民個人權(quán)益造成嚴重影響。此外，未脫敏數(shù)據(jù)在傳輸至前端時，如被接收方終端緩存，也可能導(dǎo)致敏感數(shù)據(jù)暴露。

瑞數(shù)API安全管控平臺(API BotDefender)因此會對API傳輸中，諸如手機號、銀行卡號、身份證號等的敏感數(shù)據(jù)進行識別和過濾，并可以針對敏感數(shù)據(jù)進行脫敏或者實時攔截，規(guī)避數(shù)據(jù)安全風險。

• 訪問行為管控模塊

如今API攻擊多以合法身份登錄后，模擬正常操作、多源低頻請求，因此企業(yè)很難察覺訪問行為是否異常。

瑞數(shù)API安全管控平臺(API BotDefender)通過建立多維度訪問基線和API威脅建模，對API接口的訪問行為進行監(jiān)控和分析。一方面，監(jiān)控基線偏離狀況，針對高頻情況等進行防護，防止高頻情況等造成的API性能瓶頸；另一方面，高效識別異常訪問行為，避免惡意訪問造成的業(yè)務(wù)損失。

同時，為了防止非法API調(diào)用，瑞數(shù)API安全管控平臺(API BotDefender)通過從API網(wǎng)關(guān)上獲取API認證和鑒權(quán)數(shù)據(jù)，防止未授權(quán)的API調(diào)用，保障API接口只能被合法用戶訪問。

總體而言，相較于傳統(tǒng)API安全方案，瑞數(shù)API安全管控平臺(API BotDefender)著重強調(diào)API安全防護能力的提升，以行為分析為基礎(chǔ)實現(xiàn)從API接入客戶端到API服務(wù)器端的全程式API安全威脅防護，其優(yōu)勢也十分明顯： 

• API全自動發(fā)現(xiàn)

瑞數(shù)API安全管控平臺(API BotDefender)的“Discover發(fā)現(xiàn)模塊”，可以快速自動地發(fā)現(xiàn)API，并且針對發(fā)現(xiàn)的API給出明確的認定;同時，顯示出清晰的API列表，對API接口的訪問情況一目了然。

• 構(gòu)建API畫像

瑞數(shù)API安全管控平臺 (API BotDefender)，采用全程式安全威脅防護技術(shù)，從而利于精準地構(gòu)建API畫像；通過API畫像，可以快速預(yù)覽各個業(yè)務(wù)的API情況，包括使用情況、異常情況、訪問來源等。

• API全渠道感知

提供各種SDK，方便與各類API來源應(yīng)用進行集成，可以對來源環(huán)境和用戶行為進行感知。

• 動態(tài)響應(yīng)防護

可根據(jù)行為分析的結(jié)果或指定條件，進行動態(tài)響應(yīng)防護，提升通過逆向探測或機器學(xué)習(xí)分析等攻擊手段的難度。

此外，瑞數(shù)API安全管控平臺 (API BotDefender)的部署方式非常靈活，支持軟件、硬件和云的方式進行部署，可以大大降低部署、管理和維護成本。同時，占用資源少，不影響服務(wù)器的正常運行，可以實現(xiàn)應(yīng)用無感知部署。

目前，瑞數(shù)信息憑借其突出的技術(shù)實力和防護能力，其產(chǎn)品在金融、政府、運營商三大行業(yè)得到了成功應(yīng)用，“瑞數(shù)API安全管控解決方案”更榮獲“2021金融業(yè)新技術(shù)應(yīng)用創(chuàng)新突出貢獻獎”，表明了行業(yè)客戶對瑞數(shù)技術(shù)創(chuàng)新能力和優(yōu)異應(yīng)用效果的充分認可。在API安全日益重要的今天，如瑞數(shù)API BotDefender這類具備先進防護策略和創(chuàng)新技術(shù)的API安全產(chǎn)品，可以更好地幫助企業(yè)應(yīng)對未知威脅、安全管控API，保證業(yè)務(wù)的正常高效運轉(zhuǎn)。

zhupb