今天，我想和大家分享一个秘密。过去20年里，我曾先后担任过大约6个首席信息安全官（CISO）职位，其中只有一次是因为发生了安全事件而聘请我。仅此一次。
另外五次，要么是因为人员自然流失，要么是因为关键利益相关者失去信任而更换了原任者。其中整整一半是因失去信任而被替换，并非因为发生了安全事件。
CISO为何需要了解其API环境
在API安全领域，CISO需要了解自身面临的API暴露风险，其原因可归纳为以下几项明确结论。
首先，要为特定环境创建威胁模型，需要了解四个要素：资产、参与者、接口和操作。换言之，“谁通过什么方式，对什么对象执行什么操作？”
其次，API中的“I”代表“接口”。应用程序编程接口广泛用于多种平台、语言和框架，几乎所有现代软件开发都采用API优先模式。因此，您的环境中必然存在API。
第三，作为首席信息安全官（CISO），如果您没有清点用于公开和提供敏感数据的接口，无论这些接口是供内部使用，还是供Web和移动应用使用，那么您的威胁模型就不完整，并会在服务和数据暴露之处形成相应的盲区。
最后，不完整的威胁模型无法实现全面的安全监督，也无法证明已履行应有的审慎义务，而审计机构和监管机构有责任确保这两个关键方面得到落实。其职责是确保特定环境中的资产、参与者、接口和操作均得到充分了解和管理。
评估API安全风险敞口
F5始终致力于帮助客户充分掌握相关信息。因此，我们整理了一份简明的问题清单，供您评估API生态系统的当前状况。现在回答这些问题，有助于您为日后的现场检查或外部审计做好准备。
“通过证明您能够全面了解并持续改进API安全态势，您将继续赢得来之不易的信任。”
我曾亲自与多个机构的监管人员和审查人员探讨过这些问题。如今，美国联邦通信委员会已开始针对API问题处以罚款并发布同意令，而现行的支付卡行业数据安全标准（PCI DSS）4.0及更高版本也明确要求在开发过程中确保API合规。对防御人员而言，现在正是准备好这些问题答案的合适时机。
即使无法回答所有问题，了解自身现状并展现积极主动的应对态度，对CISO也至关重要。通过证明您充分掌握自身API安全态势并持续加以改进，便能维持来之不易的信任。
以下问题按从易到难的顺序排列。如果无法按预期完成更多问题，请联系您的F5客户团队。我们随时为您提供帮助。
- 谁负责公司的API安全？
- 我们的API是否已指定负责人？
- 我们的收入中有多少来自API？
- 我们有多少个API？
- 其中有多少正在使用，有多少处于闲置状态？
- 其中有多少容易受到10 类常见 API 问题的影响？
- 我们的渗透测试是否充分涵盖生产环境中的API漏洞和业务逻辑攻击？
- 我们的哪些API传输或接收受法律或法规合规要求约束的数据？
- 是否发现恶意流量？出现在哪些API端点？
- 我们的整体API安全风险如何？与去年同期相比，风险是有所降低还是有所上升？
- 是否有些开发团队产生的API问题比其他团队更多？如何针对API安全问题为这些团队提供培训和反馈？
- 代码和API变更在投入生产环境之前，是否经过审查流程？
- 谁会收到针对我们的API检测到的安全事件警报？
- 当检测到针对某个生产环境API的对象级授权失效（BOLA）攻击时，平均响应时间是多少分钟？
- 最后，回到清单开头的基本问题：我们认为负责API安全的人员是否清楚并认同自己负有这项责任？
强化安全态势
评估API环境及API可能带来的威胁，是发现安全盲点并强化安全态势的第一步。
本周，欢迎在加利福尼亚州圣克拉拉参加F5亮相的API World，全面了解API。我将与两位同事于周四太平洋标准时间13:00在公开会议“AI的世界就是API的世界：保护前沿现代应用”上发表演讲。同一场会议还将于11月14日（周四）13:00在线举行。
F5还将于11月12日（星期二）9:00举办线上会议“API CTF：趣学API安全基础知识”。
无法参加API World？不妨了解我们的API安全演示。
相关博客文章
Thingbot正转变为攻击平台
Lori MacVittie重点介绍了F5 Labs对2018年1月至6月全球物联网设备攻击的研究，并指出了其中令人警醒的影响。物联网设备不仅持续遭到利用，还被转变为攻击平台，这意味着攻击者可以更充分地利用这个必然增长的市场。
借助F5全新Quick Start，在AWS上快速开展业务
在AWS re:Invent开幕前，我们很高兴与大家分享F5与AWS之间全新的Quick Start集成。F5的Tom Atkins将介绍该服务如何启动、配置和运行在AWS上部署工作负载所需的计算、网络、存储及其他AWS服务。