根据Google Cloud近期发布的一份研究报告，半数受访组织在过去12个月内曾遭遇API安全事件。1 通过API发起的账户接管攻击日益增多，不仅增加了业务风险，可能导致收入和客户信任受损，还会扰乱交付、部署和维护流程，给负责产品发布的应用团队带来更大压力。
探讨紧迫的API安全问题，更好地应对威胁形势
随着各组织开始应对基于API的安全事件这一现实，许多组织都在寻求简单实用的方法，以便在不破坏运营工作流的前提下主动应对威胁。他们会问：“我们正在采取哪些措施来分析API流量、检测机器人和滥用行为，并防止可能导致欺诈或数据失窃的未经授权访问？”
最近，多位应用开发人员和安全专家与F5及Google Cloud共同探讨了如何阻止账户接管威胁，避免其通过应用中的众多API造成严重破坏。
本次网络研讨会“抵御账户接管威胁，共话API安全”旨在帮助DevOps和信息安全团队携手合作，有效应对这些API安全挑战。议题包括：
- 当前针对API的威胁形势
- 传统机器人检测技术为何已失效
- 减轻品牌和声誉可能受损的方法
如果您未能参加直播，也不必担心；可以通过这篇博文了解部分精彩内容，还可以访问点播录像。
做好准备、加强防护并及时响应
随着讨论的深入，嘉宾们分享了API可能带来的安全风险，以及组织可以采取哪些措施来防范基于API的账户接管。他们强调，当前使用的API数量庞大，导致数字攻击面呈指数级扩大，而许多组织缺乏实现有效防护所需的可见性。为获得充分的可见性，专家建议组织回答以下问题：
- 我们的环境中存在哪些API？
- 这些API可以访问哪些资源？
- 谁在使用这些API？
- 这些API暴露了哪些具体的业务漏洞？
为了有效应对由API助长的网络威胁，组织必须确定如何以适当方式协调DevOps、信息安全和业务团队，在恶意行为者成功接管用户账户之前实施防护。有效的网络安全计划需要一套全面的策略，其中包括适当的工具和情报、完善的跨职能计划、高效的团队协作、评估和衡量进展与安全态势的能力，以及如实向领导层和整个组织报告策略实施成效的信心。
为增强防御能力，我们的专家建议在应用开发和交付过程中加入保护措施，并在交付后实施实时监控，以便团队在发生严重事件前迅速响应。这种全面的多层方法能够以可扩展的方式采集多云网络流量以及分布式应用和API数据，同时自动识别正常与恶意的行为和活动。
归根结底，API安全的关键在于尽可能提高可见性，并利用实时运行时情报妥善应对各种情况。
扩展并保护由API驱动的业务增长
网络研讨会期间的讨论表明，许多DevOps和信息安全专家已经了解API安全的重要性，也认识到在提供顺畅客户体验的同时，采用高级防护措施抵御由自动化程序和机器人发起的账户接管具有重要价值。然而，尽管已有这些认识，许多人仍难以找到有效且可扩展的方法来应对这些挑战。
为解决这些难题，嘉宾们分享了一些用例和案例研究，重点介绍了如何与负责保障组织预期应用驱动型增长的关键利益相关者有效沟通。这些方法包括提出具有战略性和针对性的问题，例如：
应用开发：目前如何保护API免受账户接管攻击？如何确保API不会泄露客户数据或带来合规风险？
安全运营：是否能够全面了解哪些账户可能存在漏洞？是否能够监控API流量，发现滥用或入侵迹象？
网络运维：如何保护整个网络基础设施中的API流量？是否担心恶意机器人或脚本滥用API？
业务管理：账户安全对于维护客户信任以及防止欺诈交易造成收入损失至关重要。您正在跟踪哪些与安全事件相关的指标？
Google与F5携手实现实时运行时API保护
如今，大多数由API驱动的威胁都已实现自动化，能够快速适应环境的动态变化，并不断演变，以更巧妙地绕过防护和逃避检测。有效的API安全取决于组织能否将先进的自动化防护措施集成到持续集成和持续交付（CI/CD）管道、运营、基础设施及工作流中，同时避免给交付流程或用户体验带来阻碍。
Google Cloud和F5提供相应的解决方案与专业知识，帮助组织在数据中心、云和各种架构等所有环境中统一应对账户接管欺诈。实时运行时API防护有助于DevOps和信息安全团队协同开展以下工作：
- 自动发现映射到应用的端点
- 为不需要的连接定义并应用允许列表或拒绝列表
- 分析网络、设备和环境遥测数据
- 实时检测异常行为
欢迎观看网络研讨会的完整点播录像，了解其他组织遇到的API安全挑战及其采用的解决方案：挫败账户接管威胁，参与API安全对话。在制定并实施更有效的API安全计划时，您可以从中找到许多有关自身账户接管防护措施的问题答案。
如有其他问题，欢迎继续与我们交流。联系F5 Distributed Cloud团队的API保护专家，并请务必在此试用F5 Distributed Cloud Web App and API Protection（WAAP）模拟器：https://simulator.f5.com/s/waap
参考资料：
1 Google Cloud， 《2022 年 API 安全研究报告：最新洞察与主要趋势》，2022 年
关于作者
相关博客文章
Thingbot正转变为攻击平台
Lori MacVittie重点介绍了F5 Labs对2018年1月至6月全球物联网设备攻击的研究，并指出了其中令人警醒的影响。物联网设备不仅持续遭到利用，还被转变为攻击平台，这意味着攻击者可以更充分地利用这个必然增长的市场。
借助F5全新Quick Start，在AWS上快速开展业务
在AWS re:Invent开幕前，我们很高兴与大家分享F5与AWS之间全新的Quick Start集成。F5的Tom Atkins将介绍该服务如何启动、配置和运行在AWS上部署工作负载所需的计算、网络、存储及其他AWS服务。