数字环境不断演变，公共部门和国家关键基础设施面临的威胁也随之变化。近期有据可查的攻击事件，例如美国财政部遭入侵事件（发生于去年年底）和T-Mobile网络运营商遭黑客攻击事件（于2023年披露），清楚地提醒我们，漏洞仍普遍存在。
这些漏洞越来越多地出现在应用程序编程接口（API）中。事实上，Gartner近期预测，API正成为主要攻击途径，攻击者借此攻击Web应用，而我的经验也印证了这一趋势。
在本周举行的AppWorld Public Sector Symposium上，我们将探讨API保护，以及应用交付和安全领域的其他新兴趋势。活动将于明日在弗吉尼亚州泰森斯科纳开幕，为深入分析这些挑战并探索有效的解决方案提供重要机会。
揭示影子API威胁
我一次又一次地看到，缺乏对网络漏洞的可见性是主要挑战之一。许多组织甚至不知道自己正在使用多少个API。我们曾为客户开展API发现工作，他们原以为自己大约有100个API，结果却发现实际数量接近30,000个！这种情况并不少见，并会带来重大安全风险。
API运行在复杂的生态系统中，隐藏在由各种架构、组件、类型和协议拼接而成的环境里。平均而言，每个组织使用超过20,000个API。预计到2030年，公共和私营部门使用的API总数将超过20亿个。管理和保护这些API时，最常见的挑战是缺少文档或难以发现。
“跨多个云管理API十分复杂。如果安全团队无法全面了解所有API及其安全状态，很容易不堪重负。”
这种“影子 IT”现象会导致未知或未受管理的 API 大量增加，为漏洞滋生提供温床。这些 API 往往缺乏适当的安全控制，很容易成为恶意行为者的攻击目标。这就像家里的门窗没有上锁，等于向企图入侵者敞开大门。
了解API利用与攻击途径
API日益成为国家级攻击者和网络犯罪组织的攻击目标。政府和国防相关API与面向公众的API同样容易受到攻击。由于处理敏感数据，这些API甚至可能对攻击者更具吸引力。
API可被用作深入攻击网络的入口。API一旦遭到入侵，攻击者便可能借此访问内部系统、数据库及其他关键资源，如同发现了一条通往组织核心的秘密通道。美国网络运营商T-Mobile的案例表明，威胁行为者可以利用API漏洞，未经授权访问在暗网上具有价值的机密数据。在该事件中，攻击者窃取了3,700万个现有客户账户的个人信息。
更复杂的是，组织可能无法完全控制所有与其系统交互的API。
针对美国财政部的攻击者利用第三方软件组件中的漏洞获得了访问权限。具有讽刺意味的是，该软件正是其网络防御体系的一部分。此类供应链攻击可能影响各种规模和类型的组织，Solar Winds攻击和“伏特台风”组织等众多案例都曾成为新闻焦点。
要构建稳健的API安全措施，必须全面考虑每个环节。我们的《2024年应用策略现状报告：API安全》揭示了哪些API面临的风险似乎最高、哪些API通常未得到保护，以及API安全模型和职责可能需要如何调整，才能在AI时代保障API安全。提前透露一下：零信任安全也存在盲区，除非将API也纳入其中。
AI能否成为API安全的得力助手？利用AI赋能的防御能力
AI既加剧了API安全问题，也有助于提升API安全性。Gartner估计，到2026年，AI的采用将推动API需求增量中的30%以上，原因是大语言模型需要使用大量API来收集和交换数据。每个API都需要相应的文档和安全防护，这为恶意行为提供了大量可乘之机。
所幸，组织并非毫无防御能力，AI正逐渐成为一种强大的防御工具。AI和机器学习可以实时分析API流量，检测人工无法识别的异常和可疑行为。
AI可以对API进行分类、了解正常行为模式，并标记潜在的滥用行为或安全漏洞。AI还可用于动态生成安全策略，以适应不断演变的威胁，确保API始终受到保护。这就像有一名不知疲倦的智能安全卫士，持续监控API流量。
在不同环境中实现一致防护
如今，公共部门组织利用包括AWS、Azure、Google Cloud等在内的混合云和多云环境来实现可扩展性和韧性，但这也让API安全问题更加棘手。不同云提供商各自采用不同的安全工具和配置，这些固有差异导致安全防护体系碎片化。仅依赖云原生安全措施会留下攻击者伺机利用的缺口。这就像让互不协同的多支军队共同守卫一座城堡。
跨多个云管理API十分复杂，如果安全团队无法全面了解所有API及其安全状态，很容易不堪重负。应对这一挑战需要采用统一的方法，首先在所有云中实施一套统一且一致的安全策略，涵盖身份验证、授权等方面。标准化的安全控制措施也至关重要，可确保所有环境都具备基准级别的保护。
集成到API开发生命周期中的自动化安全测试还有助于及早发现漏洞。实时监控和威胁检测可提高可见性，并支持快速响应事件；完善的身份和访问管理（IAM）系统可控制API访问，明确的API治理策略则可确保安全实践的一致性。
在多云环境中保护API，需要采取主动、集中且标准化的方法。通过落实这些原则，现代公共部门和关键基础设施组织可以降低风险，并持续保障API安全。归根结底，关键在于构建强大且灵活的防御体系，以应对不断演变的威胁。
想了解更多信息？欢迎收听近期的Federal Tech Podcast，其中包含我与John Gilroy的对话。还可访问F5 Public Sector Solutions网页。
关于作者
相关博客文章
Thingbot正转变为攻击平台
Lori MacVittie重点介绍了F5 Labs对2018年1月至6月全球物联网设备攻击的研究，并指出了其中令人警醒的影响。物联网设备不仅持续遭到利用，还被转变为攻击平台，这意味着攻击者可以更充分地利用这个必然增长的市场。
借助F5全新Quick Start，在AWS上快速开展业务
在AWS re:Invent开幕前，我们很高兴与大家分享F5与AWS之间全新的Quick Start集成。F5的Tom Atkins将介绍该服务如何启动、配置和运行在AWS上部署工作负载所需的计算、网络、存储及其他AWS服务。