增强API防护，提升金融服务安全性的五大领域

Joshua Goldfarb

如今，API安全备受关注，这并非没有原因。仔细想想，大多数金融服务机构已越来越像科技公司。它们不断面临创新压力，既要跟上持续提升数字化客户需求响应水平的金融科技公司，甚至还要与其合作。由此形成的金融服务新生态通过API整合金融科技公司，推动了开放金融的显著发展。这也使金融服务机构在业务运营上比以往任何时候都更加依赖API。

毫不意外，随着银行认识到API的重要性，攻击者也意识到了这一点。攻击者不断将业务关键型API作为目标，因为他们知道，利用、滥用和/或攻破API可以牟利或获得其他好处。与此同时，近年来攻击面显著扩大。这主要是因为混合云和多云环境日益复杂，管理难度也不断增加，而这一趋势已席卷整个行业。所有这些因素都会对业务造成重大影响，包括大规模数据泄露、合规问题和监管罚款。

当然，也并非全是坏消息。金融服务机构与值得信赖的合作伙伴携手，可以更有效地抵御针对其API的威胁。下面来看看合适的可信合作伙伴可以从哪五个方面帮助提升API安全性。

1. 开发：开发团队面临严峻挑战。一方面，他们必须在紧迫的期限内开发出所需功能，并确保功能正常运行。另一方面，他们需要按照安全团队制定的要求开发API。然而，这些要求实际上无法得到有效执行，也无法通过任何方式进行检查。虽然可以审计和审查代码，但这个过程繁琐耗时，容易出现人为错误和疏漏，而且往往要为其他迫在眉睫的优先事项让路。在大多数企业中，开发人员的数量通常远超安全专业人员，因而产生了规模问题。结果，缺陷、疏漏和漏洞未能在开发过程中被发现，最终进入生产环境中的API。只有自动化才能帮助安全控制实现规模化，避免安全团队成为阻碍，以免拖慢业务所需的推进速度。与可信赖的合作伙伴携手，自动执行架构、标准和策略，是更合适的方式。
2. 访问控制：信不信由您，控制哪些人有权访问哪些API仍是一项挑战。考虑到现代企业环境的复杂性，这一点或许并不难理解。大多数企业使用两家或更多云服务提供商，同时还拥有本地和/或数据中心环境。通常，每个分散位置的网络、技术、开发和安全技术栈都需要多个团队共同管理。因此，控制（和监控）API访问已成为一项严峻挑战，也就不足为奇了。事实上，2023年OWASP API安全十大风险中有4项与身份验证/授权相关。合适且值得信赖的提供商可以帮助企业化繁为简，从容应对繁重任务。这样，企业便可专注于这些环境的运营、维护和安全防护，包括实施适当的访问控制。
3. 游离API：有时，正式流程需要一定时间，开发人员为了赶上开发期限，会搭建新的基础设施和端点。也可能是某些基础设施和端点被遗漏，从未得到妥善盘点、管理、监控和保护。无论原因如何，游离API确实存在。对于未知的API，企业无法对其进行盘点、管理、监控和保护。值得信赖的合作伙伴不仅能帮助企业检测未知API，还能帮助企业保护这些API。
4. 仅靠WAF还不够： Web应用防火墙（WAF）无疑是安全体系中的关键组成部分。WAF可针对多种威胁提供重要防护，但其设计初衷并非阻止API每天面临的所有类型攻击。此外，API正在快速演进，随之出现全新的漏洞类型，而安全控制措施可能无法识别这些漏洞。值得信赖的合作伙伴必须在WAF基础上提供与之集成的高级功能，用于识别和缓解API漏洞。
5. 复杂攻击：应用仅遭受已知常见攻击的时代已经过去。高水平攻击者会发起复杂攻击，避开常规监测，暴露敏感业务流程、窃取数据、实施欺诈、导致应用中断并损害声誉。这既包括手动攻击，也包括自动化（机器人）攻击。识别、检测和缓解此类复杂攻击需要专业知识。任何值得信赖的合作伙伴都应在其API安全产品中提供针对复杂攻击的防御能力。

当然，这并非详尽无遗的清单。每家金融服务机构都应审查其风险登记册，了解哪些风险和威胁可能对业务造成最大影响。对于可能造成更严重影响的风险和威胁，可以提高其优先级。但需要注意的是，许多管理者可能并不清楚如何最有效地评估API安全风险的实际程度。因此，与合适的合作伙伴携手合作就显得尤为重要。理想情况下，API安全相关风险应在清单中处于较高位置，成为值得投入资源的优先事项。这包括与合适的合作伙伴合作，该合作伙伴应了解API安全的重要性，并能提供适当的解决方案。

如需了解更多信息，请访问银行和金融服务网络安全。

关于作者

Joshua Goldfarb

Joshua Goldfarb 的更多博客文章