T-Mobile数据泄露事件带来的经验教训（截至目前）

F5生态系统 | 2023年2月08日

近期，T-Mobile披露的数据泄露事件凸显了应用安全领域这一新兴“蛮荒地带”，即API所面临的挑战。某个个人（或团体）通过使用（或滥用）API，收集了超过3,000万客户的个人数据，并在一个多月内每天窃取信息，之后才被发现。

截至本文撰写时，关于本次事件中API究竟如何或为何遭到滥用（例如功能滥用、对象级授权失效、数据过度暴露），以及最终如何发现此次数据泄露，已知的具体信息并不多。仅从数据来看，平均每天有902,000名客户的数据通过该API被窃取，却未触发任何速率限制阈值、时间序列行为异常等警报。也可能已经触发，但相应威胁级别不足以让运营团队迅速识别并采取缓解措施。这起事件具有低频慢速攻击的典型特征。

此类数据泄露事件让我们有机会思考API的普及程度、API对当今组织的重要性，以及API在任何应用乃至整个组织的安全（或不安全）方面可能发挥的独特作用。在近年来的一项数据泄露事件分析中，F5 Labs注意到，在大多数与API相关的事件中，数据泄露手法在技术上非常简单，受影响的是面向公众且安全防护薄弱的API端点。

API安全说起来容易，真正做好却并非易事。如今，大多数组织监控的应用和端点越来越多，产生的应用安全事件数据也如潮水般涌来，要全面掌握所有情况似乎是一项不可能完成的任务。

不过，这次攻击凸显了API安全的三个核心要素。各组织在优先选择能够提供以下能力的技术和服务时，都可以从中汲取经验：

API可见性与发现。在本案例中，尚不清楚这个特定API是否已被发现或受到主动监控。正向安全模型依赖安全开发、文档完善且具备模式强制执行功能的API，这一点至关重要，但仅解决了一半问题。大多数组织可能无法全面掌握其环境中运行的每个API，因此，持续识别并映射应用所有通信路径中尚未记录的API极为重要。发现技术可帮助组织绘制完整的API全景图，识别未知API和影子API、需要阻止或移除的废弃API或僵尸API，以及应纳入治理的未知“良性”API，从而实现更全面的监管。

了解API的存在并具备访问控制能力，是保障API安全的两个关键环节。在我们的《2022年应用策略现状报告》中，68%的受访者将身份验证和授权列为API安全中最有价值的组成部分，紧随其后的是行为分析和异常检测，用于监控API、识别异常行为和潜在滥用并发出警报，因为恶意行为者可以通过多种方式轻易绕过身份验证和授权。在此场景中，API与客户端之间传输的数据必然存在某种异常。API投入生产后，持续跟踪其行为通常包括API请求分析和时间序列异常检测，以建立基准行为属性，用于识别请求速率、错误、延迟和吞吐量等方面的异常。借助此功能，警报机制至关重要，可在出现意外激增或骤降、特殊流量模式或检测到异常API请求时发出问题警报。

要完善现代API安全堆栈，还需要一个内联应用和API安全执行引擎，其中很可能包括具备多层应用安全功能的WAF，例如精细的L7策略执行，包括速率限制、IP信誉、允许和拒绝列表功能以及L7 DoS防护，并能够进一步调查恶意端点、用户及其他活动并采取相应措施。这样，运维团队便可在检测到异常时快速、轻松地识别疑似API滥用行为，并制定策略来阻止此类滥用。随着API和应用端点不断演进、行为发生变化，这有助于持续提升对它们的保护。

随着时间推移，以及我们进一步了解此次特定数据泄露事件的具体经过，必然还会有更多信息披露。但对组织而言，利用这三个要素进行评估并进一步完善安全计划至关重要，这有助于保护其应用和API端点免遭此类滥用。