API攻击防护：应对网络犯罪分子瞄准的新型账户接管目标

F5生态系统 | 2023年7月25日

在不断变化的威胁形势下，网络犯罪分子正将API作为实施账户接管（ATO）欺诈的新型常用武器，因为API可直接访问宝贵的资源和功能。API威胁日益突出，因此OWASP刚刚发布了新版《2023年十大API安全风险》清单，旨在提醒组织关注需要解决的领域。

犯罪分子已转变其账户接管（ATO）策略，利用恶意机器人程序针对API发起攻击，攻击手段包括凭据填充、业务逻辑滥用以及DDoS攻击。这些攻击通常会导致应用停机、身份盗用和欺诈。借助现成工具，发起此类攻击比以往更加容易，而传统的机器人程序防御技术很难检测到这些攻击。

据F5首席技术官办公室估计，未来几年，生产环境中的API数量将呈指数级增长。到2030年，生产环境中的API数量可能达到5亿至超过15亿个。遗憾的是，这对不断寻找新目标的网络犯罪分子来说是个好消息。

来源［1］：API持续激增（F5首席技术官办公室）

API蔓延会造成大量盲区，可能导致漏洞

开放式设计和可预测的结构留下了许多容易被探测的入口。
开发人员通常会按照逻辑架构（如REST）构建结构可预测的灵活API，这使犯罪分子很容易探测可能已暴露的其他数据。
跨组织可见性不足，导致难以观察API活动，尤其是在根本不知道API存在的情况下。
API通常在安全运营团队知晓之前就已发布，从而形成影子API或僵尸API生态系统，并导致API流量缺乏端到端可见性。
复杂性增加会产生未受管理且未得到安全保护的API，导致攻击面扩大。
分布式环境和服务激增使持续发现、管理和监控所有API变得更具挑战，进而导致威胁数量增加，并更容易受到安全和隐私事件的影响。

现有安全控制措施可能无法保护API免受账户接管（ATO）攻击

现代恶意机器人攻击不断演变，导致传统机器人防护工具难以持续发挥效力。对于API，这一问题可能会进一步恶化，因为机器人攻击正以各种新的不同方式针对API，包括自动执行探索性扫描、利用资源和业务逻辑漏洞，以及实施凭据填充和注入攻击。

API凭据填充攻击充分说明了传统机器人程序缓解策略为何会使系统面临风险。某些API会在提交用户名和密码后提供身份验证令牌，类似于登录网站。此令牌通常用于向API发出的所有其他请求。这种模式在API中很常见，尤其是较旧的API，并且容易遭受凭据填充和密码喷洒攻击。

这类针对性攻击会绕过大多数传统控制措施，因此很难区分攻击者和真实客户。传统安全控制措施（例如基础的Web应用防火墙（WAF）和安全信息与事件管理（SIEM）系统）不足以识别和防范针对API的机器人攻击，部分原因是机器到机器（即API到API）的流量非常大。攻击表面上可能与正常的应用行为无异，但API可能在后台遭到利用和滥用，使攻击者能够逃避检测，直至为时已晚。

要成功防范ATO攻击，API安全策略需要多管齐下并保持警惕

API安全是整个组织的共同责任。无论是传统Web应用还是现代API架构，都需要更加关注由机器人驱动的攻击，包括可能导致系统失陷和数据泄露的攻击，以及影响正常运行时间和可靠性的攻击。

在保障API安全和防范通过API进行未经授权的访问方面，无论此类访问是通过凭据填充、暴力破解还是其他强制登录尝试机制发起，先进的AI/ML引擎都可以识别登录失败活动或探测API参数的尝试，并标记这些尝试，供运维团队审核。

“在去年的《应用策略现状报告》中，68%的受访者认为身份验证和授权是API安全中价值较高的组成部分；紧随其后的是行为分析和异常检测，用于监控生产环境（运行时）中的API。”

组织应通过多种方式加强API安全，包括验证连接和访问、持续监控行为并发出警报，以及协助识别异常客户端行为，从而确定可能遭到入侵的环节。

持续监控并保护API端点，以识别不断变化的应用集成、检测易受攻击的组件，并缓解通过第三方集成发起的攻击。
实施正向安全模型，该模型可与CI/CD流水线集成，并支持OpenAPI和Swagger接口规范，从而轻松验证架构、强制执行协议合规性、自动建立正常流量模式基线并检测异常行为。
采用零信任和基于风险的安全策略：遵循最小权限访问原则，检查有效负载，防止未经授权的数据泄露，并对对象和函数实施访问控制和基于风险的身份验证。这应包括收集情报，并针对API建立机器人正常行为基线。利用行为和模式分析、工作流验证及指纹识别，可以区分人类、善意机器人和恶意机器人的活动。
应对不断变化的应用生命周期：防止异构环境中的安全配置错误，缓解可能导致系统失陷和拒绝服务的滥用行为，并在不同云和架构中以一致方式修复威胁。持续扫描、测试和监控API，排查配置错误、漏洞和业务逻辑缺陷。

建议考虑建立API安全态势的集中视图，以便贵组织快速行动，识别API环境中的潜在问题，深入分析并调查，并酌情采取措施，消除可能影响连接性、可用性或应用和API安全的任何异常或威胁。

通过本次点播网络研讨会，详细了解如何防范账户接管攻击。