API需求日益增长。无论是通过支持移动应用来推动数字经济，还是通过自动化和编排计划提高内部生产力，API都无处不在。
许多组织都喊出了“API优先！”这一数字化口号。Cloud Elements的《2018年API集成现状》显示，大多数受访者（60%）向所有开发者开放API。这种做法正在带来回报。高达85%的组织已通过API及API相关实施获得了一定收入。其中，大部分组织（59%）有11%至50%的收入来自API。超过十分之一的组织（11%）仅通过API获得的收入就占总收入的一半以上。（MuleSoft的《API价值日益提升》）
但需要提醒的是，这些组织向所有开发者开放API。并非只向善意的开发者开放，而是向任何开发者开放。
如今，API经济具有开放性。遗憾的是，这也导致API优先战略往往伴随着安全滞后战略。
涉及知名组织的API相关安全事件比比皆是。无论是经Forbes报道，还是由F5 Labs自行发现，这些组织都曾遭遇API相关安全漏洞事件，而采用业界熟知的安全实践和工具本可避免这些事件。
F5 Labs首席威胁研究布道师Ray Pompon在其API安全研究中指出：
“……可以看到，这些事件呈现出与应用安全领域长期存在的传统问题相同的模式：攻击者通过暴力破解或窃取的凭据获得访问权限。此外，攻击者通过API完成身份验证后，还会利用分配范围过大的权限。”
摘自<https://www.f5.com/labs/articles/threat-intelligence/reviewing-recent-api-security-incidents>
还是那些传统问题。归根结底，API通常以通过HTTP传输的URI实现，并承载JSON或XML数据负载。这与通过HTTP传输、承载POST表单数据负载的URI并没有太大区别。
别忘了，API只是代码的接口。根据《WhiteHat应用安全统计数据》，这些代码平均每10万行代码（LOC）存在39个漏洞。不过，这是传统应用的数据。如果使用微服务架构实现接口（API），则每10万行代码可能存在180个漏洞。无论哪种情况，漏洞数量都不容忽视。
API与对应的Web应用存在相同的漏洞。因此，在安全方面，API需要得到与Web应用同等的重视。
然而，如今对API安全的重视程度仍不及Web应用，至少现有证据表明，API安全测试并未得到充分落实。SmartBear的一项非正式调查发现，目前只有12%的受访者会开展“全面的”API安全测试。完全不开展API安全测试的受访者比例几乎是前者的两倍，确切地说是23%。这与SmartBear开展的一项更正式的研究结果一致。该研究发现，80%的受访者会测试其API。
这意味着仍有20%的受访者不会进行测试。
API优先是参与数字经济并推动业务和运营向精简高效的数字化模式转型的有效方式。但如果将安全置于末位，相关问题很可能会在Twitter*上演变成一个充满负面评价的热门话题。没有人希望看到这种结果。
因此，如果要采用API优先战略（也确实应该如此），就必须将安全置于同等重要的位置。不要为API采用安全滞后战略。
以下几个简单步骤可帮助您开始行动：
- 只要存在，就要测试。
- 如果存在用户输入，请勿信任。
- 如果存在用户登录功能，请防范暴力破解和凭据填充攻击。
- 请注意，需要对API所依赖的系统和服务进行维护并及时修补漏洞。这些系统和服务中的漏洞也会使API面临风险。
请务必做好安全防护。
关于作者
Lori MacVittie是F5首席技术官办公室的杰出工程师兼首席技术布道师，在应用交付、自动化战略和基础设施领域拥有深厚的专业知识。无论是为AI智能体定义防护机制、剖析脆弱的多云架构，还是探索可扩展系统的极限，她都善于化繁为简。她在应用开发、IT架构以及网络和系统运维领域拥有30多年的行业经验。加入F5之前，她曾担任技术编辑，并因出色表现获得奖项。 MacVittie拥有计算机科学硕士学位，著述颇丰，出版作品涵盖安全、云和企业架构领域。她还热衷于桌面游戏和电子游戏，并且对奶酪有着毫不掩饰的鲜明见解。
Lori Mac Vittie 的更多博客文章相关博客文章
Thingbot正转变为攻击平台
Lori MacVittie重点介绍了F5 Labs对2018年1月至6月全球物联网设备攻击的研究，并指出了其中令人警醒的影响。物联网设备不仅持续遭到利用，还被转变为攻击平台，这意味着攻击者可以更充分地利用这个必然增长的市场。
借助F5全新Quick Start，在AWS上快速开展业务
在AWS re:Invent开幕前，我们很高兴与大家分享F5与AWS之间全新的Quick Start集成。F5的Tom Atkins将介绍该服务如何启动、配置和运行在AWS上部署工作负载所需的计算、网络、存储及其他AWS服务。