2021年12月3日，首届API安全管理论坛在深圳举办。在此次论坛上，永安在线介绍了API安全管理的挑战和治理理念，并发布了以永安在线核心技术优势——行业领先的【情报】打造的产品：API安全管控平台。

数字化进程不断加快，API在应用环境中变得越来越普遍。有调查显示，API请求已占所有应用请求的83%。而API作为连接服务和传输数据的重要通道，它的广泛应用及针对性安全策略的缺失也为企业带来越发严重的数据安全问题，甚至已成为数据泄露的最大敞口。

随着企业在整个研发过程中越来越强调敏捷开发和（CI/CD）集成部署，导致整个业务研发节奏加快，很多企业对API的管控处于失控状态，出现了接口未知、攻击未知、阻断未知的管理挑战。

永安在线API安全管控平台

对此，永安在线推出了新一代API安全管控平台，通过旁路镜像的方式提供API资产梳理、敏感数据管理、API风险感知、API安全缺陷评估等多方面能力。

帮助企业构建可预防、可解释、可溯源的API安全管理体系，让企业能够有效实现对API资产的全面盘点、防止敏感数据暴露、预防发现阻断API遭受攻击、提升风险事件的响应速度以及数据合规自查。

以精准情报建立API安全基线，提高攻防对抗主动权

永安在线API安全管控平台通过情报为业务建立API安全基线。误判率低，可用性高，可及时全面感知企业外部API风险。同时，基于精准预警输出的攻击者IOC情报，可以联动WAF或风控系统等快速处置攻击风险，帮助企业实现更好的进行API风险识别及阻断。

永安在线是国内首家基于精准情报建立API安全基线的API安全服务商。对比许多安全厂商基于规则或AI算法进行API风险识别的技术路径，它的优势在于通过精准情报能力可以准确描绘出业务风险全景图，站在外部的视角从海量业务流量中过滤出可疑流量，避免了市面上利用规则和频次的方式所无法识别的隐藏在合法业务请求中的风险，风险感知的准确率达95%；另一方面情报还能对识别出的风险能给出具体的攻击团伙以及攻击者的攻击方法，这样不仅保障了识别风险的准确度，也让风控变得具备可解释性，也为下一步的打击追责提供有利支撑。

一个实际案例

下图为某企业一周的正常流量和风险流量请求分布。可以看出每天的总访问量走势大致相同，虽在不同时间点内会有波动变化，但每天的总体变化趋势相似，时间区间内的流量稳定，在传统的流量统计模型中基本不可能感知到里面已经蕴藏着黑产攻击。

在引入高风险IP这一情报属性并建立高风险IP流量占比指标后。依托于对高风险IP流量占比的异动幅度检测，就能明显的看出在几个时刻在总访问量下降到波谷时，高风险IP占到总流量的比重却达到高点，说明此时点大部分流量是高风险IP在流入。由此就可以清晰的判断出该企业已经存在被黑产攻击的风险，这在传统的基于经验规则的风险审计中很难发现，因为从行为特征看根本无异常，这就体现了情报对新攻击模式下对风险识别的天然优势。

帮助企业全面梳理API资产，快速定位攻击点和薄弱点

基于永安在线独有的API提取引擎，API安全管控平台能够自动化实时发现企业内部、外部和第三方API，包括未知（影子）API和失活（僵尸）API。

1、完整的实时更新的API清单；

2、未知API和失活API的识别；

3、可视化的API详情展示。

敏感数据的流动管理，实现数据合规自查

产品依据《金融数据安全数据安全分级指南》将敏感数据类型分为C1至C4安全等级，支持40多种敏感数据的查询，能够看到企业自身敏感数据的流动情况。

1、有哪些敏感数据，敏感数据存在于哪些API之中；

2、实时的流动情况（出站及入站）如何；

3、是否有涉敏的API存在安全缺陷以及实时风险情况。

支持20多种API安全缺陷自动化检测

产品能自动化识别API是否存在标准中的安全缺陷问题，以及提供查看和管理安全缺陷的功能。目前已覆盖20多种API安全风险缺陷检测，并且识别能力每周更新。

此外，产品能够在1天内部署完毕，企业无需进行配置、不需要业务做任何结构的改动，即可轻松完成API资产管理及风险识别和溯源等，成本低、运维易。

随着今年《数据安全法》《个人信息保护法》等的相继颁布，各界对于数据安全的关注进入了新的高点。API一直以来都扮演着连接用户前台与后台服务的关键桥梁作用，切实保障这些桥梁足够安全、足够可靠，毋庸置疑是确保数据安全的重中之重，企业应当提起更高的重视，构建起一套切实有效的API安全管控体系，护卫数据安全、保障业务健康发展。

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课