數(shù)字化轉(zhuǎn)型已深入各行各業(yè),伴隨著數(shù)據(jù)流動(dòng)、使用場景大幅增加,API作為連接數(shù)據(jù)和應(yīng)用的重要通道,在各類數(shù)字業(yè)務(wù)中廣泛應(yīng)用,API接口數(shù)量與日俱增,但由此而衍生的安全風(fēng)險(xiǎn)也更為嚴(yán)峻,近年來,針對(duì)API攻擊已成為主要的非法數(shù)據(jù)獲取手段,是影響數(shù)據(jù)安全和個(gè)人信息保護(hù)的重要風(fēng)險(xiǎn)來源,加強(qiáng)API安全管理,亟需各單位組織重點(diǎn)關(guān)注。
API數(shù)據(jù)安全問題越來越嚴(yán)峻
SaltSecurity《State of API Security Report, Q32021》報(bào)告顯示,2021年上半年,整體API流量增長了141%,API攻擊流量則增長了348%,針對(duì)API的攻擊流量正在以普通API流量的3倍速度增長。
據(jù)Gartner研報(bào)預(yù)測,到2022年API濫用將是最常見的攻擊方式;到2024年,API安全隱患導(dǎo)致的相關(guān)數(shù)據(jù)泄露將近乎翻倍。
政企單位落地建設(shè)API安全卻依然存在不少挑戰(zhàn):
現(xiàn)有API資產(chǎn)不清,版本迭代過程中的歷史API缺乏跟蹤,如何進(jìn)行API資產(chǎn)統(tǒng)一管理?
API資產(chǎn)面臨各種風(fēng)險(xiǎn),如何有效識(shí)別和防護(hù)?
如何識(shí)別API訪問中的敏感數(shù)據(jù)并進(jìn)行過濾和攔截?
如何有效管理API的訪問行為,識(shí)別異常的訪問行為?
數(shù)據(jù)泄露后,如何自證清白?如何追溯數(shù)據(jù)從哪個(gè)系統(tǒng)被誰泄露的?
美創(chuàng)API安全監(jiān)測與訪問控制系統(tǒng)
美創(chuàng)API安全監(jiān)測與訪問控制系統(tǒng)是為解決應(yīng)用API接口訪問場景下的安全問題推出的一款Web應(yīng)用側(cè)數(shù)據(jù)安全產(chǎn)品。系統(tǒng)基于API資產(chǎn)治理、身份治理、流量管控、訪問鑒權(quán)、機(jī)器學(xué)習(xí)等多種核心技術(shù),幫助用戶梳理龐雜的應(yīng)用及接口,繪制接口畫像和接口訪問軌跡,監(jiān)測敏感數(shù)據(jù)流動(dòng)風(fēng)險(xiǎn),識(shí)別接口調(diào)用的異常用戶行為,為應(yīng)用系統(tǒng)的業(yè)務(wù)數(shù)據(jù)合規(guī)正常使用和流轉(zhuǎn)提供數(shù)據(jù)安全保障。

API安全監(jiān)測與訪問控制系統(tǒng)核心能力:
通過對(duì)流量進(jìn)行智能分析,配合機(jī)器學(xué)習(xí)引擎識(shí)別并過濾靜態(tài)資源以及html響應(yīng)中的資源,自動(dòng)發(fā)現(xiàn)流量中的API接口,實(shí)現(xiàn)API接口自動(dòng)識(shí)別和分組管理。
基于全量分析技術(shù)精準(zhǔn)構(gòu)建API資產(chǎn)畫像,快速統(tǒng)計(jì)各個(gè)業(yè)務(wù)的API情況,包括資產(chǎn)的請(qǐng)求數(shù)、訪問日歷、Web站點(diǎn)統(tǒng)計(jì)、API列表統(tǒng)計(jì)、發(fā)現(xiàn)時(shí)間、活躍時(shí)間等。
基于http/https網(wǎng)絡(luò)、數(shù)據(jù)庫通訊協(xié)議解析和流量分析,從人、應(yīng)用、賬號(hào)、終端四個(gè)維度自動(dòng)發(fā)現(xiàn)網(wǎng)絡(luò)中的身份,并對(duì)發(fā)現(xiàn)的身份信息進(jìn)行管理。
系統(tǒng)利用各種檢測與分析引擎,從資產(chǎn)脆弱性、資產(chǎn)暴露面、賬戶共用、異常訪問等維度,檢測API接口資產(chǎn)風(fēng)險(xiǎn),并對(duì)風(fēng)險(xiǎn)進(jìn)行實(shí)時(shí)告警處置。
基于資產(chǎn)、身份、行為權(quán)限矩陣,采用主動(dòng)防御機(jī)制,實(shí)現(xiàn)應(yīng)用數(shù)據(jù)的訪問行為控制、危險(xiǎn)操作阻斷、可疑行為審計(jì)。根據(jù)預(yù)定義的禁止和許可策略讓合法的操作行為通行,而對(duì)非法違規(guī)操作進(jìn)行攔截阻斷,實(shí)現(xiàn)應(yīng)用/API請(qǐng)求的危險(xiǎn)操作行為的主動(dòng)預(yù)防、實(shí)時(shí)審計(jì)。
產(chǎn)品能為各行業(yè)提供的安全價(jià)值
智能自動(dòng)化實(shí)時(shí)發(fā)現(xiàn)、識(shí)別網(wǎng)絡(luò)中的資產(chǎn)信息,內(nèi)嵌敏感數(shù)據(jù)識(shí)別智能算法,快速識(shí)別接口和應(yīng)用中流轉(zhuǎn)的敏感數(shù)據(jù),方便企業(yè)及時(shí)進(jìn)行合規(guī)檢查和整改。
通過對(duì)數(shù)據(jù)流量的監(jiān)控及分析記錄,并以敏感數(shù)據(jù)與正常數(shù)據(jù)為維度,對(duì)數(shù)據(jù)的流轉(zhuǎn)趨勢進(jìn)行分析并記錄,以數(shù)據(jù)流的展現(xiàn)形式,將整個(gè)數(shù)據(jù)流轉(zhuǎn)的情況記錄在系統(tǒng)中,通過大屏進(jìn)行數(shù)據(jù)流動(dòng)態(tài)勢展示,從而實(shí)現(xiàn)一眼能夠掌控?cái)?shù)據(jù)全部流動(dòng)情況。
數(shù)據(jù)流動(dòng)風(fēng)險(xiǎn)全可控
配合風(fēng)險(xiǎn)預(yù)測結(jié)果,提供審計(jì)、脫敏、訪問控制等管控手段,做到風(fēng)險(xiǎn)檢測、風(fēng)險(xiǎn)告警、風(fēng)險(xiǎn)響應(yīng)的全流程安全管理機(jī)制,達(dá)成數(shù)據(jù)安全智能管控的“可視化”、“可量化”、“可感知”、“可管控”、“可追溯”。
支持應(yīng)用程序對(duì)敏感數(shù)據(jù)調(diào)用及輸出以及業(yè)務(wù)操作行為的記錄,滿足法規(guī)和監(jiān)管機(jī)構(gòu)對(duì)日志記錄要求。