guolimin1118
作者guolimin11182020-03-30 14:02
产品总监, 上海派拉软件有限公司

API安全趣谈

字数 1533阅读 1496评论 0赞 1

API 安全

A PI 网关是Infini API 平台系列核心产品之一,我们在上篇文章《A PI 网关最佳实践和服务治理》介绍A PI 网关设计特点、主要功能、重要场景等方面。本文主要从 API 网关的W AF 动态安全防护、安全认证、加解密、加验签、限流、A PI 鉴权的层面进行着重阐述。

随着I OT 设备、移动端应用、云端应用的快速发展,内外网的交互越来越多,那么安全问题也对I T 部门提出了更高的挑战,有以下几个方面:

1 . 如何应对外部的网络攻击

2 . 不可控的外部调用下如何保障内部服务的正常运行

3 . 敏感信息如何进行安全的传输和不被篡改

4 . 如何保障A PI 和H 5 外放页面不被非法调用

根据实践经验以及客户的要求 API 安全主要分为安全防护、安全认证、进入控制、A PI 鉴权、合规性审查几个方面,包含了从D MZ 区到A PP 区的整个过程的安全防护以及防止敏感信息泄露。

我们要回答第一个问题,如何应对外部的网络攻击?在上篇文章我们已经做了部分阐述,W AF 主要是Web应用防火墙是通过执行一系列针对HTTP和HTTPS的安全策略来专门为Web应用提供保护的一款安全模块,W AF 是安全防护是第一道防护大门,他主要是对流量进行过滤和清晰,防止流量深入到后端服务,造成不可控的事件发生。

安全防护主要分为事前监控、事中防护、事后审计。

事前监控主要是分为:可用性监控、安全态势监控、漏洞风险监控、内容问题监控

敏感信息监控。

事中防护主要分为:注入攻击防护、跨站攻击防护、盗链攻击防护、扫描攻击防护

篡改攻击防护

事后审计主要分为:安全事件审计、访问行为审计、系统状态审计、漏洞解决方案、攻击报文摘要、篡改内容恢复

随着等保2 .0 的发布,安全防护是等保很重要的一块内容,A PI 网关上的W AF 产品可以满足这个需求,还可以灵活定制,但是大部分W AF 产品误报很严重,需求上需要实现A PI 细粒度的防护。并可以进行定制化进行告警。

我们来回答第二个问题,不可控的外部调用下如何保障内部服务的正常运行?我们一般实现的策略是通过限流、熔断、降权,限流的策略有很多种,我们需根据用户维度、A PP 维度、I P 维度进行限流。

限流一般都是事前预测,比如我们的后端服务只能够保证1 000 T PS 的处理,那么配置的时候不能超过这个数字,当然到达8 00 T PS 的时候,我们要通过告警进行事前感知。

限流其实还流量调度平台进行结合使用,当发生流量过大的时候是否可以通过服务降权以及熔断来保护后端服务,方案如下图:

我们来回答第三个问题,敏感信息如何进行安全的传输和不被篡改?我们主要是通过传输层H TTPS 协议、加密解密、加签和验签等方式保证传输的数据安全。

一般的加密都是由公钥加密,私钥解密。因为公钥可以公开,可以给多个人,但是私钥一般由一个人保存。这种情况可能会导致信息被篡改,但是没有办法被他人窃取,因为私钥的保密性。

还有一种是使用私钥进行签名,然后使用公钥进行验签,私钥签名保证了签名的唯一性,公钥是公开的,用公钥进行验签,但是这种情况可能会导致内容泄漏。

我们来回答第四个问题,如何保障A PI 和H 5 外放页面不被非法调用?这一块主要和A PI 鉴权有关系,A PI 鉴权主要的关联方:开发者门户、A PP 、A PI, 有些企业也会有产品的维度,不过是一个虚拟维度 .API 鉴权还要配合Oauth 2 认证中心来保证资源不被非法调用。

安全的重要性不言而喻,而国内的传统行业对这块的需求会越来越多,很可能将银行的安全标准直接搬到传统行业来使用。相信越来越多的安全事件会引起客户的重视,当然对I T 行业也是一个非常大的机会。

如果觉得我的文章对您有用,请点赞。您的支持将鼓励我继续创作!

1

添加新评论0 条评论

Ctrl+Enter 发表

作者其他文章

相关文章

相关问题

相关资料

X社区推广