部署API安全，你准备好了吗？

现代系统依赖于通过各种网络公开的API（应用程序接口）的复杂系统。什么是API安全，它如何融入到整体的安全计划？

所有应用程序都使用API​​（比如，对内核的调用、软件开发工具包、密码库和SOAP协议）。如今，供应商提到的“ API安全”是指这些API的子集 —— 通过网络公开的那些API。

就本质而言，这些网络公开的API使信息能够自由传递以及在软件组件之间进行交互。攻击者有机会可以通过公共网络、云和专用网络的暴露端点来破坏系统的组件。一些知名公司（包括USPS、T-Mobile和Salesforce等）的重大违规事件是源于暴露或使用不安全的API端点。那么问题来了，要如何了解软件安全计划是否满足企业所需的安全控制的要求，以确保使用和创建的API是安全的？首先，你需要定义什么是“API安全”。

究竟什么是“API 安全”？

API安全是对企业创建和使用的（暴露在网络中）API的保护。当然，这意味着需要使用与API紧密相关的通用安全控制：速率限制以及用户、服务和请求的身份验证和授权。这还意味着了解数据来源，以及在查看组成的系统时，在设计或查看讨论时准确地寻找到上下文的位置。对于软件安全领头企业来说，这意味着应用程序安全计划可以在适当的时间捕获活动并将其应用于暴露或使用API​​的软件。强大的API安全性不只是购买一些新工具，还源于一种安全文化，它涉及整个软件安全计划中的活动。

物料清单

应用安全企业需要了解他们的API足迹；衡量使用流程和工具来覆盖该足迹的工作；跟踪、记录正在进行的安全活动并确定优先级；并为各种类型的安全分析提供了丰富的上下文。当与程序所有者讨论API安全时，我们经常会发现现有的清单解决方案无法提供这些内容。安全计划负责人应该仔细研究是否可以采用现有的物料清单解决方案，或者是否必须采用新的解决方案。

安全测试

如今的安全测试与以往一样，对于深入了解上游软件安全实践的有效性都很重要。API安全测试对手动、自动或者混合测试都提出了新挑战。其中上下文关联是一种。如果测试人员没有输入或感知威胁模型的能力，则无法找到对SSI不利的高风险问题，得不到及时修复。

静态分析工具可以有效地识别特定于语言的软件安全问题，或可以很好理解的注入攻击，对于那些使用大量API的代码库仍然有效，但是前提是这些工具必须对用于公开这些API路由的库和平台进行建模。有的企业已经采用静态分析推动安全控制（例如，使用身份验证和授权库），并可用于API安全。

动态分析可以生成API覆盖范围，其典型方法包括对客户端（或工具）、行为以及使用规范进行测试。该解决方案不是构建一个工具，并强迫开发团队使用一种测试工具，而是去支持各种可能的测试。

现代应用程序和系统依赖于通过各种公共和专用网络公开的API的复杂系统。我们可以采取一些步骤来了解这些更改如何影响我们的软件安全计划的各个要素，并确保在正确的时间和地方，将安全性内置到暴露在或使用API​​的软件中。