隐藏 API： 公共部门机构的盲点是否会受到攻击？
数字格局在不断发展，对公共部门和国家关键基础设施的威胁也随之变化。 最近有据可查的袭击事件，如美国 财政部违规行为 去年年底和 T-Mobile 网络运营商被黑客攻击 2023 年披露的信息，清楚地提醒人们普遍存在的漏洞。
而且，这些漏洞越来越多地出现在application编程接口或 API 中。 事实上，Gartner 最近预测 API 正在成为 Web应用的主要攻击媒介，我的经验也证实了这一趋势。
本周的AppWorld 公共部门研讨会将于明天在弗吉尼亚州泰森斯角开幕，届时我们将讨论 API 保护以及application交付和安全方面的其他新兴趋势。 此次活动是审视这些挑战和探索有效解决方案的重要机会。
揭露影子 API 威胁
我一次又一次看到的最大挑战之一是缺乏对网络漏洞的了解。 许多组织根本不知道他们使用了多少个 API。 我们为客户进行了 API 发现练习，他们以为自己拥有大约 100 个 API，但结果却发现接近 30,000 个！ 这并不罕见并且会带来重大的安全风险。
API 在复杂的生态系统中运行，隐藏在架构、组件、类型和协议的拼凑之中。 平均而言，组织使用超过 20,000 个 API 。 到 2030 年，公共和私营部门使用的 API 总数预计将超过 20 亿。 管理和保护这些内容的挑战最常见的原因是缺乏文件或发现困难。
这种“影子 IT”现象，即未知或不受管理的 API 激增，为漏洞提供了滋生地。 这些 API 通常缺乏适当的安全控制，因此很容易成为恶意行为者的目标。 想象一下，这就像你家里的门窗没有锁一样——这对那些想要闯入的人来说是一个公开的邀请。
了解 API 漏洞利用和攻击媒介
API 越来越成为民族国家行为者和网络犯罪组织的目标。 与政府和国防相关的 API 与面向公众的 API 一样容易受到攻击。 可以说，由于他们处理的敏感数据，他们成为目标就更具吸引力。
API 可用作对网络进行更深层次攻击的入口点。 受损的 API 可以提供对内部系统、数据库和其他关键资源的访问。 这就像找到一条进入组织中心的秘密通道。 正如我们在美国网络运营商 T-Mobile 的案例中看到的那样，威胁行为者可以利用 API 漏洞来未授权访问暗网上有价值的机密数据。 在本案中，攻击者窃取了3700万现有客户账户的个人信息。
事情变得更加复杂的是，组织可能无法完全控制与其系统接触的所有 API。
美国 财政部攻击者通过第三方软件组件的漏洞获取了访问权限——讽刺的是，该软件是财政部网络防御的一部分。 这些供应链攻击可能会影响任何规模和地位的组织，其中就有许多例子，例如 Solar Winds 攻击和 Volt Typhoon 组织成为头条新闻。
强大的 API 安全措施需要不遗余力。 我们的2024 年application战略状况报告： API 安全揭示了哪些 API 面临的风险最大，哪些 API 常常被忽视，以及 API 安全模型和职责需要如何适应才能在人工智能时代保证 API 的安全。 剧透警告：零信任安全也存在盲点，除非它也包含 API。
人工智能可以成为您的 API 安全盟友吗？ 利用人工智能防御
人工智能既加剧了 API 安全性，也协助了 API 安全性。 Gartner 估计，到 2026 年，由于大型语言模型需要收集和交换数据所需的 API 数量，AI 的采用将推动API 需求增长 30%以上。 每个 API 都需要文档和安全性，这为恶意行为创造了大量机会。
幸运的是，组织并非毫无防御能力，人工智能正在成为一种强大的防御工具。 人工智能和机器学习可以实时分析 API 流量，检测人类无法手动识别的异常和可疑行为。
AI 可以对 API 进行分类，了解正常行为模式，并标记潜在的滥用或安全漏洞。 它还可用于动态生成安全策略，适应不断演变的威胁并确保您的 API 始终受到保护。 这就像有一位不知疲倦、智能的保安不断监控您的 API 流量。
实现跨环境的一致保护
当今的公共部门组织利用混合和多云环境（包括 AWS、Azure、Google Cloud 等）来实现可扩展性和弹性，但这也增加了 API 安全问题。 云提供商之间存在固有的差异，以及他们各自的安全工具和配置，从而造成了分散的安全态势。 仅仅依赖原生云安全会留下漏洞，而攻击者会趁机加以利用。 这就像试图用不同的、不协调的军队来保卫一座城堡。
跨多个云管理 API 的复杂性很容易使无法全面了解所有 API 及其安全状态的安全团队不堪重负。 应对这一挑战需要采取统一的方法，从跨所有云的单一、一致的安全策略开始，涵盖身份验证、授权等。 标准化的安全控制也至关重要，确保各个地方的安全保护达到基准水平。
集成到 API 开发生命周期中的自动化安全测试也能及早发现漏洞。 实时监控和威胁检测提供了可见性并能够对事件做出快速响应，而强大的身份和访问权限管理(IAM) 系统控制 API 访问，清晰的 API 治理策略确保一致的安全实践。
在多云世界中保护 API 需要主动、集中和标准化的方法。 通过实施这些原则，现代公共部门和关键基础设施组织可以降低风险并确保其 API 的持续安全。 最终目的是建立一个强大且适应性强的防御体系，以抵御不断演变的威胁。
想要了解更多？ 请收听最近的Federal Tech Podcast，其中有我与 John Gilroy 的对话。 另外，请访问F5 公共部门解决方案网页。