Google推出Advanced API Security 保護API免受安全威脅

Google今天宣布了Advanced API Security的預覽版，這是Google Cloud的一個新產(chǎn)品，旨在檢測與API有關的安全威脅。該公司表示，在Google API管理平臺Apigee的基礎上，客戶可以從今天開始申請訪問。API是"應用程序編程接口"的簡稱，是計算機之間或計算機程序之間的文件連接。

API這一概念從發(fā)明之后就一路上升，一項調(diào)查發(fā)現(xiàn)，超過61.6%的開發(fā)者在2021年比2020年更依賴API。但它們也越來越成為攻擊的目標。根據(jù)網(wǎng)絡安全廠商Imperva委托的一份2018年報告，三分之二的組織正在向公眾和合作伙伴暴露不安全的API。

Advanced API Security專門從事兩項工作：識別API錯誤配置和檢測機器人。該服務定期評估管理的API，并在檢測到配置問題時提供建議的行動，它還使用預先配置的規(guī)則提供一種方法來識別API流量中的惡意機器人。每條規(guī)則代表來自一個IP地址的不同類型的異常流量；如果一個API流量模式符合任何規(guī)則，Advanced API Security就會將其報告為機器人訪問。

"配置錯誤的API是造成API安全事件的主要原因之一。雖然識別和解決API錯誤配置是許多組織的首要任務，但配置管理過程很耗時，需要相當多的資源，"Google云產(chǎn)品負責人Vikas Ananda在公告前與TechCrunch分享的一篇博文中說。"高級API安全使API團隊更容易識別不符合安全標準的API代理……此外，Advanced API Security通過識別成功導致HTTP 200 OK成功狀態(tài)響應代碼的機器人，加快了識別數(shù)據(jù)泄露的過程。"

隨著Advanced API Security的推出，Google顯然在尋求加強Apigee旗下的安全產(chǎn)品，它在2016年以超過5億美元的價格收購了Apigee。但該公司也在應對API安全領域日益激烈的競爭。提供以API為重點的網(wǎng)絡安全產(chǎn)品的初創(chuàng)公司包括Salt Security、Noname Security和Neosec。許多成熟的供應商近年來也擴大了他們的產(chǎn)品，包括Barracuda、Akamai、42Crunch、Traceable、Ping Identity和Signal Sciences。

3月，Cloudflare推出了一個新的網(wǎng)關，旨在提高API安全性。而在5月，Imperva收購了API安全公司CloudVector。

雖然這些產(chǎn)品的性能比較起來還沒有定論，但API攻擊的威脅是真實存在并日益增長的。在過去幾個月里，Peloton、Parler甚至LinkedIn等公司都成為了API驅(qū)動的攻擊的受害者。他們并不是唯一的受害者。根據(jù)Cloudentity最近的一項研究，44%的公司經(jīng)歷了與隱私、數(shù)據(jù)泄漏和面向內(nèi)部和外部的API的對象財產(chǎn)暴露有關的"實質(zhì)性"API授權問題。