2024年的API安全趋势预测

责任编辑：cres

作者：Samantha Cowa

2023-12-04 16:44:54

来源：企业网D1Net

原创

Nylas的信息安全总监Samantha Cowan强调了2023年不断升级的API漏洞，并概述了2024年防范新出现的威胁的关键战略。

随着数字格局的不断发展，2023年下半年，API(应用程序编程接口)安全方面的关键发展浮出水面。对API的日益依赖使其成为网络安全努力的焦点，在此期间，漏洞显著增加，给该行业带来了新的挑战和教训。

在接下来的部分中，我们将更深入地研究这些趋势，探索标准框架在应对这些新出现的威胁方面的局限性、泄漏防护的紧迫性、针对不断上升的威胁的战略建议，以及2023年的案例研究，为企业提供有价值的见解。我们还将展望2024年的潜在威胁载体，为不断变化的API安全挑战做好准备。

1.API漏洞的渗透性

2023年第三季度的Wallarm API ThreatStats报告披露了239个新的API漏洞，表明API安全问题日益受到关注。值得注意的是，其中33%的漏洞与授权、身份验证和访问控制(AAA)有关，这突显了强大的AAA协议在保护API交互方面的重要性，这些漏洞如果被利用，可能会导致重大的安全漏洞。

该报告确定了最常见的威胁为注入、身份验证缺陷、跨站点问题以及与资源消耗、机密管理、加密漏洞和会话管理相关的其他漏洞，这种漏洞的存在需要持续保持警惕，并定期更新安全协议，它还强调需要对开发人员和安全团队进行持续培训，以跟上新出现的威胁和安全最佳做法的步伐。

2.标准框架的局限性

虽然OWASP API Security Top-10等传统框架是基础性的，但在解决API威胁的动态本质方面存在局限性。技术的进步和复杂网络威胁的出现要求对API安全采取更灵活、更实时的方法，以便在新威胁出现时快速识别和缓解它们。

3.防止漏洞

该报告强调了加强API泄漏保护的迫切需要，特别是考虑到Netflix和VMware等公司的重大漏洞，这些事件突显了API泄露对数据安全和隐私构成的严重风险。为了解决这一问题，企业必须采取主动的安全策略，例如实施先进的泄漏检测系统、实践安全编码以及进行定期审计以识别和修复漏洞。警觉、多层次的API安全方法对于保护敏感信息和维护客户信任至关重要。

4.不断上升的威胁和战略建议

Wallarm的报告将注射列为最紧迫的原料药威胁，强调了它们造成重大损害的可能性，它还强调，有必要扩大防御战略，使之超出现有OWASP准则的范围。由于API安全风险的快速演变性质，这一转变至关重要，鼓励企业采取更有活力、更全面的措施来应对传统漏洞，并预测和缓解新出现的威胁，这一方法要求不断重新评估安全做法，并采用先进的威胁检测工具。

案例分析1.Netflix的Dispatch

概述：Netflix的Dispatch在错误消息中经历了JWT秘密曝光，任何使用Dispatch的平台都可能被攻击者攻破。

原因：漏洞被追溯到API漏洞，该漏洞允许未经授权访问敏感的JWT密钥。

影响：任何拥有自己的实例并依赖`调度插件 - 基本身份验证提供程序插件进行身份验证的调度用户都可能受到影响，从而允许在其实例中接管任何帐户，这导致调度用户之间失去了信任。

吸取的经验教训：

·定期审核API中的漏洞至关重要

·加强身份验证和授权流程有助于防止未经授权的访问

·制定快速反应计划可以减轻入侵的影响

2.VMware

概述：VMware是一家云计算和虚拟化公司，其VMware Tansu产品中存在信息泄露API漏洞。

原因：该漏洞与他们的一个广泛使用的API中的一个安全漏洞有关，该API没有针对注入提供足够的保护。

影响：有权访问平台系统审核日志的恶意用户可以访问API管理员凭据，并推送应用程序的新恶意版本，这一漏洞导致专有数据被盗，服务中断。