應(yīng)用程序編程接口（API）實際上是現(xiàn)代應(yīng)用程序的構(gòu)建塊，對于構(gòu)建和連接應(yīng)用程序及網(wǎng)站都是十分必要的存在。如今，應(yīng)用程序開發(fā)中的API使用已成為新的實踐標準，通過集成第三方服務(wù)的功能，開發(fā)人員不用再從無到有自己構(gòu)建所有功能，這樣一來可以加快新產(chǎn)品及服務(wù)的開發(fā)過程。

近年來，API的使用更是呈現(xiàn)爆炸式增長。根據(jù)Akamai的說法，API通信現(xiàn)在占所有互聯(lián)網(wǎng)流量的83％以上。

盡管API支撐著用戶早已習慣的互動式數(shù)字體驗，是公司數(shù)字化轉(zhuǎn)型的基礎(chǔ)，但由于API的防護薄弱，同時也為惡意黑客提供了訪問公司數(shù)據(jù)的多種途徑，成為攻擊的主要目標之一，特別是惡意機器人攻擊。

根據(jù)Perimeterx最新調(diào)查數(shù)據(jù)顯示，通過API端點進行登錄嘗試的流量中，高達75%都是惡意的。攻擊者正在系統(tǒng)地使用機器人進行惡意登錄嘗試。那么如何保護API免受機器人侵擾和攻擊呢？下文將為大家介紹API 機器人檢測和防護的有效方法。

 API機器人攻擊不斷增長 

API允許開發(fā)人員更輕松地訪問、重用和集成功能資產(chǎn)和數(shù)據(jù)，從而將敏捷性、速度和效率引入開發(fā)流程。這也導(dǎo)致了越來越多的組織過度依賴API，開始部署越來越多的API來幫助實現(xiàn)自身的數(shù)字化轉(zhuǎn)型計劃。

API流量不斷增長，但惡意API流量卻增長得更快。數(shù)據(jù)顯示，Salt Security客戶每月的API調(diào)用量增長了51％，而惡意流量則增長了211％。

API經(jīng)常面臨機器人網(wǎng)絡(luò)攻擊的風險，如拒絕服務(wù)（DoS）和分布式拒絕服務(wù)（DDoS）攻擊、內(nèi)容和敏感信息抓取、梳理攻擊以及賬戶接管等。

根據(jù)Salt Security于去年2月發(fā)布的報告顯示，2020年有91％的公司存在與API相關(guān)的安全問題。其中，最常見的是漏洞，涉及54%的受訪組織；緊隨其后的是身份驗證問題（46%受訪者）、僵尸程序（20%受訪者）以及拒絕服務(wù)（19%受訪者）。

此外，98% 的組織宣稱發(fā)生過針對其應(yīng)用程序/網(wǎng)站的攻擊，而82% 的組織報告說這些是機器人網(wǎng)絡(luò)攻擊。一些組織每月至少面臨一次 DoS/DDoS 攻擊或某種形式的注入或?qū)傩圆倏v事件。

但糟糕的現(xiàn)實是，超過四分之一的組織正在沒有任何安全策略的情況下運行基于關(guān)鍵API的關(guān)鍵應(yīng)用程序。例如，Peloton最初就是可供任何人在任何地方通過API訪問用戶數(shù)據(jù)，而無需任何身份驗證。

 API機器人攻擊日盛的推動因素 

40%的組織報告稱，由于API的存在，超過一半以上的應(yīng)用程序暴露在第三方服務(wù)或互聯(lián)網(wǎng)上；

基于機器人的API攻擊更容易編排，因為僵尸網(wǎng)絡(luò)隨時可供租用；

傳統(tǒng)的檢測和預(yù)防技術(shù)，如速率限制、基于簽名的檢測、阻塞協(xié)議等，被發(fā)現(xiàn)無法抵御高度復(fù)雜的API機器人攻擊；

惡意行為者正在系統(tǒng)地利用機器人，組織通常很難區(qū)分人類活動和機器人活動，以及區(qū)分好的和惡意的機器人，這嚴重限制了他們保護API免受機器人攻擊的能力；

API請求不經(jīng)過瀏覽器或原生應(yīng)用程序代理的傳統(tǒng)路徑；它們充當可以訪問資源和功能的直接管道。這使得API成為攻擊者有利可圖的目標；

通常，開發(fā)人員使用API的標準/通用規(guī)則集，而不考慮業(yè)務(wù)邏輯。這就為API敞開了業(yè)務(wù)邏輯漏洞的大門，這些漏洞經(jīng)常被機器人利用來造成嚴重破壞。

 如何保護API免受機器人攻擊影響？ 

收集情報，建立正常行為的基線

為了有效地保護API免受機器人攻擊影響，組織需要確定什么是可接受的正常行為，以及什么是異常行為。為此，組織的安全解決方案必須監(jiān)控API流量，并通過指紋、行為、模式和啟發(fā)式分析、工作流驗證、全局威脅源、網(wǎng)絡(luò)響應(yīng)時間等收集情報。這些見解必須與內(nèi)部和外部的信譽源相結(jié)合，以建立人類和機器人行為的基線，以及在機器人行為中，區(qū)分什么是好的和壞的行為。

這個過程必須是持續(xù)的，因為數(shù)字領(lǐng)域正在迅速發(fā)展；攻擊者正在不斷利用復(fù)雜的技術(shù)，以確保機器人能夠模仿人類行為。組織需要不斷地針對API安全性重新校準哪些是可接受的和惡意的行為。

持續(xù)監(jiān)控API請求

根據(jù)基線模型細粒度地監(jiān)控所有API請求。API中的機器人檢測過程需要智能（使用自學習AI、深度分析和自動化）且靈活，以確保實時機器人活動檢測的敏捷性、速度和準確性。此外，持續(xù)的監(jiān)控和記錄同樣至關(guān)重要。

部署即時的惡意機器人緩解技術(shù)

為了保護API免受機器人攻擊，組織不能停止實時檢測，必須能夠阻止惡意機器人訪問API和API經(jīng)常暴露的關(guān)鍵任務(wù)資產(chǎn)。為此，智能API機器人管理解決方案可以即時、智能地對抗最復(fù)雜和最隱秘的惡意機器人。

智能API機器人管理工具根據(jù)實時洞察和信號決定是否允許、阻止、標記或質(zhì)疑傳入的API請求。結(jié)合一個可靠的錯誤管理系統(tǒng)，這有助于最大限度地減少誤報和漏報。換句話說，它們有助于為惡意機器人和惡意行為者訪問API、非法流量和良性機器人增加摩擦力。

實施零信任架構(gòu)

采用零信任架構(gòu)，其中每個用戶都必須證明自己的身份，并根據(jù)其角色和執(zhí)行必要操作所需的范圍內(nèi)給予訪問權(quán)限。不受限制的、未經(jīng)檢查的權(quán)限和特權(quán)都不利于API安全，特別是針對諸如憑證填充和暴力攻擊等機器人網(wǎng)絡(luò)攻擊。此外，組織還可以實施基于角色的強大訪問控制、強密碼策略和多因素身份驗證。

自定義規(guī)則集

根據(jù)上下文智能定制規(guī)則集，以防止機器人利用API中的業(yè)務(wù)邏輯缺陷和其他漏洞。此外，請務(wù)必在獲得認證的安全專家的幫助下，準確地定制安全策略。

更多信息可以來這里獲取==>>電子技術(shù)應(yīng)用-AET<<