官方公众号企业安全新浪微博
FreeBuf.COM网络安全行业门户，每日发布专业的安全资讯、技术剖析。
FreeBuf+小程序
API数据安全计划发布2篇文章，一篇知识一篇实践，敬请期待~
一、近年来安全态势
近年来，国内外已发生多起由于API 漏洞被恶意攻击或安全管理疏漏导致的数据安全事件，对相关企业和用户权益造成严重损害，逐渐引起各方关注。
分类 | 年份 | 公司 | 详情 |
|---|---|---|---|
国外 | 2018/2019 | 国外安全人员发现超过2.67 亿条Facebook ID、电话号码和姓名等信息被储存在某公开数据库中。有研究显示，该数据库中的数据可能通过某未知API 接口抓取，并非来自用户公开的信息。 | |
2019 | Twitter 公司发现大量虚假账户非法调用提供电话号码搜索用户功能的API 接口。不法分子可利用这一接口获取用户信息，进而开展钓鱼攻击、电话诈骗等违法活动。Twitter于事件曝光后紧急修改该接口功能使相关查询无法返回具体的账户名称. | ||
国内 | 2020 | 新浪微博 | 媒体报道新浪微博因用户查询接口被恶意调用导致App 数据泄露。新浪微博方面称此次数据泄露可追溯至2018年末，有用户非法调用App 用户查询接口，通过批量上传手机通讯录匹配用户账号昵称，并结合其他渠道获取的信息进行出售。事件曝光后，新浪微博表示将采取升级接口安全策略等措施，做好用户个人信息保护工作。 |
2020 | 微信 | 腾讯微信团队在“微信开放社区”发布《关于收回小程序"用户实名信息授权"接口的相关说明》，称为进一步提升用户使用的安全体验，将于2020 年5 月31 日收回小程序“用户实名信息授权”接口，并停止了该接口的申请和接入。微信方要求无相关业务场景或需求的小程序停止使用该接口，并向仍有用户实名认证需求的小程序提供“实名信息校验接口”作为替代方案。 |
二、安全风险分析
网络爬虫通过API 爬取大量数据：不法分子通常采用假UA 头和假IP 隐藏身份，一但获取企业内部账户，可能利用网络爬虫获取该账号权限内的所有数据。如果存在水平越权和垂直越权等漏洞，在缺少有效的权限管理机制情况，不法分子可以通过掌握的参数特征构造请求参数进行遍历，导致数据被全量泄露。
API敏感数据未脱敏：如果未在后端对个人敏感信息等数据进行脱敏处理，且未加密传输，一旦流量被截获、破解，将对企业、公民个人权益造成严重影响。
三、安全建议
阶段 | 建议 | 具体描述 |
|---|---|---|
事前 | 统一API 设计开发规范 | 健全API 设计、开发、测试等环节标准规范和管理制度，引导API 开发运维流程标准化，提高对API 安全的重视程度 |
API 上线、变更、下线环节实时监控 | 对API 部署情况进行全面排查，梳理统计API 类型、活跃接口数量、失活接口数量等资产现状
| |
完善API 身份认证和授权管理机制 |
| |
健全API 安全防护体系 | 部署API 网关统一接口管理等 | |
加强API 安全保护宣传力度，提高员工安全意识 | 提高员工特别是API 开发运维人员的安全意识，进一步提高内部RD整体数据安全认识 | |
事中 | API 身份认证实时监控能力 | 重点监控高频登录尝试、空Referer、非浏览器UA 头登录等具有典型机器行为特征的操作，对异常登录、调用行为进行分析，发现恶意行为及时告警。 |
异常行为实时监测预警能力 | 重点监控短时间内大量获取敏感数据、访问频次异常、非工作时间获取敏感数据等异常调用、异常访问行为进行实时分析 | |
加强数据分类分级管控能力 | 针对API 涉及的敏感数据按照统一策略进行后端脱敏处理，并结合数据加密、传输通道加密等方式保护API 数据传输安全。重点关注接口单次返回数据量过多、返回数据类型过多等情况。 | |
API 数据流向监控能力 | 通过分析访问和被访问IP 的局域、地域或法域，实现对数据流向的实时监控，防范数据接收方非法出售或滥用个人信息风险，发现相关违法违规事件及时阻断API 接入应对境外IP 访问内网API 或者内部IP 访问境外API 的情况重点关注、及时预警。 | |
事后 | 健全应急响应机制 | 制定API 安全事件应急响应预案并纳入企业现有应急管理体系，应急流程包括但不限于监测预警及报告、数据泄露事件处置、危机处理及信息披露等环节。 |
健全日志审计机制 | 对接口访问、数据调用等操作进行完整日志记录，并持续开展安全审计。 | |
健全数据泄露溯源追责机制 | 制定API 相关安全事件溯源方案，发生安全事件后及时追踪数据泄露途径、类型、规模、原因，分析根本原因 |