网络威胁攻击者”盯上了“API
内容提要
Imperva的《2024年API安全状态报告》强调了API安全的重要性，因为API调用在互联网流量中扮演着重要角色。与API相关的安全事件每年给全球企业造成750亿美元的损失，其中银行和在线零售行业的API调用量最高。账户接管（ATO）等攻击利用了API认证漏洞。影子API、已弃用的API和未认证的API构成了重大风险。建议定期审计、更新和升级API，并建立强大的监控系统以减轻这些风险。
延伸解读
API安全风险的经济影响
报告指出，与API相关的安全事件每年给全球企业造成750亿美元的损失。这一数字凸显了API安全问题的严重性，尤其是对于银行和在线零售等API调用量高的行业。企业需要认识到，API安全不仅关乎技术，更直接影响到经济效益和客户信任。
账户接管攻击的威胁
2023年，近一半（45.8%）的账户接管（ATO）攻击以API端点为目标。攻击者利用API身份验证流程中的漏洞，通过恶意机器人自动化实施攻击。一旦成功，可能导致敏感数据泄露和财务损失。因此，企业应加强API身份验证机制，防范此类攻击。
管理不善的API类型及风险
报告指出了三种常见的管理不善API：影子API、废弃API和未认证API。影子API占活动API的4.7%，因缺乏监督可能引发合规问题和数据泄露；废弃API占2.6%，因缺乏更新而脆弱；未认证API占3.4%，可能暴露敏感数据。企业需识别并管理这些API以降低风险。
降低API安全风险的建议
Imperva建议企业定期审计API，发现、分类和清查所有API端点，并建立强大的监控系统。同时，采用整合WAF、API保护、DDoS防范和僵尸程序保护的API安全方法。这些措施有助于企业主动检测可疑行为，减少API安全漏洞。
Q&A
API安全事件每年给企业造成多少损失？
每年API安全事件给全球企业造成750亿美元的损失。
哪些行业的API调用量最高？
银行和在线零售行业的API调用量最高。
什么是账户接管（ATO）攻击？
账户接管（ATO）攻击是指攻击者利用API身份验证漏洞，未经授权访问用户账户。
影子API、废弃API和未认证API分别是什么？
影子API是不受监督的API，废弃API是未更新的旧API，未认证API是由于配置错误引入的API。
如何降低API的安全风险？
建议定期审计API，更新和升级API，并建立强大的监控系统。
API在互联网流量中占据什么比例？
2023年，71%的互联网流量由API调用构成。
