黑客在攻擊的過(guò)程中表現(xiàn)出了明顯的偏好，將商業(yè)服務(wù)視為“重點(diǎn)照顧對(duì)象”，對(duì)其發(fā)起的攻擊占到了近期攻擊的38%，這其中，零售業(yè)又是受攻擊最多的子領(lǐng)域。

加上許多企業(yè)在部署新技術(shù)的時(shí)候，無(wú)法在一開(kāi)始就構(gòu)建安全能力，這也加劇了遭受攻擊的可能。有研究表明，三分之一的零售商承認(rèn)在沒(méi)有嚴(yán)格安全保障的前提下，使用了新技術(shù)。

Akamai的安全布道師Martin McKeay在《API：與每個(gè)人息息相關(guān)的攻擊》中表示，針對(duì)API 攻擊的檢測(cè)力度不夠，檢測(cè)到之后對(duì)于重要性的認(rèn)識(shí)也不足，從而使得API攻擊成為了企業(yè)面臨的最大威脅之一。

金融機(jī)構(gòu)如何應(yīng)對(duì)API安全威脅

Akamai大中華區(qū)企業(yè)事業(yè)部高級(jí)售前技術(shù)經(jīng)理馬俊分享了應(yīng)對(duì)安全威脅的幾條建議。

比如，要能識(shí)別并追蹤API，并且測(cè)試其中可能存在的漏洞；將API安全作為一項(xiàng)長(zhǎng)期的流程，在應(yīng)用開(kāi)發(fā)和上線期間都要利用現(xiàn)有專業(yè)的API安全工具；在API策略方面，盡可能使用一套可以重復(fù)使用的“一攬子”策略。

馬俊介紹了Amakai的App & API Protector方案，它可以為數(shù)字支付場(chǎng)景提供的三層防護(hù)能力，能幫助金融機(jī)構(gòu)應(yīng)對(duì)API安全挑戰(zhàn)：

第一層，如果API受到多個(gè)分布式攻擊者的攻擊并且他們將小流量聚集成大流量來(lái)攻擊支付網(wǎng)關(guān)或支付服務(wù)，App & API Protector會(huì)攔截附近的攻擊并提供第一層保護(hù)。

第二層主要是WAF（應(yīng)用層防火墻）進(jìn)行防護(hù)，通過(guò)“自適應(yīng)檢測(cè)”發(fā)現(xiàn)更多攻擊，同時(shí)，通過(guò)“自我修正”對(duì)快速演變的威脅做出反應(yīng)，還能將誤報(bào)/漏報(bào)的數(shù)量減少到Akamai上一代WAF的五分之一，減少維護(hù)和調(diào)整策略所需的工作量。

第三層保護(hù)由內(nèi)置的爬蟲(chóng)監(jiān)測(cè)和防御措施組成。

App & API Protector是一種集成式的WAAP（Web application and API protection）解決方案，集成了網(wǎng)絡(luò)應(yīng)用防火墻、爬蟲(chóng)抑制、API安全和DDoS保護(hù)，功能強(qiáng)大，簡(jiǎn)單易用。

在功能方面，App & API Protector通過(guò)持續(xù)查找已知、未知和不斷變化的API，降低與API相關(guān)的風(fēng)險(xiǎn)和漏洞。而且，與傳統(tǒng)規(guī)則集相比，App & API Protector檢測(cè)到的攻擊數(shù)可提高到多達(dá)2倍，同時(shí)，還能將誤報(bào)數(shù)減少到低至五分之一，以減輕維護(hù)的工作量。

在應(yīng)對(duì)爬蟲(chóng)方面，App & API Protector內(nèi)置的爬蟲(chóng)抵御功能能自動(dòng)檢測(cè)和抵御有害的爬蟲(chóng)。Akamai有一個(gè)包含超過(guò)1500個(gè)已知爬蟲(chóng)的龐大目錄，能主動(dòng)監(jiān)測(cè)分析和預(yù)防攻擊，對(duì)于更具對(duì)抗性的爬蟲(chóng)操作者，Akamai還準(zhǔn)備了“Bot Manager”。

在簡(jiǎn)單易用方面，通過(guò)使用機(jī)器學(xué)習(xí)和數(shù)據(jù)挖掘技術(shù)，Akamai的自適應(yīng)保護(hù)措施可以實(shí)現(xiàn)免干預(yù)的WAAP方法。實(shí)際部署使用時(shí)，用戶可以使用Akamai CLI、Terraform或CI/CD自動(dòng)化管道中的腳本，輕松集成WAAP功能。

馬俊表示，Akamai的AI能力還能夠?yàn)槊總€(gè)客戶持續(xù)優(yōu)化保護(hù)邏輯和系統(tǒng)，根據(jù)API流量、頁(yè)面流量和其他屬性來(lái)學(xué)習(xí)、改進(jìn)，以適應(yīng)客戶的流量行為和用戶特征，最大限度地減少用戶行為的“誤報(bào)和漏報(bào)”，優(yōu)化保護(hù)。

馬俊表示，除了外部風(fēng)險(xiǎn)外，支付領(lǐng)域還面臨著許多來(lái)自組織內(nèi)部的威脅。Akamai提供的企業(yè)安全解決方案簡(jiǎn)化了FSI中常見(jiàn)異構(gòu)系統(tǒng)的管理流程，為任何資源節(jié)點(diǎn)和終端設(shè)備提供安全和可見(jiàn)性，以便立即發(fā)現(xiàn)問(wèn)題。

Akamai的企業(yè)安全解決方案可以智能分析企業(yè)內(nèi)網(wǎng)的交互行為，利用微分段技術(shù)實(shí)現(xiàn)了企業(yè)應(yīng)用、資源節(jié)點(diǎn)、終端設(shè)備、應(yīng)用進(jìn)程等多維度靈活的安全微隔離，從而及時(shí)發(fā)現(xiàn)并阻斷在內(nèi)網(wǎng)中隱秘傳播的惡意軟件、木馬與勒索病毒程序，從威脅的源頭阻止威脅的傳播。

zhupb