近日，在為某國企單位進行網絡安全保障期間，盛邦安全RayAPI產品監測到智慧食堂管理系統信息查詢接口存在未鑒權風險，可導致大量敏感信息泄露，包括賬號信息、身份照片及系統運行日志等，隨后，安全研究人員對該風險進行了詳細的驗證。

5、進行主動驗證測試，發現通過該接口可以直接批量獲取敏感信息。

近年來，隨著企業信息化、數字化的轉型與升級，智慧園區建設當中也不斷引入各類新型系統來打通管理流程，例如智慧食堂管理系統，此類系統往往涉及大量員工個人信息，并與其他企業管理系統通過API接口互通，同時又容易被安全運維人員所忽視。對此，我們從系統建設與安全治理兩方面給出如下建議：

1、系統建設層面

（1）加強API接口權限控制，尤其針對涉敏類接口，除必要的認證手段之外，還應設定合理的訪問頻率限制，防止接口被惡意爬??；

（2）加強敏感數據管控措施，尤其針對個人隱私信息，一方面需建立必要的加密傳輸手段，另一方面需減少非必要的數據內容傳輸，防止數據過度暴露。

2、安全治理層面

（1）做好接口暴露風險檢測。以RayAPI為例，通過對接口類型、調用內容與訪問軌跡等條件的關聯檢測，識別敏感接口的誤暴露風險情況；

（2）做好接口異常行為檢測。以RayAPI為例，通過對接口訪問頻次、數據調用規模的趨勢分析，識別可能存在的接口攻擊行為，并配合安全基線要求設定訪問控制策略。