在上一期中，我們深入探討了API鑒權問題可能帶來的安全風險。特別值得注意的是，接口未鑒權或弱鑒權所引發的數據泄露問題，已成為近年來頻繁出現且直接威脅用戶業務安全的重要風險點?；ヂ摼W、金融、醫療、教育等多個行業均面臨著不同程度的接口數據泄露風險。

為了應對這一挑戰，本期我們將聚焦在API接口數據安全的識別與防范上。通過深入剖析這一問題的本質，提出有效的識別和防范策略，以助您更好地保護業務數據和用戶隱私。

為什么說API接口已經成為數據泄露的主要途徑之一？

API多用于提供數據服務，權限難以控制，對外暴露不可避免。不論是前后端系統交互、第三方業務協同等場景，API接口通常都是用來調用數據的直接途徑，因此也是對外暴露的主要通道，盡管有加密、混淆包括權限控制等一系列保障手段，但仍然難以保證客戶端的絕對可信，一旦API接口給出，業務方很難確定調用是否安全可靠；

API涉及的敏感數據類型多，有賬號類數據，也有個人隱私等。API接口可以用于登錄認證、信息核驗和數據調取等多種場景，也廣泛應用在政務、金融、醫療等各種行業領域，因此涉及多種類型的敏感信息，既有賬號密碼等數據，也涉及身份信息、聯系方式以及企業敏感數據等各類信息，如果違規使用或接口權限設置不嚴格，則很容易造成數據過度暴露等風險，從而被惡意爬取下載，造成泄露風險。

針對API接口數據泄露，WAF能做什么？

大部分對外提供服務的API接口均依托于HTTP協議通信，因此也面臨Web類攻擊的威脅，但無法單純依賴WAF對其進行安全防護：

WAF善于防范基于規則的典型攻擊。對外交互的API接口多采用HTTP協議通道，如Restful格式等，因此API的會話活動也會經過WAF的檢測分析。WAF的工作原理是基于規則或算法來對攻擊特征進行識別，因此能夠對SQL注入、跨站腳本攻擊、非法掃描攻擊等典型攻擊類型進行檢測防護；

WAF難以識別邏輯漏洞利用攻擊。WAF可以防范明確的攻擊行為，但無法理解API的邏輯設計，也難以對API的調用活動做長期跟蹤，因此對于無顯性攻擊特征的邏輯漏洞攻擊行為，如接口越權訪問、數據違規調用、低頻數據爬取等威脅類型缺乏有效的識別與控制手段。

用了DLP方案，還會發生API接口數據泄露嗎？

防君子難防小人。DLP是最常見的數據防泄露手段，能夠依賴規則和策略來識別敏感數據并對其進行訪問控制，可以針對各種數據通道來制定保護策略，但隨著API接口的開放，尤其是數據服務類接口的廣泛應用，敏感數據的傳輸活動越來越多但權限卻難以鑒別，而權限的根本控制點在于人，因此說DLP無法解決人為的錯誤設定；

安全投入難平衡。企業級的DLP解決方案覆蓋系統、終端、網絡及應用等各個節點，需要全面部署和持續維護，尤其是一些新型的DLP技術可能要從數據產生之初即參與控制，投入成本高、建設周期長，難以適用于所有的用戶單位。

API接口問題導致的數據泄露風險都有哪些常見情況？

信息查詢接口未作權限控制，可以直接訪問獲取數據

接口名稱：批量獲取用戶列表

接口URL：/api/v1/users/bulk

問題描述：該接口用于一次性獲取大量用戶的信息，以提高效率。然而，該接口沒有實施適當的權限驗證和請求限制，任何知道接口URL的外部實體都可以發送請求并獲取大量的用戶數據，一方面可能導致數據泄露，另一方面還可能造成系統過載，由于缺乏權限控制，攻擊者可以發送大量的請求，導致系統過載、響應延遲甚至崩潰。

信息校驗接口未作細分限制，過度暴露個人隱私信息

接口名稱：用戶信息查詢接口

接口URL：/api/v1/users/info

問題描述：該接口用于返回用戶的基本信息，如姓名、性別、年齡等，由于接口沒有對返回數據做足夠的限制，因此可能會過度暴露用戶的個人隱私類信息，比如身份證號碼、詳細地址、銀行卡信息等，一旦被未授權的第三方獲取，則可能導致嚴重的隱私泄露。

訪客身份ID可被任意修改，接口被遍歷返回賬號信息

接口名稱：獲取用戶詳細信息

接口URL：/api/v1/users/{userId}/details

問題描述：該接口用于提供指定用戶的詳細信息，包括用戶名、郵箱地址、手機號碼、家庭地址等敏感信息。然而，該接口沒有實施任何身份驗證和授權機制，通過修改userID即可遍歷訪問該接口，并獲取到大量其他用戶的敏感數據。

針對API接口的數據安全保護應該怎么做？

從接口安全設計的角度而言，有以下措施可以參考：

定期檢查身份驗證和授權，確保只有經過合法權限的用戶才能訪問敏感數據接口；

限制可信的訪問范圍，即白名單機制，可以通過限定IP范圍來進行訪問限制；

數據脫敏和加密，即在數據傳輸和存儲過程中通過加密等技術來保護數據的安全性；

數據最小化處理，即僅返回必要的數據字段，避免返回非必要的詳細信息；

設定請求頻率限制，通過設定合理的請求頻率或數據量的限制，防止攻擊者發送大量請求來爬取數據甚至造成系統過載；

訪問審計及監控，通過對接口訪問情況進行詳細的安全審計，檢測數據泄露的風險行為。

盡管在接口開發設計當中可以增加足夠的安全性設計，但接口的主要目的是靈活的提供服務，且會隨著業務的調整、規模的變化等情況而改變使用模式，很難在業務層面直接設定過于嚴格的安全限制，因此從安全保護的角度而言，還需要依賴專用的API風險監測與防護能力，一方面針對接口權限進行行為監測和安全加固，另一方面針對返回數據做識別審計和訪問限制，從而能夠協同業務系統或API網關來做好業務可用性與安全性的平衡。

API安全防護系統（RayAPI）有哪些優勢特點？

盛邦安全API安全防護系統（以下簡稱“RayAPI”）是一款從API接口活動監測審計出發，通過權限識別、數據識別等機制，對數據流轉進行安全檢測與加固防護的專用產品，主要具有如下幾點技術優勢：

全面的敏感數據識別能力

RayAPI可以從接口活動流量中自動識別可能包含的敏感信息，包括個人隱私信息、企業敏感數據、業務敏感信息等，除預定義的敏感信息類型之外，還可以根據實際情況來自定義添加識別規則，從而實現全面的敏感數據發現能力。

直觀的數據流轉監控能力

RayAPI可以對數據調用源、調用區域、調用賬號、調用接口、關聯資產和詳細請求信息進行關聯分析與跟蹤統計，既能夠為數據保護策略提供分析依據，還能夠以直觀的分析視角進行監控審計，從而幫助管理員實現清晰的監控管理。

豐富的敏感數據保護策略

RayAPI支持豐富的敏感數據保護策略，包括數據接口調用頻率限制、數據調用數量限制、隱私信息監控統計與脫敏保護策略，可以應對機器人攻擊、低頻撞庫、非法爬蟲、數據竊取等攻擊類型，避免數據多度暴露等脆弱性風險。此外，RayAPI還可以結合訪問權限、數據標簽等綜合條件設定監控策略，及時發現數據異動、數據泄露等風險情況并提供對應的加固保護能力。

敬請關注“大話API安全系列”，讓我們共同守護，網絡空間的安全和有序。