API 在当今的数字生态系统中无处不在，连接着不同的系统、应用程序和数据。它们实现无缝集成和数据交换的能力彻底改变了企业的运营方式。从启用移动应用程序功能到促进云服务和物联网部署，API 在创建互联、敏捷和响应迅速的业务环境方面发挥着重要作用。

随着组织内 API 数量的增加，管理它们的复杂性也在增加。每个 API 都可能成为网络攻击者的潜在切入点，在这种情况下，了解 API 的使用及其对业务和安全的影响不仅仅是一项技术要求，也是一项战略性业务需求。

OWASP API 安全TOP 10 (2023 版)

2023 年发布的 OWASP API 安全Top 10 名单是识别和减轻 API 紧迫安全风险的关键参考。

对象级别授权失效：此风险涉及如何控制用户对对象的访问的问题，可能导致未经授权的数据泄露或更改。

身份验证失效：不正确实施的身份验证机制可能允许攻击者破坏令牌或利用缺陷来冒充其他用户的身份。

对象属性级别授权失效：此类别突出显示对象属性级别缺少授权或验证不当，这可能导致未经授权的信息泄露或操纵。

不受限制的资源消耗：这里的重点是满足 API 请求所需的资源。管理不善的资源分配可能导致拒绝服务或增加运营成本。

功能级别授权中断：这涉及访问控制策略中的缺陷，可能允许攻击者访问其他用户的资源或管理功能。

不受限制地访问敏感业务流：此风险指向通过 API 暴露业务流程，如果滥用，可能会在运营或财务上损害业务。

服务器端请求伪造 (SSRF)：当 API 在未正确验证用户提供的 URI 的情况下提取远程资源时，会发生此缺陷，这可能会导致意外和有害的请求。

安全配置错误：这包括 API 和支持系统中的各种潜在错误配置，这些错误配置可能会为各种类型的攻击打开大门。

存量资产管理不当：API 的正确文档和库存至关重要，因为它们暴露了大量的端点。管理不当可能会导致被利用已弃用的 API 版本等问题。

不安全地使用 API：此风险解决了在没有足够安全措施的情况下信任来自第三方 API 的数据的趋势，使这些集成服务成为攻击者的目标。

API 漏洞对业务的影响

OWASP API 安全Top 10中发现的漏洞不仅对企业的技术完整性构成风险，还对其运营、财务和声誉方面构成威胁。这些漏洞对业务的影响是多方面的，包括：

• 直接经济损失

• 业务中断

• 损害客户信任和数据隐私

• 声誉受损

• 合规和监管风险增加

• 知识产权盗窃

API 已成为网络犯罪分子的首要目标之一，Salt Security 最近的一项调查显示，94%的企业在去年的生产api中遇到了安全问题。

实施 OWASP 准则实践

考虑到API的关键作用和威胁的演变性质，采用实践来减轻OWASP API安全前10名中确定的漏洞至关重要：

定期进行安全审计和评估，以监控和评估 API 的漏洞。

强大的身份验证和授权控制，以确保在每个级别(包括对象和功能级别)进行正确访问。

资源和速率限制，以防止滥用和缓解拒绝服务攻击。

持续监控和记录，以及时检测和响应安全事件。

对开发人员进行API安全实践方面的教育和培训。

API 清单的管理，用于识别和停用过时或不必要的 API。

API 安全网关和管理工具，用于提供额外的安全层，例如加密、威胁检测和策略实施。

第三方 API 安全评估，以确保遵守安全标准并识别漏洞。

参读链接：

https://www.tripwire.com/state-of-security/owasp-api-security-top-10-business-guide