掌握最新的資安威脅情勢是 MSSP （資安託管服務供應商）的重要責任。近年來，API 已成為駭客的首要攻擊目標，造成大量資料外洩事件、阻斷服務（DoS）攻擊，以及 API 相關的惡意濫用行為。根據資安業者 Wallarm
2024 年第三季 API 威脅統計報告顯示，API 資安漏洞較上一季增加了 21%。這些漏洞大多與雲端原生系統密切相關，反映出隨著企業加速轉型至雲端環境，API 已成為網路犯罪分子的主要攻擊標的。
API 資安事件的影響尤其嚴重，因為它可能導致整個資料集外洩，而不只是單一記錄的損失。大多數資安事件都源自系統配置錯誤，特別是在客戶端方面。值得注意的是，近期發生的部分事件已超越了 OWASP API 十大弱點清單所涵蓋的範圍。這些趨勢凸顯了 MSSP 在各產業中提供全方位、主動式 API 資安防護的迫切需求。
API 資安工具百百種，該如何選擇？
儘管 API 資安防護已成為當務之急，但市面上的工具種類繁多，令人難以抉擇。雖然各家廠商都宣稱能提供完整的 API 安全保障，但每種工具的防護等級和功能其實都有所不同。MSSP 在為客戶挑選最適合的工具組合時，需要仔細評估各種技術術語和行銷用語背後的實際功能。
目前的 API 資安工具可分為三大類：
API 閘道器（Gateway）、
網站應用程式防火牆（WAF）及
API 專用的防護工具。這些工具雖然都在 API 安全防護中扮演重要角色，但各有其獨特的功能定位，只有充分了解每種工具的優缺點，才能為客戶打造完善的 API 資安防護策略。
API 閘道器（Gateway）：集中式入口與基本資安防護
API 閘道器是 API 資安防護的第一道防線，負責集中管理並路由客戶端與後端系統之間的 API 流量。儘管 API Gateway 提供基本的資安功能，但由於主要著重於效能，因此在安全防護上仍有其限制。以下是評估 API 閘道器時應具備的主要資安功能：
- 使用者與應用程式身分驗證：
API 閘道器提供多種驗證方式，包括 OAuth 和 mTLS，用於驗證存取 API 的身分。
- 存取控制：
透過 JWT 範疇和存取控制清單（ACL）等機制，API 閘道器可強制執行權限，確保僅授權使用者能夠存取。
- 流量限制：
藉由控制流量，可預防過量請求，降低阻斷服務（DoS）攻擊的風險。
- 加密機制：
閘道器支援 TLS 加密，確保資料傳輸安全，並提供伺服器間的雙向驗證。
然而，API Gateway 雖然是不可或缺的防護工具，但單靠它無法滿足所有 API 資安需求。它缺乏偵測和防禦進階攻擊的能力，例如 API 專屬的注入攻擊或身分驗證漏洞。若僅依賴閘道器，API 將暴露於需要更深入檢查和專業資安功能才能防禦的進階威脅之中。
網站應用程式防火牆（WAF）：強化網站安全的專業防護工具
傳統的網站應用程式防火牆（WAF）主要用於防護網站應用程式，避免遭受 SQL 注入和跨站腳本攻擊（XSS）等威脅。隨著 API 的普及，許多 WAF 已整合基本的 API 資安防護功能。在評估 WAF 時，應確認其是否具備以下功能：
- OWASP Top 10 資安防護：
阻擋針對網站應用程式的常見攻擊，包含 SQL 注入、跨站腳本攻擊（XSS）和跨站請求偽造（CSRF）等。
- 應用層防護：
檢查並過濾 HTTP/HTTPS 流量，防止惡意程式碼入侵網站應用程式。
- DDoS 攻擊防護：
偵測並阻擋應用層分散式阻斷服務（DDoS）攻擊。
WAF 作為邊界防護工具，主要保護面向網際網路的網站應用程式入口流量。儘管 WAF 已具備 API 專屬的防護功能，但在偵測商業邏輯缺陷或複雜的 API 攻擊方面仍有侷限。WAF 能有效阻擋常見的網站攻擊，但對於完整的 API 專屬威脅，尤其是在動態的雲端原生環境中，其防護能力仍顯不足。因此，MSSP 應考慮將 WAF 與專用的 API 防護工具結合，以建立全方位的防護機制。
API 專用防護工具：進階威脅偵測與應變
API 專用防護工具提供專門的 API 資安防護方案，其防護功能遠勝於 API Gateway 和 WAF 的基本防護。這類工具專注於 API 完整生命週期的安全防護，能提供更精準且全方位的防護機制：
- 自動化 API 探索：
即時偵測新增或變更的 API 端點，有效降低未受管理的隱藏式（Shadow）API 風險。
- OWASP API 資安防護：
針對 OWASP API 資安十大風險提供完整防護，涵蓋物件層級授權缺陷和注入式攻擊等威脅。
- 濫用防護：
監控並阻擋異常行為，包含帳密填充攻擊和可能繞過流量限制的超量請求等濫用行為。
- 資安測試與弱點掃描：
持續進行資安評估，及時發現系統錯誤配置和資安漏洞。
MSSP 在選擇工具時需留意，
不是所有 API 專用防護工具都能主動阻擋威脅。有些工具僅提供偵測和警示功能，必須結合 WAF 才能實際阻擋威脅。具備即時阻擋能力的解決方案特別重要，因為它們可在威脅抵達 API 之前就先行攔截。為了建立完整的資安防護，組織應選用同時具備威脅偵測與主動緩解功能的 API 防護工具。
建構多層次的安全防護架構
隨著 API 漏洞威脅持續增加，選擇合適的資安工具組合對於有效防護 API 至關重要。API Gateway、WAF 和專用的 API 防護工具各自具備不同優勢：
- API Gateway 負責集中管理 API 流量，提供基本的存取控制與安全通訊功能，但在偵測進階威脅方面仍有其限制。
- WAF 擅長提供傳統的網站應用程式和 DDoS 防護，但在 API 防護方面，尤其是面對複雜攻擊時，防護能力可能不足。
- API 專用防護工具著重於 API 生命週期的深度資安防護，能偵測其他工具容易遺漏的威脅，部分工具更具備即時阻擋攻擊的能力。
透過整合上述工具，組織可建立最完善的多層次 API 資安防護方案。MSSP 必須深入了解各項工具的優勢與限制，並依據組織需求打造最適切的解決方案，適用於雲端原生、內部部署或混合雲等各種環境。在當今充滿 API 威脅的環境中，結合這些工具不僅可建立更強韌的資安防護網，更能靈活因應持續演進的資安風險。
本文轉載自 MSSPAlert。