云原生技術已經大范圍普及并深入應用到了企業核心系統，但技術架構和應用模式的變革伴生了新的安全風險，云原生安全已成為企業關注的焦點。其中API安全是一大突出問題。云原生架構下API數量爆發式增長，分布在云原生基礎架構層和微服務業務層；API訪問范圍擴大，既充當外部與應用的訪問入口，也充當應用內部服務間的訪問入口。數量的激增和攻擊面的擴大都加劇了API安全風險。

在此背景之下，瑞數信息參與中國信通院聯合業內專家共同編寫的《云原生安全能力要求 第1部分：API安全治理》標準，旨在為云服務商及企業用戶構建云原生API安全治理能力提供參考，同時適用于規范云原生API安全產品及解決方案能力水平。標準針對API安全治理能力提出了分級要求，內容包括API安全評估、權限控制、安全監測、安全響應、審計與溯源五大部分。

瑞數API安全管控平臺

首家完成

中國信通院組織的云原生API安全能力評估

瑞數API安全管控平臺（API BotDefender），由API感知、發現、監測和保護四大模塊組成，能夠對來源環境和API資產進行感知，自動發現流量中的API，并采用機器學習引擎對異常API請求行為、敏感數據進行識別與分析，調用動態響應機制對異常API請求進行攔阻、限速或脫敏等響應動作。

能力一：API安全評估

API資產識別：能夠基于大數據建模自動發現API接口，自動對API接口實現分類、分組，并指派責任人，實現數據分權管理。自動提取API接口樣式，為API接口提供可視化的詳情展示，幫助客戶實現API資產的生命周期管理；API威脅識別：內置敏感信息檢測引擎，覆蓋姓名、手機號、身份證、銀行卡、密碼等18種敏感數據類型，對敏感信息進行自動分級，實時洞察API接口中雙向傳輸的敏感數據、明文密碼和弱密碼。

能力二：API限權控制

內置靈活的API訪問控制策略，可基于API接口、源IP、訪問頻率、客戶端指紋、API令牌、UserAgent、HTTP請求特征等上百個基礎要素和用戶交互行為特征，對API接口實現精細化的訪問控制，支持多維度限頻、攔截、延時等。

能力三：API安全監測

API運行狀態監測：持續監控、分析API當前運行狀況，支持獲取、統計、展示API接口性能信息、調用行為等信息，并對違規參數或異常行為進行檢測和告警；異常行為監控：基于多維度實時監控API接口的訪問行為，包括訪問成功率、耗時、TPS、并發數等。建立API訪問基線，及時發現偏離基線的異常訪問行為，及未知的API和僵尸API；安全攻擊檢測：通過AI人工智能威脅檢測引擎，輔以內置的API業務威脅模型，透視API常見的業務威脅，如撞庫、爬蟲等，精準、快速地識別各類攻擊。

能力四：API安全響應

API安全防護：通過AI智能威脅檢測引擎，并利用機器學習獲得的多種威脅模型來確定異常攻擊，同時利用語義分析和流量學習技術，精準、快速地識別各類攻擊，包括OWASP API Security Top10的安全攻擊檢測、API安全參數合規檢測、API接口調用順序檢測等；敏感數據管控：通過敏感數據檢測模型，對敏感信息進行自動分級及實時洞察，并能夠及時對API接口回傳報文中的敏感信息進行脫敏處理，規避數據泄漏風險。

能力五：審計與溯源

通過對API訪問行為日志的采集與審計，并基于威脅情報信息輔助，實現對賬號、IP、令牌及API安全事件的審計與溯源。