在當今數字化時代，API 已經成為企業構建創新產品和服務、提升用戶體驗的關鍵基石。作為連接不同系統和應用程序的"粘合劑"，API 允許組織無縫集成第三方功能，從而顯著提高業務靈活性和敏捷性。然而，第三方 API 也為網絡安全帶來了新的挑戰和風險。一旦被攻破，它們就可能成為數據泄露、業務中斷和聲譽損失的突破口。因此，有效管理和保護第三方 API 對于確保企業的網絡安全態勢至關重要。

采用保護第三方 API 的9個最佳實踐

在當今快速互聯的數字環境中，API已經成為增強功能和豐富用戶體驗的基礎。API安全通常涉及第三方API，而非僅僅是自身API安全。

Gartner的最新調查顯示，71%的IT領導者表示在其組織中使用第三方應用程序編程接口(API)。OWASP API 安全將"不安全地消費 API"列為前 10 大風險，也是在強調第三方API風險。

第三方API帶來了新的風險，成為新的潛在安全威脅的入口，導致數據泄露、業務中斷與財產損失、失去客戶信任、監管與合規問題等。而且，與內部開發和維護、安全標準可控的第一方 API 不同，第三方 API 由外部供應商擁有和管理，因此其安全防護也更加復雜。

為了有效保護第三方 API，安全牛認為，組織應該采用以下9個保護第三方 API 的最佳實踐：

1. 強大的身份驗證協議：利用 OAuth 2.0 、OpenID Connect 或SAML 進行安全身份驗證。在可能的情況下，實施多因素身份驗證(MFA)以增強安全性。
2. 對數據進行加密：確保在應用程序和第三方 API 之間傳輸的所有數據都使用 SSL/TLS 協議進行加密。使用強大的算法(如 AES)對靜態敏感數據進行加密。
3. 對輸入進行驗證：實施嚴格的輸入驗證檢查，以凈化和驗證傳入和傳出的數據。這有助于防止注入攻擊(如 SQL 注入)。
4. 速率限制和節流：為 API 調用設置閾值，以防止濫用并緩解拒絕服務(DoS)攻擊。這限制了單個來源在指定時間內的請求數量。
5. 監控和日志記錄：監控所有 API 交互,以發現異常活動。通過建立實時監控和日志記錄，企業可以檢測并響應可疑行為。還可使用自動警報系統通知管理員潛在威脅，并確保定期審查日志。
6. API 網關實施：使用 API 網關作為中介層來管理訪問、實施安全策略,并在需要時應用速率限制，旨在為 API 交互提供了額外的控制層。
7. 定期安全審計和修補：及時更新 API 提供商提供的最新安全補丁，并定期審計 API 集成以發現漏洞。
8. 確保 API 開發和測試階段的安全性。安全性應該在 API 開發和測試階段就得到融入。通過在 API 開發期間執行安全測試，構建這些 API 的第三方組織可以在上線前發現漏洞，從而確保部署時具有更強的保護。
9. 確保員工(尤其是從事開發和 IT 工作的員工)了解 API 安全的重要性。定期培訓和提高意識可以幫助防止安全漏洞,并提高整體 API 保護水平。

因場景而異打造量身定制解決方案 

Gartner在最新的研究報告“根據 3種特定使用場景調整您的第三方 API 安全策略”中，強調了確保第三方 API 流量安全的關鍵挑戰，并指出針對發現并管理向第三方 API 的出站數據流、防范來自第三方 API 的入站流量帶來的威脅，以及管理和保護 SaaS 到SaaS 的API 互連三種不用應用場景，應結合實際情況實施量身定制的最佳實踐。

對此，Gartner 副總裁分析師 Dionisio Zumer指出，安全和風險管理領導者不應試圖用一種技術方法解決所有問題，而應根據具體使用場景調整方法。

應用場景1:發現并管理向第三方API的出站數據流

出站 API 連接將數據發送到第三方服務(如支付網關)，存在數據外泄的重大風險，而且由于對外部 API 的控制有限，傳統的安全措施往往無法奏效。

敏感信息，如客戶或支付數據可能會被無意中暴露。第三方API也可能會危及數據或客戶數據的安全。例如，攻擊者可能會利用存在漏洞的支付API竊取客戶的支付數據。此外，注入惡意負載也可能破壞業務合作伙伴的數據庫。

企業通過API向第三方發送數據，通常是從自主開發的應用程序中調用它們。例如在電子商務場景中，提供API的服務可能是支付網關，出站流量將包含用于處理支付的支付數據。從應用程序內部調用API的方式有多種，如直接集成、使用軟件開發工具包或Webhook。

針對這一場景，Gartner 建議，要全面監控流量、傳輸安全(TLS)以及與 DLP 解決方案集成，以檢查和控制出站 API 調用。這些措施有助于檢測數據泄露，并通過對出站流量實施安全策略來確保合規性。

安全領導者還應與負責采購、供應商管理(SPVM)和第三方網絡風險的團隊協作，確保對SaaS應用程序進行審查，并符合組織政策。

Zumer認為，安全領導者還必須通過監控這些API交換中的出站流量來識別敏感數據外泄。這可以通過實施數據丟失防護(DLP)功能來實現，其中可能會應用到不同的工具，安全服務邊緣(SSE)、DLP和API保護工具都具有一定的DLP功能。考核因素包括：

• 工具是否能夠對傳輸中("即時")的數據進行分類，或者是否能夠執行補救措施，如阻止交換、匿名化或加密數據；
• 監控點也可能很重要，因為有些 DLP 工具可能已經部署在能夠訪問未加密數據流量的網絡位置上；
• 安全領導者對工具的配置方式。如果將其設置為一個節流點，它可能會比僅處理特定類型流量或入站流量的工具更好；
• 內部運營和管理因素。組織內部的一些運營和管理方面的考慮會影響到選擇哪種 DLP 工具用于監控 API 數據交換。

最后，安全領導者可以使用API提供商提供的機制，對API客戶端進行適當的身份驗證和授權。至少應優先使用令牌而非API密鑰進行授權。評估在特定使用場景中，不透明且可證明所有權的令牌(或至少經常輪換的訪問憑證)和證書鎖定是否能有效緩解令牌泄露和攔截風險。但也要注意它們可能帶來的技術負擔，以及對流量檢查的影響。

應用場景2:防范來自第三方 API 的入站流量帶來的威脅

在此使用場景中,組織從第三方 API(如從 SaaS 提供商或業務合作伙伴處獲取信息)消費數據。主要風險在于從 API 接收潛在有害輸入，包括惡意負載或損壞的數據。這些威脅可能導致注入攻擊、數據泄露或損害后端系統的完整性。此外,如果連接不安全，從第三方 API 接收的敏感數據可能會被攔截，導致信息泄露。

針對這一場景，Gartner 建議實施強身份驗證(如基于令牌的授權)、內容檢查和安全傳輸(如 TLS)，并考慮反向 API 網關來管理令牌、檢查流量并為入站 API 連接提供實時監控。

Zumer強調，安全領導者應執行輸入驗證。要求開發人員在接收任何輸入時(包括來自第三方API的輸入)添加輸入驗證控制。這將防止來自惡意輸入的大量攻擊，如SQL注入攻擊。應用程序安全測試(AST)工具可以幫助自動化這些檢查。

使用Web應用程序和API保護工具的Web應用程序防火墻功能，在線路上添加針對注入攻擊和其他類型惡意輸入的應急措施。

最后，通過與一種或多種反病毒、沙箱或內容消毒和重構解決方案集成應用程序(通常通過互聯網內容適配協議或API)，對輸入進行檢測。

 應用場景3:管理和保護 SaaS 到SaaS 的API 互連

在此場景中，多個 SaaS 應用程序通過 API 直接經常交換敏感的企業數據。當用戶創建未經批準的連接(例如通過自動化工具如 Zapier)繞過 IT 監督時，就會帶來重大風險：導致了可見度和控制力的缺失，增加了敏感數據暴露和合規性問題的可能性。此外，組織常常難以跟蹤哪些服務在消費哪些 API，從而在安全態勢上產生盲點。

Zumer補充，當授權的SaaS應用程序用戶通過API將其連接到未經授權的SaaS應用程序時，挑戰就更大了。許多組織都難以確定 SaaS 應用程序與未授權的 SaaS 應用程序之間通過 API 建立連接的可能性，更難以監控和控制通過這種連接進行的任何數據傳輸。其次，SaaS 應用程序之間的 API 連接是在 SaaS 提供商的環境中進行的，組織只能依賴 SaaS 提供商公開的有限信息，無法全面了解連接細節，更無法在連接線路上部署自己的安全控制措施。這種情況的主要風險是SaaS應用程序可能通過API暴露敏感的企業數據，而且該數據可能會被傳輸到安全部門尚未審查的未經批準甚至未知的位置。

對此場景，Gartner 建議實施能夠監控 SaaS 互連、執行治理政策并持續盤點 API 連接的工具。安全服務邊緣(SSE)、 SaaS 安全態勢管理(SSPM)或反向 API 網關等解決方案可以幫助提供對 SaaS 到SaaS 集成所需的可見性和控制力。

Zumer建議，安全領導者還應通過普查、發布政策和檢查流量來發現所使用的SaaS應用程序；通過查詢所使用的SaaS應用程序(如果支持的話)來發現惡意SaaS訪問令牌，為用戶制定并推廣關于通過OAuth連接SaaS應用程序的政策。

對于前面的使用場景，安全團隊應該與負責SPVM和第三方網絡風險的團隊協作，確保對SaaS應用程序進行審查并符合組織的政策，如數據安全和第三方共享政策。此外，要對SaaS到SaaS互聯進行清點。自動化工具(如SSPM產品)可以幫助確保這是一個持續的過程。

確保第三方 API 流量安全是一個復雜的挑戰，需要采取量身定制的、積極主動的方法。無論是管理出站數據流、檢查入站流量還是治理 SaaS 到SaaS 互聯，組織都需要一種能夠提供深度可見性和精確控制的解決方案。

在當今企業環境中，第三方 API 的廣泛使用帶來了前所未有的安全挑戰。第三方 API 安全管理是一項系統工程，需要安全團隊深入了解業務需求，并與整個組織的流程和工具相結合，才能真正發揮效用。安全和風險管理領導者只有采取全方位、因場景而異的策略，才能最大限度降低第三方 API 帶來的風險，實現安全可控。