经常被忽视的六大API安全风险

译者 | 布加迪

审校 | 孙淑娟

API安全威胁始终是经常个问题 。API安全好比开车。被忽发布之前 ，安全您必须谨慎行事，风险仔细审查各个环节。经常不然，被忽您将会把自己和他人置于险境之中。安全

API攻击比其他攻击更危险。风险Facebook的经常5000万用户帐户曾受到API攻击的影响，Hostinger帐户遭到的被忽API数据攻击泄露了1400万条客户记录 。

如果黑客闯入您的安全API端点 ，可能会给您的云计算风险项目带来灾难。不安全的经常API可能会让您陷入困境
，这视具体的被忽行业和地区而定。尤其在欧盟，安全如果您为银行服务，倘若被发现使用不安全的API ，您可能面临严重的法律和合规问题。

为了减轻这些风险，您需要了解网络犯罪分子可以利用的潜在API漏洞。

一、六种经常被忽视的源码库API安全风险

1
、对API缺乏可见性和监控意味着“风险”

如果您逐步使用基于云的网络，所使用的设备和API的数量也随之增加。这也将导致对您在企业内部或外部泄露哪些API缺乏可见性。

影子、隐藏或弃用的API不被安全团队了解 ，为攻击者针对未知的 API、API参数和业务逻辑发动成功的网络攻击创造了更多机会。API网关等传统工具无法完整地列出所有API。

一定要有API可见性 ，源码下载包括如下：

集中式可见性以及列出所有API的清单API流量的详细视图对传输敏感信息的API拥有可见性API风险自动分析，附有预定义的标准2.API功能不足

关注您的API调用对于避免向API传递重复的请求很重要 。如果两个部署的API试图使用同一个URL ，可能会导致重复和冗余的API使用问题。这是由于两个API上的端点使用同一个URL 。为了避免这种情况，香港云服务器每个API都应该有自己的唯一URL ，并加以优化。

3.服务可用性威胁

在僵尸网络的帮助下
，针对性的DDoS API攻击可以使API服务器的CPU周期和处理器能力超载 ，发送带有无效请求的服务调用 ，从而使服务器无法用于合法流量。DDoS API攻击不仅针对运行API的服务器
 ，还针对每个API端点。

速率限制让您有信心保持应用程序健康运行 ，而良好的建站模板响应计划随带多层安全解决方案 ，比如AppTrana的API保护 。准确、全面托管的API保护可以持续监控API流量，并在抵达服务器之前立即阻止恶意请求 。

4.因API的使用而犹豫不决

B2B公司经常需要向组织外面的团队公布内部API使用方面的数字。这可能非常有助于促进协作，允许其他人访问您的数据和服务 。但是有必要仔细考虑您允许谁访问您的服务器租用API，以及对方需要什么样的访问级别。您不希望过于广泛地开放API，造成安全风险 。

在合作伙伴或客户之间共享API调用时，需要对其密切监控。这有助于确保每个人都按预期使用API，系统没有不堪重负。

5.API注入

API注入这个术语用来描述恶意代码连同API请求被注入。注入的命令执行后，甚至可以从服务器删除用户的整个站点。API易受这个风险影响的主要原因是 ，API开发人员未能在输入内容出现在API代码中之前加以清理。

这个安全漏洞给用户带来了严重问题 ，包括身份盗用和数据泄露，因此意识到该风险至关重要。在服务器端添加输入验证机制，以防止注入攻击 ，并避免执行特殊字符。

6.通过API攻击物联网设备

可以在多大程度上钻物联网的“空子”取决于API安全管理水平；如果没有这种安全管理，您将很难使用物联网设备。

随着时间的推移和技术的进步，黑客总是会使用新的方法来利用物联网产品中的漏洞 。虽然API支持强大的可扩展性，但它们为黑客访问物联网设备上的敏感数据打开了新入口。为了避免物联网设备面临的许多威胁和挑战
，API必须更安全。

因此 ，您需要给物联网设备打上最新的安全补丁，确保它们免受最新威胁的侵害
。

二、实施WAAP，降低API风险

当下
，许多组织不断受到API攻击的威胁。每天都有新的漏洞出现，因此有必要定期检查所有API是否存在潜在威胁。Web应用程序安全工具不足以保护贵公司免受这类风险 。要使API保护发挥功效，它就要完全致力于API安全 。Web应用程序和API保护（WAAP）系统是这方面切实有效的解决方案
。

原文链接：https://thehackernews.com/2022/09/6-top-api-security-risks-favored.html