应用程序编程接口 (API) 已成为当今企业保持竞争力的生命线。然而，伴随这一创新而来的是一个阴暗的一面——与 API 相关的安全问题。这些问题还导致正常业务运营中断，包括应用程序开发。根据数据 2022 年 Web 应用程序和 API 防护状态 CDNetworks 的报告显示，针对 API 的攻击大幅增加，2022 年达到 58.4%。
影子 API 和僵尸 API 是与 API 相关的两个此类问题，它们在您的数字基础设施中可能未被检测到。影子 API 通常在没有适当监督的情况下创建，会带来安全和合规风险，可能会损害敏感数据，并使组织容易受到网络威胁。另一方面，僵尸 API 是过时且废弃的 API，如果不加以控制，可能会成为网络攻击的网关。
什么是 Shadow API 和 Zombie API？
影子 API 是未经授权或未记录的 API，未经其运营组织管理或保护。它们通常由开发人员或团队在应用程序开发或其他业务功能的实现过程中创建。这些 API 的运行没有得到 IT 或安全部门的适当监督或批准，因此仍然处于阴影之中，不受官方监控和管理。因此，即使它们不会被用于恶意目的，影子 API 也可能对组织的数据安全性和完整性造成重大风险。
另一方面，僵尸 API 是过时、废弃或弃用的 API，它们存在于组织的数字环境中。它们可能已经被识别和管理，但由于它们不再被积极使用或维护，随着时间的推移，它们可能会成为安全责任。僵尸 API 还可能存在未被注意到和未修补的漏洞，攻击者可以利用这些漏洞来获得未经授权的访问或发起网络攻击。将僵尸 API 视为被遗忘的网关，可以为恶意行为者打开进入组织系统的后门。
影子 API 和僵尸 API 如何损害您的业务？
影子 API 的存在可能会导致数据泄露、合规性违规和运营中断。由于这些 API 在官方 IT 框架之外运行，因此通常缺乏适当的身份验证、授权和加密机制。这使得它们容易受到网络攻击、数据泄露和未经授权的访问。以2022年6月为例， 持续集成开发工具 Travis CI 遭遇 API 漏洞 这使得任何人都可以访问该公司的纯文本历史日志。这导致该企业的超过 7.7 亿条用户日志数据遭到泄露，其中包含 73,000 个令牌、访问密钥和其他云服务凭证。类似的 API 违规案例也曾在 Hubspot 2022 年 3 月，暴露了 160 万用户和其他公司的敏感数据，例如 佩洛顿 和 益百利.
还有横向移动的问题，影子 API 最终成为访问组织网络内其他可能更敏感的系统和帐户的入口点。最后但并非最不重要的一点是，监管机构还可能对不合规的组织进行处罚，导致高昂的罚款并损害公司的声誉。
僵尸 API 可能看起来无害，因为它们不再被积极使用，但它们是定时炸弹。攻击者可以识别并利用这些被遗忘的 API 中的漏洞，从而导致数据泄露、系统受损和财务损失。根据 Postman 2023 年 API 状况调查，几乎 60% 的受访者担心僵尸 API。僵尸 API 的存在可能会扰乱您的 IT 环境，从而使管理和保护对您的业务运营至关重要的活动 API 变得更加困难。
如何识别Shadow API和Zombie API？
为了能够识别影子 API，有必要跟踪您的网络流量，尤其是 API 调用。以下是一些可以帮助您发现影子 API 的基本步骤。
- 监控您的网络： 实施网络监控工具来检测异常流量模式和未经授权的 API 调用。查找不属于官方文档的 API 端点。
- 进行日志分析： 分析日志和访问记录以识别源自未记录的 API 的请求。异常或未经身份验证的访问可能表明存在影子 API。
- 查看平台和文档： 定期审查协作平台、开发存储库和文档，以发现未经适当授权或文档创建的任何 API。
- 进行安全审核： 定期安全审核和渗透测试可以帮助发现可能容易被利用的隐藏 API。
由于僵尸 API 本质上是组织中“被遗忘”的 API，因此识别它们的关键是彻底保留和维护所有正在使用的 API 的清单。从这些基本的卫生步骤开始。
- 维护 API 目录： 维护组织中所有 API 的全面清单。将此列表与活跃使用数据进行比较，以确定不再使用的 API。
- 跟踪使用指标： 监控 API 使用指标和流量模式。如果 API 在很长一段时间内显示很少或没有活动，则它可能是僵尸状态的候选者。
- 查看 API 文档和历史记录： 查看 API 文档和开发历史记录，以识别已弃用或放弃的 API。查找表明 API 不再使用的注释或评论。
- 进行依赖性分析： 分析 API 和应用程序之间的依赖关系。如果没有活动的应用程序依赖于特定的 API，那么它可能是僵尸应用程序。
如何降低影子 API 和僵尸 API 的风险？
如果您经常使用 API，则需要强大的保护程序和工具来最大程度地减少影子 API 的影响。您可以采取的一些方法包括：
- API治理：建立明确的 API 治理政策和程序。要求开发人员在创建新 API 之前获得批准，确保所有 API 均已记录并获得授权。
- 进行定期审核： 定期审核和测试 API 以确保它们符合预期结果非常重要。使音频成为开发周期的一部分，包括发布之前和功能测试之间。自动化工具还可以帮助根据预定义的标准标记影子 API。
- 认证与授权： 对所有 API 实施强大的身份验证和授权机制。实施 API 密钥、OAuth 或其他访问控制方法以防止未经授权的访问。
- 培训和意识： 让您的开发团队了解与影子 API 相关的风险以及遵守公司政策和安全标准的重要性。
为了减轻 Zombie API 的影响，您可以采取以下一些步骤：
- 弃用僵尸 API： 当您清点清单并发现僵尸 API 时，请确保弃用它们，以免它们将来造成危险。
- 及时警告用户： 同样重要的是向 API 的当前用户发出明确的警告，以便他们能够以最小的干扰进行过渡。为弃用设定严格的截止日期，并通知所有客户和 API 使用者。
- 如果需要，创建替换 API： 如果有任何用户仍然依赖该 API，请务必在弃用截止日期之前推出替代品。确保新的 API 不会在未来带来任何潜在的安全风险。
- 文档更新： 保持 API 文档准确且最新。明确标记已弃用或停用的 API，以防止意外使用。
- 定期清理： 安排定期清理和维护活动以删除或存档僵尸 API。确保这些活动是您组织的 API 生命周期管理流程的一部分。
CDNetworks 如何帮助您保护 Shadow API 和 Zombie API
CDNetworks 利用尖端的大数据分析和人工智能技术来自动发现潜伏在数字生态系统中的影子 API 和僵尸 API。这 API Shield（API安全防护） CDNetworks 的解决方案汇集了许多功能，包括 API 库存管理和 API 发现，用于定义和管理 API 隐私以及发现未知的 API 资源。这种主动方法可确保不会忽视任何隐藏的威胁，从而提供 API 环境的全面视图。
API Shield 部署在 CDNetworks 的全球分布式 PoP 上，允许实时检测可疑 API 请求，然后再阻止它们或采取其他主动措施。它还使用基于云的大数据分析平台和高性能分析集群来筛选日志文件并查找趋势和模式以提高安全性。
