“此刻去当局处事，，，越来越单一方便了！”刚刚给公司办落成商审批手续的行政小王如此感叹，，，企业工商数据已经全数联网同步，，，一个窗口全数搞定。。

    小王感触到的扭转，，，要归功于全国各地推广的“最多跑一次”鼎新。。所谓“最多跑一次”，，，就是通过“一窗受理、、、集成服务、、、一次办结”的服务模式创新，，，让企业和人民到当局处事实现“最多跑一次”的行政指标。。更通俗地说，，，就是让“数据多跑路、、、人民少跑腿。！

    路上出行会存在交通变乱的风险，，，同样在“数据多跑路”的过程中，，，由于海量的公民小我信息、、、企业贸易数据等在各个部门和系统中流转和分享，，，甚至对外盛开，，，就带来了不成忽视的数据泄露、、、黑客攻击等安全风险。。这其中，，，作为数字世界中的“信息高速公路”，，，API数据接口服务能够说是首当其冲。。

    某市大数据局在积极推动“互联网+政务”深度融合、、、敌灾数字化转型的过程中，，，宽泛依附API接话柄现各级各部门信息系统的互联互通。。其中对外部的利用盛开，，，这其中暗藏了巨大的数据安全隐患。。为此，，，该市大数据局通过与AB钱包合作，，，以“API安全卫士+流量解密编排器（SSLO）”为主题，，，构建起了覆盖 API 资产可视化、、、API 风险可视化、、、行为可视化、、、数据安全事务可视化、、、加密流量可视化的全闭环数据安全；は低。。

    数据在“高速公路”狂奔，，，安全风险伴随而来

    据介绍，，，该市大数据局重要职责是组织、、、领导、、、协调全市公共数据和电子政务发展治理工作，，，深入“最多跑一次”鼎新，，，落实支持鼎新有关的信息系统建设工作，，，推动“互联网+政务”深度融合、、、敌灾数字化转型工作等。。为此，，，大数据局内部部署了市公共数据共享系统、、、市公共数据系统、、、市多云管控系统、、、市经济运行监测分析数字化系统、、、市公用事业信息化监管服务系统、、、市住房公积金信息治理系统等多个业务系统。。

    API作为利用衔接、、、数据传输的重要通道，，，在该市公共数据和电子政务发展治理的数字化转型中被宽泛利用。。依附API数据接口服务，，，全市各部门机构能够轻松获取和利用各类数据资源，，，方便地共享数据，，，实现信息流动和互联互通，，，进而提高运营效能，，，优化决策和服务，，，推进创新和发展。。

    然而，，，API带来便捷性和矫捷性的同时，，，其暗藏的安全风险也伴随而来。。国际权威征询机构Gartner曾预测，，，2022年，，，API滥用将成为导致企业Web利用法式数据泄露的最常见攻击媒介。。到2024年，，，API滥用和有关数据泄露将险些翻倍。。从全球领域来看，，，2023年API安全事务频发，，，威胁愈发严重，，，涉及多家驰名企业。。在国内，，，各地不休出现数据泄露事务，，，蕴含某驰名大学的学生信息泄露等等，，，好多都是由 API接口安全问题导致。。AB钱包钻研显示，，，盛开的业务能力越多，，，API使用领域越宽泛，，，API露出的攻击面也就越大。。

    这对这些情况，，，该市大数据局通过和AB钱包合作，，，系统梳理了当前存在的重要API安全风险，，，具体集中在以下几个方面：

    第一是API资产梳理不清，，，无法提前洞察潜在风险。。

    由于业务系统的分期上线以及安全数门与业务部门职责分歧，，，导致了安全数门无法实时把握当前系统有几多API、、、哪些是持久不活跃的API、、、哪些是已下线的API、、、哪些是僵尸API、、、业务系统对外露出了哪些API、、、以及是否存在未经审批登记的API等一系列问题，，，用户对API资产情况把握不清澈，，，更无法提前洞察潜在的数据风险。。

    第二是数据泄露无感知，，，安全事务总是后知后觉。。

    攻击者能够通过利用API接口存在的脆弱性批量获取企业敏感信息，，，且数据在传输的过程中未对敏感信息进行措置，，，例如公民身份证号、、、电话、、、联系地址等信息，，，这样就导致大量数据在悄无觉察的情况下，，，被大量窃取。。

    第三是缝隙攻击无防护，，，成为攻击者最大突破口。。

    API由于设计者或汗青遗留等原因存在逻辑缺点、、、配置谬误等安全缝隙，，，恶意攻击者时时利用API缝隙进行攻击。。针对API缝隙利用攻击行为，，，若何进行防备、、、若何精确节制接见行为；针对缝隙攻击、、、高频接见等异常行为若何进行急剧安全防护，，，成为了困扰当前企业安全建设的难点。。

    第四是不足溯源响应机制，，，攻防匹敌中限于被动。。

    数据被窃取后，，，大数据局往往无法急剧定源或响应，，，很容易造成被传递处罚等事务，，，严重影响当局名誉，，，尤其在近年的实战攻防演习中，，，总是处于被动局面。。

    最后是对链路加密检测无伎俩，，，存在威胁监控盲区。。

    该市大数据系统内部全数选取Https加密方式进行传输，，，从前无解密伎俩，，，无法感知加密流量中夹带的攻击与威胁，，，这就造成了威胁监控的盲区。。凭据国外机构调研汇报显示，，，超过95%企业暗示遭逢过由于加密流量引起的安全事务。。因而，，，对API传输的数据进行高效解密是安全；さ幕。。

    高效解密+API全闭环防护，，，为数字政务系上“安全带”

    在API接口越来越频仍受到攻击、、、成为数据安全主题隐患的情况下，，，AB钱包为该市大数据局提供了“API安全卫士+流量解密编排器（SSLO）”的整体解决规划。。此规划援手客户看见加密流量威胁的同时，，，进一步基于API检测设备，，，通过API资产鉴别、、、API敏感数据传输鉴别、、、API缝隙攻击检测与防护、、、API接见节制等技术解决企业傍边API资产不清、、、API缝隙利用攻击无防护伎俩，，，API敏感数据泄露无感知、、、API通讯行为无审计等一系列API安全问题。。

    第一是高效流量解密，，，让暗藏威胁无所遁形。。

    针对该大数据局系统内部全数选取Https加密方式进行传输的情况。。AB钱包通过在用户南北向主题互换机上，，，通明串接AB钱包流量解密编排器（SSLO）解密设备做代理解密，，，再对多个Https业务进行解密战术配置，，，解密设备对两侧密文进行解密操作后，，，将解密后的明文进行复制并转发到镜像口，，，最终通过镜像口将明文传递给旁路的流量分析设备进行安全检测，，，检测实现后将流量日志和告警日志上传至API安全分析与治理系统。。

    API安全分析与治理系统拿到解密后的明文流量后，，，可援手大数据局实现全面API资产梳理、、、API资产脆弱性检测等操作，，，治理和；PI资产。。

    图 该市大数据局API安全卫士联动流量解密编排器的部署

    第二是全面的资产梳理，，，形成可视化资产清单。。

    资产梳理市API安全卫士的重要职能，，，它能够通过内置规定自动鉴别API类型及公共组件，，，通过自动打标并进行分类统计，，，全面治理API资产。。在该项目中，，，AB钱包通过API安全卫士援手某大数据局全面梳理了API资产，，，发现未知API、、、僵尸API，，，最终形成可视化API资产清单。。

    第三是风险可视化治理，，，并实现精密化战术管控。。

    通过API安全卫士援手某大数据局发现内部API各类自身逻辑缺点。。重要蕴含未授权接见的问题、、、弱认证问题、、、过度数据露出问题、、、高敏感接口问题、、、以及接口误露出问题等。。

    其中，，，AB钱包通过API安全卫士援手某大数据局发现异常高频接见、、、文件批量下载、、、敏感数据批量爬取、、、以及接口参数遍历等API异常接见行为，，，发现潜在的API安全风险，，，将风险前置。。并通过API安全卫士援手某大数据局分析“谁通过什么方式的API，，，传输了什么类型的敏感数据，，，传输了几多”的成效，，，实现敏感信息的数据传输分析。。

    在运营分析方面，，，通过API安全卫士援手某大数据局分析“什么人（攻击者）通过哪个接口，，，什么攻击方式手法，，，攻击了谁（受害者），，，攻击了局是什么”的成效，，，极大提升运营人员的分析效能。。

    在风险管控方面，，，通过API安全卫士援手该大数据局在发现安全风险后，，，通过精密化战术管控预防恶意攻击者通过恶意要求、、、DDoS攻击等伎俩对API进行攻击，，，导致系统瘫痪、、、数据泄露等的严重后果。。

    第四是满足企业业务合规审查

    合规是企业经营的底线和性命线，，，大数据局也同样必要遵循《数据安全法》、、、《小我信息；しā返扔泄厮痉晒娴囊。。在该项目中，，，大数据局业务通过API来实现数据的交互，，，而API利用由于其设计的独个性，，，更多的业务逻辑是在客户端执行，，，服务端往往会直接将蕴含的所罕见据（其中蕴含好多敏感数据）发送给客户端，，，由客户端来按需使用。。通过部署API安全卫士急剧鉴别和审查 API 要求/响应的内容，，，进而满足该大数据局安全合规的要求。。

 小结

    AB钱包数据安全专家以为，，，某市大数据局在API数据共享面对的安全困局，，，也是数据安全最为典型的问题之一。。在技术刷新快，，，安全风险复杂，，，合规性要求越来高的布景下，，，数据安全存在着面对“难看清”、、、“难管好”、、、“难防住”等困境。。

    在这种情况下，，，AB钱包推出了“奇安天盾”数据安全；は低常虺：奇安天盾），，，用“六全”框架实现“三能”：风险能看清，，，内鬼能管好，，，攻击能防。；将“事务监测、、、风险分析、、、战术调整、、、接见节制”融为一套齐全闭环系统，，，添补了对于数据；ひ惶寤芰Φ娜笔。。

    国际市场钻研与征询机构Gartner指出，，，“无论产品状态若何，，，API都存在自己怪异的风险，，，如API资产清单不全、、、API缝隙等。。因而，，，用于网络、、、利用或者数据的安全产品并不能单一地复用于基于业务的API风险管控。！弊魑狦artner《中国API治理市场指南》中API安全领域的代表性供给商，，，AB钱包以为，，，API安满是数据安全；ぶ凶钪匾囊换，，，也是奇安天盾系统化能力的主题组件。。该市大数据局在以API安全为主题的数据安全实际，，，无疑为各省市大数据局数字化鼎新中的数据安整个系化建设，，，索求出一条可被宽泛借鉴和复制的标杆示范。。

    本文部门图片起源于网络