Akamai推出原生連接器方案，確保金融行業(yè)API的安全性和穩(wěn)定性

11月13日消息，金融行業(yè)往往是網絡攻擊的重點目標，云服務提供商Akamai近日推出了Akamai原生連接器方案，用以API的安全性和穩(wěn)定性，助力金融行業(yè)抵抗日益增長的API攻擊。

Akamai發(fā)布的《應對安全威脅狂潮：金融服務業(yè)的攻擊趨勢》SOTI報告顯示，金融行業(yè)已經連續(xù)二年成為各行業(yè)中遭受DDoS攻擊最為顯著的行業(yè)。其中，金融機構在第三/第四層DDoS攻擊事件當中占比最高，達到了34%。

同時，針對HTTP Web應用層的攻擊也大幅增加。其中，特別是那些未被標記、未被識別的影子API，成為了主要關注點。在亞太及日本地區(qū)（APJ），通過API的攻擊最為頻繁，占據了該區(qū)域DDoS攻擊近50%的比例。

事實上，金融行業(yè)對API的使用和面臨的風險持續(xù)增強，許多業(yè)態(tài)（如數字原生銀行）全面利用API開展業(yè)務。因此，API在金融行業(yè)中的使用將更加廣泛，面臨的風險也會更加嚴峻。

Akamai資深解決方案技術經理 馬俊

Akamai資深解決方案技術經理馬俊介紹，在API防護方面，當前業(yè)內普遍使用的WAF（Web應用防火墻）方案存在三個難以解決的問題：

首先是“影子API”問題。這些API并未被安全團隊充分識別，因此其流量沒有得到足夠的安全防護。由于沒有明確的清單來梳理這些影子API，所以它們處于完全失控的狀態(tài)。由于缺乏定義、范圍和列表，企業(yè)難以利用現有的WAF或安全防護手段來保護它們。

其次，存在漏洞的API。這些漏洞主要體現在API的業(yè)務層面。例如，根據OWASP針對API提供的全球前十的漏洞列表，大量API漏洞與身份認證和訪問控制有關。通過簡單地改變API中的參數，攻擊者可以跨用戶、跨企業(yè)實體，甚至跨信息安全隔離的邊界，訪問其他用戶或個人的敏感信息。這是傳統(tǒng)WAF無法解決的漏洞問題。

第三是API濫用。這指的是未授權的調用者，尤其是合作伙伴，利用API的健全性（或未充分考慮調用次數、范圍、場景、順序等）進行的所謂“間諜活動”。攻擊者可以通過API抓取敏感數據、修改后臺配置，甚至進行“撞庫”及更復雜的欺詐或滲透攻擊。

為了有效應對上述問題，Akamai通過API深度防護能力，提出了一個完整的治理框架。這個框架旨在全面解決API防護中的難點，確保API的安全性和穩(wěn)定性。同時，Akamai特別為金融客戶提供了一項快速落地的解決方案——Akamai原生連接器。

馬俊介紹，Akamai原生連接器是連接Akamai既有用戶與創(chuàng)新的高級API安全方案之間的關鍵環(huán)節(jié)。這一新的集成能力直接內嵌于Akamai的連接云平臺中，能夠無縫地將云平臺中的流量副本傳輸至Akamai的高級API引擎。通過這一設計，客戶僅需幾次簡單的點擊，甚至無需進行任何實體部署，就能迅速實現高級API的檢測與防護功能。這一解決方案對客戶來說極為友好和高效，能夠在極短的時間內——幾分鐘甚至幾秒鐘內，幫助客戶完成API的高級檢測和防御部署。它涵蓋了“發(fā)現、感知、運行時的監(jiān)控”以及“測試”等關鍵能力，為客戶的API安全提供了強有力的保障。

Akamai近年來在API安全方面的持續(xù)投入和創(chuàng)新。今年Akamai還收購了一家高級API防護公司Noname，通過該項收購，Akamai將能夠幫助企業(yè)有效應對影子API漏洞及API濫用等安全威脅。

馬俊強調：“安全防護與攻擊是貓鼠游戲的過程，安全防護的演進與攻擊者的能力、工具和技術的增長密切相關。通過Akamai的平臺能力和數據，我們觀察到許多新出現的安全威脅和場景，因此可以針對性地制定安全策略，幫助客戶有效利用Akamai的產品，解決實際問題?！保ü啵?/p>

生成海報