安全牛：API安全技術(shù)應(yīng)用指南（2024版）

本報告為北京谷安天下科技有限公司（以下簡稱“本公司”）旗下媒體平臺有文字、圖片、表格均受有關(guān)商標(biāo)和著作權(quán)的法律保護(hù)，部分文字和數(shù)據(jù)采集于所有。未經(jīng)本公司書面許可，任何組織和個人不得以任何形式復(fù)制或傳遞本報告的本報告內(nèi)容作為訴訟、仲裁、傳媒所引用之證明或依據(jù)，不得用于營利或用于未經(jīng)允許的經(jīng)授權(quán)使用本報告的相關(guān)商業(yè)行為都將違反《中華人民共和國著作權(quán)法的規(guī)定。未經(jīng)授權(quán)或違法使用本報告內(nèi)容者應(yīng)承擔(dān)其行為引起的一切后果及法律責(zé)任，本公司將保留追究本報告僅供本公司的客戶使用。本公司不會因接收人收到本報告而視其為本公司的當(dāng)然客戶。任何非本公司發(fā)布的有關(guān)本報告的摘要或節(jié)選都不代表本報告正式完整的觀點(diǎn)，一切須以本公司發(fā)布的本報告完整本報告中的行業(yè)數(shù)據(jù)主要為分析師市場調(diào)研、行業(yè)訪談及其他研究方法估算得來，僅供參考。因調(diào)研方法及樣本、調(diào)查資料收集范圍等的限制，本報告中的數(shù)據(jù)僅服務(wù)于當(dāng)前報告。的研究方法，使用合法合規(guī)的信息，獨(dú)立、客觀地出具本報告，但不保證數(shù)據(jù)的準(zhǔn)確性在任何情況下，本報告中的信息或所表述的意見并不構(gòu)成對任何人的行為建議，也沒有考慮到個別客戶特殊的目的或需求?？蛻魬?yīng)考慮本報告中的任何意見是否符合其特定狀況，若有必要應(yīng)何出現(xiàn)在本報告中的包括但不限于評論、預(yù)測、圖表、指標(biāo)、指標(biāo)、理論、陳述均為市場致的任何損失承擔(dān)任何責(zé)任，不對任何因本報告提供的資料不充分、不完整或未能提供特目錄 7 7 8 第三章應(yīng)用現(xiàn)狀及場景化分析 4.4年度代表性供應(yīng)商介紹 5.2API安全管控系統(tǒng)助力電信行業(yè)網(wǎng)絡(luò)防護(hù)的案例 5.4API安全監(jiān)測系統(tǒng)助力醫(yī)療企業(yè)數(shù)據(jù)安全防護(hù)的案例 6.4云計算和容器化技術(shù) 參考資料 API從系統(tǒng)內(nèi)部連接逐漸擴(kuò)展到系統(tǒng)外部，并在整個互聯(lián)網(wǎng)范圍內(nèi)連接起相互獨(dú)立的各個業(yè)務(wù)節(jié)點(diǎn)，人與服務(wù)、服務(wù)與服務(wù)、系統(tǒng)與服務(wù)之間的信息交換都在API的基礎(chǔ)然而，API自身的安全性，如不安全的協(xié)議框架、開發(fā)缺陷和漏洞，不僅給應(yīng)用程序和Web應(yīng)用帶來被發(fā)現(xiàn)和利用。這些漏洞可能導(dǎo)致非法訪問、數(shù)據(jù)泄露、SQL注入和跨站腳本攻擊等一系列安全風(fēng)險，給API作為應(yīng)用軟件的重要組成部分，也是軟件安全、業(yè)務(wù)安全和數(shù)據(jù)安全的底層基石，是國家網(wǎng)絡(luò)安全和數(shù)字經(jīng)濟(jì)發(fā)展的重要前提。為保障國家數(shù)字經(jīng)濟(jì)的長效建設(shè)，行業(yè)監(jiān)管部門在貫徹網(wǎng)絡(luò)安全的基礎(chǔ)上進(jìn)一術(shù)標(biāo)準(zhǔn)》《數(shù)據(jù)安全技術(shù)數(shù)據(jù)接口安全風(fēng)險監(jiān)測方法》等等。這些規(guī)范分別從評估、審對該領(lǐng)域的年度代表性廠商進(jìn)行能力評估、方案推薦和落地應(yīng)用案例展示。為用戶選擇合適的產(chǎn).調(diào)研顯示，當(dāng)前企業(yè)對API漏洞利用、數(shù)據(jù)安全問題最為敏感。但，大多數(shù)用戶認(rèn)為API風(fēng)險對企.調(diào)研顯示，企業(yè)通常會遭受多種類型的API攻擊事件，而API的敏感數(shù)據(jù)、身份驗證是最容易遭受.調(diào)研發(fā)現(xiàn)，幾乎所有類型API安全產(chǎn)品都在API資產(chǎn)識別功能中提供了數(shù)據(jù)資產(chǎn)識別及數(shù)據(jù)分類標(biāo).調(diào)研顯示，在API安全建設(shè)中檢測、監(jiān)測和防護(hù)類產(chǎn)品均有涉及，并且半數(shù)以上企業(yè)采用了兩種以.API安全建設(shè)方面，調(diào)研顯示，大多數(shù)企業(yè)的API安全建設(shè)并未提到日程上，觀望者較多，整體預(yù).API作為一個新興賽道，廠商的參與度較高，這些能力提供者來源于多個傳統(tǒng)領(lǐng)域。其中，應(yīng)用安全和業(yè)務(wù)安全廠商占比最高（占比35%數(shù)據(jù)安全和網(wǎng)絡(luò)安全廠商次之（占比各18%同時，專注于該賽道的新興廠商也較多（占比約30%）。從提供的API安全方案類型看，主要有訪問控制網(wǎng)關(guān)類、風(fēng)險.從API安全技術(shù)成熟度演進(jìn)的視角來看，安全牛認(rèn)為零信任、人工智能、大數(shù)據(jù)，以及云計算四類提高系統(tǒng)兼容性和應(yīng)用軟件開發(fā)效率，具有很強(qiáng)的連接力，是代碼開發(fā)過程中不同功能模塊之間信息交換的重模塊化、面向?qū)ο蠛臀⒎?wù)等現(xiàn)代軟件開發(fā)模式的廣泛應(yīng)用，將人與服務(wù)、設(shè)備與服務(wù)、服務(wù)與服務(wù)之間的信息交互都加載到了API接口上。API成為現(xiàn)代應(yīng)用軟件構(gòu)建的關(guān)鍵方法。隨著互聯(lián)網(wǎng)、物聯(lián)網(wǎng)網(wǎng)的發(fā)展，API的應(yīng)用場景從本地擴(kuò)展到WEB應(yīng)用、移動應(yīng)用、云原生及AI等更廣泛的應(yīng)用方法也從進(jìn)程內(nèi)部調(diào)用逐漸擴(kuò)展到遠(yuǎn)程調(diào)用。在SaaS化和云服務(wù)市場進(jìn)一步推進(jìn)下，遠(yuǎn)程訪問、遠(yuǎn)程辦公和云服務(wù)常態(tài)化，API的應(yīng)用持續(xù)外化。大量商業(yè)化的容器、微服務(wù)開始出現(xiàn)，開發(fā)者基于API構(gòu)建應(yīng)用、開然而，API自身的安全缺陷，不安全的協(xié)議框架，開發(fā)缺陷和漏洞，都隨著服務(wù)的廣泛調(diào)用一覽無余地暴露到了互聯(lián)網(wǎng)，這不僅使應(yīng)用程序和Web應(yīng)用面臨嚴(yán)重的安全威脅，了業(yè)務(wù)系統(tǒng)和數(shù)據(jù)的暴露面，為非法分子提供了可乘之機(jī)。給企業(yè)網(wǎng)絡(luò)和業(yè)務(wù)系統(tǒng)安全埋入了不同程度的安全77早期API安全主要側(cè)重于開發(fā)階段API的安全性，典型方式是寫入技術(shù)標(biāo)準(zhǔn)中的操作規(guī)范，如OPENAPI。它通過一致性的API描述來提高API可用性，同時也提出一些規(guī)范性的遵循措施來規(guī)避工程師經(jīng)驗缺少隨著全球的數(shù)字經(jīng)濟(jì)轉(zhuǎn)型，企業(yè)東西向、南北向的連接需求進(jìn)一步擴(kuò)大，API的暴露面、開發(fā)缺陷、漏洞API1:2019-失效的對象級別授權(quán)API1:2023-對象級授權(quán)失效API2:2019-失效的戶?份驗證API2:2023-?戶?份驗證失效API3:2019-過度的數(shù)據(jù)暴露API3:2023-對象屬性級授權(quán)失效API4:2019-資源缺失&速率限制API4:2023-資源消耗不受限制API5:2019-失效的功能級授權(quán)API5:2023-功能級別授權(quán)失效API6:2019-批量分配API7:2019-安全配置錯誤API7:2023-服務(wù)器端請求偽造（新）API8:2019-注?API8:2023-安全配置錯誤API9:2019-資產(chǎn)管理不當(dāng)API9:2023-庫存管理不當(dāng)API10:2019-?志和監(jiān)控不?用后會導(dǎo)致中間人劫持、API攻擊、惡意代碼入侵、隱私信息泄漏、遠(yuǎn)程代碼執(zhí)行（RCE）、勒索等嚴(yán)重的網(wǎng)88），?GraphQLAPI漏洞（2020-7API5-失效的功能級授權(quán)APIKEY泄露（2020-2API2-失效的用戶身份認(rèn)證），F(xiàn)acebookOAuth漏洞（2019-12API5-失效的功能授權(quán)）、Paypal委托授權(quán)漏洞今天所有應(yīng)用軟件、業(yè)務(wù)系統(tǒng)以及網(wǎng)絡(luò)基礎(chǔ)設(shè)施都是在A程辦公常態(tài)化，API又成為企業(yè)網(wǎng)絡(luò)、業(yè)務(wù)系統(tǒng)面向互聯(lián)網(wǎng)訪問的直接觸點(diǎn)。內(nèi)外部的API數(shù)量隨著企業(yè)業(yè)務(wù)為攻擊者進(jìn)一步橫向滲透提供了重要渠道。API天生的缺陷加上后天的暴露面，成為企業(yè)網(wǎng)絡(luò)和業(yè)務(wù)系統(tǒng)最薄據(jù)國家CNVD漏洞共享平臺分析：80%以上的漏洞都屬于可被利用來實施遠(yuǎn)程網(wǎng)絡(luò)攻擊的類型，而遠(yuǎn)程訪問攻擊大多都與API接口的身份驗證繞過、授權(quán)管問控制設(shè)備通常缺少針對API接口的安全策略，這使企業(yè)邊界防護(hù)常常失效，API成為不被企業(yè)保護(hù)的資產(chǎn)。為保障數(shù)據(jù)經(jīng)濟(jì)健康發(fā)展，國家發(fā)布了數(shù)據(jù)安全法和個人信息安全法，從數(shù)據(jù)全生命周期安全和個人隱私信息安全方面提出了嚴(yán)格的合規(guī)性要求。隨著數(shù)據(jù)要素和流轉(zhuǎn)政策進(jìn)一步開放，數(shù)據(jù)流轉(zhuǎn)管控也被提上一個新高度。特別是，國家“數(shù)據(jù)二十條”的發(fā)布，要求加強(qiáng)數(shù)據(jù)流轉(zhuǎn)過程中的數(shù)據(jù)要素治理。API作為數(shù)據(jù)共享和交換的重要載體，承載了大量的敏感數(shù)據(jù)和個人隱私信息，肩負(fù)了數(shù)據(jù)安全流轉(zhuǎn)的重任。API數(shù)據(jù)安全流通的這些遺忘的API缺少維護(hù)和更新，容易淪為黑客攻擊利用的工具。API資產(chǎn)管理的缺失與其內(nèi)生的脆弱性以及99數(shù)字化轉(zhuǎn)型中，API與互聯(lián)網(wǎng)應(yīng)用、移動應(yīng)用、物聯(lián)網(wǎng)應(yīng)用、云計算應(yīng)用息息相連，API安全是企業(yè)業(yè)務(wù)API風(fēng)險不僅直接關(guān)系到用戶數(shù)據(jù)、企業(yè)業(yè)務(wù)、應(yīng)用系統(tǒng)安全，還直接影響到國家數(shù)據(jù)安全，導(dǎo)致企業(yè)違法并被監(jiān)管部門處罰，因此迅速引起了社會各組織機(jī)構(gòu)的高度關(guān)注。目前，國內(nèi)外的企業(yè)，從應(yīng)用軟件開發(fā)商?Gartner認(rèn)為保護(hù)企業(yè)內(nèi)部和外部的API免受漏洞利用、濫用、訪問違規(guī)和拒絕服務(wù)（DoS）攻擊的安全牛認(rèn)為：API安全理念應(yīng)從API安全防護(hù)向API安全治理演進(jìn)，遵循應(yīng)用軟件安全管理原則，覆蓋API實施安全運(yùn)行策略，采取風(fēng)險監(jiān)測、防護(hù)、響應(yīng)等風(fēng)險閉環(huán)措施等等。其目標(biāo)是減少應(yīng)用系統(tǒng)構(gòu)建過程中形成?安全開發(fā)指在API開發(fā)階段，遵循安全開發(fā)規(guī)劃，對代碼進(jìn)行安全開發(fā)、安全測試、構(gòu)建，并進(jìn)行政策上，國內(nèi)外都很少針對API安全直接出臺政策和法規(guī)，法規(guī)中都有提到API的安全要求并監(jiān)管企業(yè)執(zhí)行和歐盟在API安全方面最有影響力的法規(guī)是GDPR和NIS指令。這兩部法規(guī)分別從個人數(shù)據(jù)和隱私安全方GDPR是一項全面的數(shù)據(jù)保護(hù)和隱私法規(guī)，旨在加強(qiáng)整個歐盟/歐洲經(jīng)濟(jì)區(qū)的個人數(shù)據(jù)的保護(hù)對性的身份驗證、加密、監(jiān)控和事件響應(yīng)措施來確保企業(yè)的API安全。遵守NIS2涉及將這些此外，《修訂支付服務(wù)指令（PSD2）》等開放銀行法規(guī)也要求金融企業(yè)的API支持安全、標(biāo)準(zhǔn)化的數(shù)據(jù)美國API安全相關(guān)的政策，一方面是在發(fā)布時間這些法規(guī)和標(biāo)準(zhǔn)對醫(yī)療、金融等敏感行業(yè)的數(shù)據(jù)隱私安全提出了嚴(yán)格要求，而API作另一方面，體現(xiàn)于美國最近陸續(xù)發(fā)布的新政策中。在美國的新政策趨勢方面，2024年4月，美國眾議院強(qiáng)調(diào)以數(shù)據(jù)為中心的安全防護(hù)，通過零信任架構(gòu)和核心能力提高聯(lián)邦機(jī)構(gòu)系統(tǒng)的安全韌性。這些新政，分別從法規(guī)要求和技術(shù)指南方面加速完善美國國家層面敏感數(shù)據(jù)、隱私的安全要求和防護(hù)能力。API作為承載敏感數(shù)新法案增加了更多針對加州居民的隱私權(quán)利，并由加州隱私保護(hù)局負(fù)責(zé)實施和執(zhí)行。CPRA進(jìn)一步擴(kuò)展了消費(fèi)2024年4月，美國眾議院和參議院對《美國隱私權(quán)法案》草案進(jìn)行了討論并發(fā)布了該草案。旨在加強(qiáng)數(shù)《健康保險流通與責(zé)任法案》（HIPAA）是美國1996年發(fā)布的聯(lián)邦法），CloudSIG是該組織中專注于云計算領(lǐng)域的支付卡安全問題的特別小組，2018年4月該小組發(fā)布了與云環(huán)境?APls和其他公共接口的設(shè)計應(yīng)防止意外濫用和惡意繞過安全控制，彈性身份驗證和訪問控制、強(qiáng)加密審查?；蛘?，當(dāng)調(diào)用傳輸持卡人數(shù)據(jù)的web服務(wù)調(diào)用時，它應(yīng)該通過加密隧道（例如SOAP本機(jī)加?NISTSP800-53：是美國國家標(biāo)準(zhǔn)與技術(shù)研究院（NIST）發(fā)布的標(biāo)準(zhǔn)，為信息安全和風(fēng)險管理提供澳大利亞隨著政府服務(wù)的現(xiàn)代化，越來越多地依賴數(shù)字平臺和方法，但其解決方案的連接性、服務(wù)互操作性和數(shù)據(jù)安全性方面出現(xiàn)了新的挑戰(zhàn)。為了應(yīng)對數(shù)字化帶來的挑戰(zhàn)安全措施、傳輸安全、認(rèn)證與授權(quán)、受信任的數(shù)字身份框架、速率限制、錯誤處理、審計日志、輸入驗證、內(nèi)中國是典型的垂直立法的國家?！吨腥A人民共和國網(wǎng)絡(luò)安全法》作為我們國家網(wǎng)絡(luò)安全的基本法，從個人信息安全角度為API安全確立了基本目標(biāo)。細(xì)分領(lǐng)域，《中一項國家標(biāo)準(zhǔn)，旨在規(guī)范個人信息的處理活動，確保準(zhǔn)明確了API開發(fā)與個人信息安全的結(jié)合要求，包括嵌入第三方插件（SDK、API接口）、接入第三化部主管的標(biāo)準(zhǔn)，旨在規(guī)定電信網(wǎng)和互聯(lián)網(wǎng)應(yīng)用程序接口（API）的數(shù)據(jù)安全技術(shù)要求，并提供相應(yīng)征求意見稿，旨在為各類組織提供數(shù)據(jù)接口安全風(fēng)險監(jiān)測的指導(dǎo)。該標(biāo)準(zhǔn)詳細(xì)闡述了數(shù)據(jù)接口安全風(fēng)如圖4所示。API安全框架以安全運(yùn)期的風(fēng)險閉環(huán)管理。系統(tǒng)框圖對應(yīng)開發(fā)、部署和運(yùn)營三個階段的安全能力，涉及開發(fā)安全、訪問控制、風(fēng)險識其中，開發(fā)安全對應(yīng)開發(fā)階段的安全風(fēng)險；訪問控測、風(fēng)險防護(hù)、安全審計應(yīng)對API運(yùn)營階段的安全能力。以下從安全開發(fā)安全開發(fā)是保障開發(fā)階段安全的一個重要手段。API的安全安全部署是為保障API所提供服務(wù)的穩(wěn)定性和合規(guī)性，在API部署、發(fā)布、運(yùn)行維護(hù)過程中實施訪問控訪問審計、接口保護(hù)（限速、限流、防止惡意調(diào)用等）等。API上線后的配置管理是減少僵尸API、影子API還要包括承載API接口的應(yīng)用以及API?API風(fēng)險檢測和驗證風(fēng)險檢測指識別風(fēng)險并進(jìn)行告警，是API風(fēng)險分析可視化的重要前提。API風(fēng)險類型復(fù)雜，涉及API自身脆弱性和漏洞利用風(fēng)險、行為風(fēng)險、API數(shù)據(jù)風(fēng)險多個方面，需要不同的風(fēng)險檢測引擎。因此，風(fēng)險檢測層的工作通常是檢測到風(fēng)險后，向分析平臺告警。由分析平臺進(jìn)一步分并對風(fēng)險態(tài)勢進(jìn)行展示、管理和響應(yīng)。風(fēng)險分析通常需結(jié)合多方面的情報數(shù)據(jù)進(jìn)行關(guān)聯(lián)分析確認(rèn)風(fēng)險防護(hù)能力、數(shù)據(jù)防護(hù)能力、訪問控制防護(hù)能力等，對于確定的API漏洞要采取漏洞補(bǔ)丁或進(jìn)一步回歸到開發(fā)側(cè)進(jìn)行修復(fù)。為提高風(fēng)險管理和處置的效率，API風(fēng)險處置需要采用系統(tǒng)化、聯(lián)動防御方式，這包括API資產(chǎn)審查、訪問控制合規(guī)審計、API數(shù)據(jù)安全審計、風(fēng)險審計等多維度，涉及日志記錄、運(yùn)行系統(tǒng)、防護(hù)系統(tǒng)之間建立有效的問題反饋通道和協(xié)同機(jī)制，通過安全運(yùn)營能力分別類缺陷、攻擊風(fēng)險、漏洞缺陷，實現(xiàn)API安全持續(xù)運(yùn)營。如，將API擁有主-客體網(wǎng)絡(luò)訪問屬性，需要應(yīng)對各類訪問風(fēng)險，訪問控制是API的第一道安全網(wǎng)關(guān)，也是APIAPI訪問控制繼承了傳統(tǒng)3A、4A訪問控制的基本原則，告警的準(zhǔn)確度較高，可直接應(yīng)用阻斷、放行等處置策略。隨著零信任理念的廣泛應(yīng)用，API的訪問控制在規(guī)則策略的基本上也在進(jìn)一步融合環(huán)境分析和行為分自動化掃描技術(shù)在資產(chǎn)檢測和梳理方面都存在一定的局限性，導(dǎo)等，這會給后續(xù)的風(fēng)險處置造成更嚴(yán)重的錯誤判斷。因此，在資產(chǎn)識別過程中，經(jīng)常要結(jié)合人工判斷進(jìn)一步提在APPI全量識別基礎(chǔ)上，企業(yè)通常需要進(jìn)一步區(qū)分出需要重點(diǎn)管理的那些API資產(chǎn)，并按使用范圍標(biāo)識其屬于私有型API、公有型API、混合型API。數(shù)據(jù)資產(chǎn)方面，由于不同業(yè)務(wù)中數(shù)據(jù)的含義不同，數(shù)據(jù)標(biāo)識時需要遵從行業(yè)數(shù)據(jù)分類分級的標(biāo)準(zhǔn)和規(guī)范。同樣，對應(yīng)用分類標(biāo)識時也存在同樣的需求。這些管理要求對當(dāng)前自動化標(biāo)識技術(shù)是一個較大的挑戰(zhàn)，不能完全依賴自動化識別梳理的功能。這些都需要管理員在自動化識別的API風(fēng)險檢測和驗證技術(shù)是API風(fēng)險識別的重要手段。API風(fēng)險類型多樣，其中：API脆弱性風(fēng)險、網(wǎng)絡(luò)自開發(fā)過程中不規(guī)范的開發(fā)習(xí)慣，有的是部署過程中遺留的過期或影子API。這些接口都極易發(fā)生API漏洞利運(yùn)營階段的API漏洞檢測技術(shù)是一種被動掃描技征、數(shù)據(jù)流和響應(yīng)，尋找潛在的安全漏洞和問題。這種漏洞掃描技術(shù)不同于應(yīng)用漏洞和主機(jī)漏洞掃描，它將產(chǎn)DDoS攻擊等。需要結(jié)合基于規(guī)則和簽名的檢測，基于異常行為分析、行為特征分析、行為學(xué)習(xí)模型等攻擊檢異常訪問行為風(fēng)險是在信息系統(tǒng)中出現(xiàn)的不符合正常操作模式的行為，這些行為可能對數(shù)據(jù)安全和系統(tǒng)完整性構(gòu)成威脅。包括：非工作時間的訪問、頻繁或超出正常需求的訪問以及大量敏感信息數(shù)據(jù)的下載等。即使在建立了身份認(rèn)證、訪問授權(quán)和敏感數(shù)據(jù)保護(hù)機(jī)制的情況下，擁有權(quán)限的用戶仍可能進(jìn)行非法的數(shù)據(jù)查詢、修API接口涉及大量的用戶數(shù)據(jù)和敏感信息，API數(shù)據(jù)風(fēng)險包括：數(shù)據(jù)泄露和濫用、過度數(shù)據(jù)暴露、低頻數(shù)數(shù)據(jù)分類分級和涉敏數(shù)據(jù)標(biāo)識是API數(shù)風(fēng)險分析和可視化是執(zhí)行API風(fēng)險評估、細(xì)粒度風(fēng)風(fēng)險分析和可視化技術(shù)包括，包括：特征匹配、行為模型、關(guān)聯(lián)分析、智能圖譜、神經(jīng)網(wǎng)絡(luò)?行為模型：建立正常行為模型，檢測偏離正常行?神經(jīng)網(wǎng)絡(luò)：使用深度學(xué)習(xí)技術(shù)，自動識別和分類復(fù)雜為保障業(yè)務(wù)訪問和數(shù)據(jù)安全，API風(fēng)險防護(hù)應(yīng)遵循多維度、細(xì)粒度和縱深防御原則。其防護(hù)能力包括：數(shù)據(jù)防護(hù)、接口保護(hù)、訪問控制、網(wǎng)絡(luò)攻擊防護(hù)等等。由于防護(hù)能力的多樣化，防護(hù)執(zhí)行中往往還需要具備第三?數(shù)據(jù)防護(hù)：對敏感數(shù)據(jù)進(jìn)行加密和脫敏處理，確保采集、傳輸過程中數(shù)?接口保護(hù)：對接口執(zhí)行限速、限流、禁止調(diào)用等操作，防止接口被?訪問控制：對API接口實施細(xì)粒度的身份認(rèn)證、授權(quán)管理和會話管理，確保只有授權(quán)用戶和應(yīng)用可以API的風(fēng)險響應(yīng)是在API風(fēng)險事件發(fā)生后，為遏制威脅態(tài)勢進(jìn)一步蔓延，減少風(fēng)險影響的范圍和損失而采取的一系列的安全措施。包括：事件審計、風(fēng)險評估，通過風(fēng)險回歸流程和機(jī)制采取進(jìn)一步的漏洞加固、漏洞回歸、訪問控制和風(fēng)險防御策略，完善應(yīng)急響應(yīng)預(yù)案等等。這可以幫事前預(yù)防、事中應(yīng)對到事后改進(jìn)，持續(xù)提升API的安全性和韌性第三章應(yīng)用現(xiàn)狀及場景化分析為深入了解當(dāng)前國內(nèi)行業(yè)用戶的需求及應(yīng)用現(xiàn)狀，報告研究中基于谷安研究院的甲方客戶資源開展了應(yīng)用這也反映了，目前階段對軟件供應(yīng)鏈安全關(guān)注較高的企業(yè)主要集中在金融、制造業(yè)、互聯(lián)網(wǎng)、能源、政府不了解”和“非常了解”的比例都較低，分別為5.9%和3.9%。同時，“基本了解”企業(yè)API風(fēng)險的受訪者影響程度方面，調(diào)查數(shù)據(jù)顯示：90%以上的受訪者認(rèn)為API風(fēng)險對企業(yè)有影響，但其中，認(rèn)為風(fēng)險影響整體來看，在所有API風(fēng)險類型中，API引起的漏洞利用、數(shù)據(jù)安全問題對企業(yè)影響最為敏感，調(diào)研顯示，40%左右的調(diào)研者表示企業(yè)遭受過API攻擊。攻擊類型方面，敏感數(shù)據(jù)泄露和身份驗證繞過這說明，用戶對API的關(guān)注主要集中在應(yīng)用、WEB和安全開發(fā)場景中，新興領(lǐng)域的關(guān)注度相對較低。但調(diào)研顯示，71.7%的受訪者表示企業(yè)有實施API安全防護(hù)的計劃，驅(qū)動因素來源于多個方面。其中，這表明企業(yè)實施API安全建設(shè)的目的不僅僅API安全方案的調(diào)查結(jié)果顯示，選擇“與傳統(tǒng)防護(hù)能力融合型”和“在現(xiàn)有系統(tǒng)上升級”解決方案以這一數(shù)據(jù)表明，企業(yè)在API安全建設(shè)中這一數(shù)據(jù)顯示，API網(wǎng)關(guān)、API安全監(jiān)測平臺被認(rèn)為是最有效果的兩個產(chǎn)品類型，但應(yīng)用防護(hù)、審計、測其中，多因素認(rèn)證比例最高，達(dá)到54.7%；其次，令牌認(rèn)證、OAuth協(xié)議、證書也占據(jù)了較大的比例，調(diào)查顯示，認(rèn)為在應(yīng)用設(shè)計、開發(fā)階段采取相關(guān)措施更有效的比例最高，達(dá)到4調(diào)研中，超過50%的受訪者表示不了解或沒有相關(guān)建設(shè)計劃，并且30.2%的受訪者明確表示沒有計劃。而在有計劃的企業(yè)中，只能提供30萬以下建設(shè)支出的比例約24.0%，能提供30萬以上支出的比例為API安全是一個新興領(lǐng)域，用戶在方案選型和方案落地過程中難免會面臨各種挑戰(zhàn)。報告從方案、供應(yīng)商其中，認(rèn)為廠商方案不能與企業(yè)已有的安全建設(shè)有效融合，易導(dǎo)致重復(fù)建設(shè)的比例這表明，企業(yè)在尋找適合的方案和廠商過程中存在多方面的困難，而系統(tǒng)融合性、場景匹配性、風(fēng)險一體調(diào)查顯示，企業(yè)在API建設(shè)過程中還存在多技術(shù)方面，半數(shù)的受訪者認(rèn)為API資運(yùn)營方面，1/3左右的受訪者認(rèn)為API策略復(fù)雜，運(yùn)營難度較大，并且缺少專業(yè)的A的受訪者提到API業(yè)務(wù)變動頻繁，安全策略難以同步；還有17.0%的受訪者擔(dān)心API防護(hù)引入后對業(yè)務(wù)性能整體來看，在技術(shù)和運(yùn)維方面的問題較為明顯，特別是資產(chǎn)梳理和風(fēng)險評估。這可能導(dǎo)致安全策略的執(zhí)行API安全應(yīng)用非常廣泛，可以覆蓋網(wǎng)絡(luò)安全、應(yīng)用安全、業(yè)務(wù)安全、數(shù)據(jù)安全多個場景。報告選取了典隨著WEB服務(wù)的興起，互聯(lián)網(wǎng)企業(yè)都開始采用WEB頁面向用戶傳遞放的接口越來越多。WEBAPIs承接了WEB頁面所有的數(shù)據(jù)訪問。隨著WEB數(shù)據(jù)價隨著云服務(wù)的發(fā)展，微服務(wù)架構(gòu)成為當(dāng)前的主流開發(fā)模式。微服務(wù)在云環(huán)境中以服務(wù)實例方式獨(dú)維護(hù)，業(yè)務(wù)和服務(wù)、服務(wù)和服務(wù)之間通過網(wǎng)絡(luò)調(diào)用的方式進(jìn)行通信，調(diào)用雙方遵循“服務(wù)接口契約”，即我們微服務(wù)開發(fā)者面向不同的業(yè)務(wù)客戶提供共享服務(wù)，專注于特定的功能，并不考慮業(yè)務(wù)邏輯的特殊需求，服從調(diào)用者角度，任何一個微服務(wù)的工作模式、安全性都會影響整體的業(yè)務(wù)運(yùn)轉(zhuǎn)。在云開發(fā)環(huán)境下，對微服務(wù)進(jìn)行服務(wù)注冊發(fā)現(xiàn)、實施安全訪問策略、集中進(jìn)行風(fēng)險監(jiān)測和管控，可以簡化業(yè)務(wù)開發(fā)，提高業(yè)務(wù)開發(fā)的效API網(wǎng)關(guān)是微服務(wù)治理的代表性產(chǎn)品。作為微服務(wù)架構(gòu)中服務(wù)接入的統(tǒng)一入口點(diǎn)，API網(wǎng)關(guān)可以承擔(dān)攻擊防護(hù)、接入訪問、數(shù)據(jù)訪問等安全管理職能。通過集中管理的安全策略，能對服務(wù)并提出培育數(shù)據(jù)要素市場。為推動數(shù)據(jù)要素市場的建設(shè)和發(fā)展，國家在2021年發(fā)布《“十四五”數(shù)字經(jīng)濟(jì)發(fā)步發(fā)布《關(guān)于構(gòu)建數(shù)據(jù)基礎(chǔ)制度更好發(fā)揮數(shù)據(jù)要素作用的意見》也稱“數(shù)據(jù)二十條”，建立了數(shù)據(jù)要素的整體框架，涵蓋：數(shù)據(jù)產(chǎn)權(quán)制度、數(shù)據(jù)要素流通和交易制度、數(shù)據(jù)要素收益分配制度和數(shù)據(jù)要素治理制度四個構(gòu)建數(shù)據(jù)基礎(chǔ)制度的核心制度?？梢?，實施數(shù)據(jù)要素治理加強(qiáng)數(shù)據(jù)要素流通管控是加快數(shù)據(jù)要素市場化流通，推動技術(shù)上，數(shù)字身份、隱私計算、區(qū)塊鏈等在構(gòu)建可信數(shù)據(jù)流通架構(gòu)中都發(fā)揮了重要作用，提高了數(shù)據(jù)流通交易的安全性、穩(wěn)定性和便捷性。但API作為數(shù)據(jù)傳輸和共享的重要通道，API的暴露及其面臨的風(fēng)險直接影響到數(shù)據(jù)要素的流通和管理。傳統(tǒng)的安全能力不能有效覆蓋API安全管控可以從接口安全、數(shù)據(jù)安全、審計三個方面為數(shù)據(jù)要素流轉(zhuǎn)構(gòu)建API接口的防護(hù)面。一方面通過身份驗證、數(shù)據(jù)加密、訪問控制、實時監(jiān)控等手段，確保API接口的安全性和數(shù)據(jù)的在API安全管控過程中可以直接應(yīng)用數(shù)據(jù)脫敏和隱私保護(hù)等數(shù)據(jù)安的泄露；另外，API安全管控可以對API出入數(shù)據(jù)實施數(shù)據(jù)合規(guī)審計，有效預(yù)防數(shù)據(jù)流轉(zhuǎn)風(fēng)險，提高事件溯源API安全在數(shù)據(jù)要素治理中不僅可以保障數(shù)據(jù)要素流通，為數(shù)據(jù)要素市場健康發(fā)展提供支撐，也有助于進(jìn)隨著網(wǎng)絡(luò)經(jīng)濟(jì)的發(fā)展，業(yè)務(wù)風(fēng)險、支付交易安全成為現(xiàn)代電子商務(wù)和金融交易的關(guān)鍵問題。業(yè)務(wù)風(fēng)控能有效預(yù)防虛假賬號、盜用資金、營銷作弊、違約欺詐和身份偽冒等風(fēng)險，避免資金損失、用戶流失和商譽(yù)損害。API是業(yè)務(wù)交易過程中個人信息、敏感數(shù)據(jù)流轉(zhuǎn)的重要關(guān)口。API接口安全不僅關(guān)系到業(yè)務(wù)安全運(yùn)行，還直接影響到客戶隱私安全和企業(yè)數(shù)據(jù)安全合規(guī)問題。在業(yè)務(wù)風(fēng)險暴露面管理，在事前識別邏輯調(diào)用行為預(yù)防業(yè)務(wù)風(fēng)險，在事中對涉敏數(shù)據(jù)流轉(zhuǎn)實施管控和脫敏處理避免業(yè)務(wù)風(fēng)控應(yīng)用場景非常廣泛，不同場景的風(fēng)控模型不同。如在金融領(lǐng)域，風(fēng)控更多考慮用戶的信貸風(fēng)險和敏感數(shù)據(jù)；而在電商平臺，則可能更關(guān)注交易欺詐、惡意流量和賬號安全。這要求AAPI安全治理APIAPI風(fēng)險處置APIAPI風(fēng)險監(jiān)測APIAPI資產(chǎn)識別隨著數(shù)字化轉(zhuǎn)型的深入，企業(yè)不斷開放南北向接口和東西向接口以實現(xiàn)更豐富的業(yè)務(wù)連接能力。這些面向互聯(lián)網(wǎng)的南北向接口給企業(yè)制造了巨大的暴露面，成為攻擊隊選手的首要突破口；同時，企業(yè)內(nèi)部業(yè)務(wù)之間API安全通過流量分析的方式識別API資產(chǎn)和風(fēng)險，這可以實現(xiàn)企業(yè)南北向、東西向接口的統(tǒng)一管理。結(jié)安全方面提供更全面、更細(xì)致的攻擊面管理。在訪問流量串行的模式下，也可以進(jìn)API的安全能力在網(wǎng)絡(luò)安全方面能進(jìn)一步提升企業(yè)實施攻擊管理、零信任網(wǎng)絡(luò)訪問和攻防演練的有效性。由于API應(yīng)用的廣泛性、類型多樣化及防護(hù)技術(shù)的復(fù)據(jù)走訪調(diào)研，安全建設(shè)過程中，企業(yè)在技術(shù)、流程、安全運(yùn)營方面都存在諸多困難，其中的主要挑戰(zhàn)包括資產(chǎn)字資產(chǎn)。根據(jù)服務(wù)范圍，API又分為公有型API、私有型API及混合型API，加上云上云下混合部署方式，導(dǎo)另外，為了便于企業(yè)對API資產(chǎn)有重點(diǎn)的管理，API接口梳理過程中需要進(jìn)管理知識，并做好資產(chǎn)之間的關(guān)聯(lián)關(guān)系。盡管目前自動化的資產(chǎn)識別和關(guān)聯(lián)分析能力能提首先，API安全需要多樣化的風(fēng)險檢測手段。由于API部署的復(fù)雜性，API面臨的風(fēng)險也更復(fù)雜。涉及接口自身的漏洞利用、內(nèi)部員工濫用權(quán)限、外部攻擊和異常訪問以及敏感數(shù)據(jù)流轉(zhuǎn)風(fēng)險。滿足這些檢測需求需要其次，API風(fēng)險無論是漏洞還是攻擊都非常依賴流量采集和行為分析。流量采集的全面性、流量中的噪聲會嚴(yán)重影響風(fēng)險檢測水平；特別地，API在負(fù)載狀態(tài)下，尤其是在大流量環(huán)境中，流量解析、API的并發(fā)處理都需要更高效的數(shù)據(jù)處理和分析算法；檢測策略方面，行為規(guī)則的細(xì)度、行為模型的訓(xùn)練精度都會有一定的漏API風(fēng)險檢測的準(zhǔn)確性導(dǎo)致風(fēng)險防護(hù)不能完全自動化，即使相對確鑿的風(fēng)險，很多時候也會由于防護(hù)手段缺失無法實施有效防護(hù)。比如，旁路部署的流量探針在阻斷時往往有一定的失誤率，并首先，涉敏數(shù)據(jù)包括與個人相關(guān)的敏感數(shù)據(jù)和行業(yè)相關(guān)的密級數(shù)據(jù)。涉敏數(shù)據(jù)識別需要遵循個人信息保護(hù)法、數(shù)據(jù)安全法及行業(yè)數(shù)據(jù)分類分級標(biāo)準(zhǔn)和規(guī)范，結(jié)合業(yè)務(wù)需求因地制宜的配置涉敏標(biāo)識規(guī)則。涉敏數(shù)據(jù)標(biāo)識API風(fēng)險檢測和防護(hù)技術(shù)方面的短板，導(dǎo)致API安全用和業(yè)務(wù)、API協(xié)議、數(shù)據(jù)安全知識都相對全面的安全人才。這導(dǎo)致盡管許多企業(yè)意識到API安全在安全運(yùn)營API是隨著網(wǎng)絡(luò)安全建設(shè)不斷完善和攻防對抗技術(shù)的進(jìn)一步增強(qiáng)，逐步暴露出來的一個新安全建設(shè)盲區(qū)。絕大多數(shù)企業(yè)對API安全建設(shè)都缺少經(jīng)驗。結(jié)合安全牛的API安全治理框架，報告提出了API安全建設(shè)的4《OWASP安全編碼規(guī)范快速參考指南》該指南提供了更詳細(xì)的編碼安全實踐，幫助開發(fā)人員在軟件開發(fā)首先，API的風(fēng)險是多方面的，不僅有API自身的定防護(hù)API風(fēng)險時需要一個全面的、多層次的防護(hù)處置策略，不能僅依賴單一的安全措施。具體來說，API的安全防護(hù)應(yīng)納入整個網(wǎng)絡(luò)安全的縱深防護(hù)體系中，從網(wǎng)絡(luò)訪問、應(yīng)用防護(hù)、接口防護(hù)、數(shù)據(jù)防護(hù)多個層面構(gòu)建保障防護(hù)能力的有效性和持續(xù)性。同時，在IPDR中結(jié)合零信任的理念，運(yùn)用權(quán)限最小化、動態(tài)訪問等技術(shù)建API風(fēng)險防護(hù)的滯后性決定API安全需要從全生命周期著手，在事前引入更多安全考量，而不是在事后尋找補(bǔ)救措施。因此，API安全要堅持左移以及由被動防御變主動防御的原則，將安全措施前置。以下是實施最后，做好API安全審計，增強(qiáng)事前預(yù)防和事后溯源的能力。包括：API訪問合規(guī)策略審計、數(shù)據(jù)安全合發(fā)現(xiàn)潛在的安全問題，提前采取預(yù)防措施增強(qiáng)系統(tǒng)韌性，使企業(yè)安全防御由被動變主動。從行業(yè)監(jiān)管角度，也API的資產(chǎn)類型和風(fēng)險特征復(fù)雜，僅靠上線時配置的安全策略無法滿足資產(chǎn)識別和風(fēng)險檢測的準(zhǔn)確度。需要通過運(yùn)維確認(rèn)并校對系統(tǒng)自動識別出來的API資產(chǎn)的準(zhǔn)確進(jìn)風(fēng)險算法和模型提高檢測的準(zhǔn)確性，甚至要結(jié)合風(fēng)險類型修改響應(yīng)處置方式。最終形成一套與業(yè)務(wù)場景吻合風(fēng)險處置的實時性。這也要求運(yùn)營人員的安全知識和業(yè)務(wù)知識都要全面。企業(yè)需要加強(qiáng)安全運(yùn)營與業(yè)務(wù)部門合業(yè)務(wù)特點(diǎn)選擇適合的方案。為方便識別廠商能力和方案特點(diǎn)，報告將本次調(diào)研過程中的方案分為訪問控制網(wǎng)關(guān)數(shù)據(jù)流轉(zhuǎn)管控類數(shù)據(jù)流轉(zhuǎn)管控類訪問控制?關(guān)類（4）提供該類方案的代表性廠商有：美創(chuàng)科技、青笠科技、大拙信息、九州云騰。其中，青笠科技、大（1）相比訪問控制網(wǎng)關(guān)，該類產(chǎn)品更側(cè)重于網(wǎng)絡(luò)攻擊、漏洞利用、行為風(fēng)險和數(shù)據(jù)風(fēng)險的檢測，安全策（3）該方案與業(yè)務(wù)安全管理的耦合度較低，應(yīng)用相對廣泛，可用于支撐網(wǎng)絡(luò)安全防護(hù)，如攻防演練、攻（5）該類方案廠商多來自傳統(tǒng)的網(wǎng)絡(luò)安全能力提供商，代表性廠商有：綠盟科技、瑞數(shù)信息、奇安信、梆梆安全、安天、芯盾時代、長亭科技、迪普科技、安勝華信、喜數(shù)科技。其中，安勝華信、喜數(shù)科技是該領(lǐng)API數(shù)據(jù)安全流轉(zhuǎn)管控類方案主要關(guān)注API接口的數(shù)據(jù)安全流轉(zhuǎn)問題，提供數(shù)據(jù)加密、脫敏、訪問控制等4.4年度代表性供應(yīng)商介紹?廠商綜合能力參考：品牌影響、技術(shù)能力、產(chǎn)品化能力、方案能力和服務(wù)能力5個維度；廠商側(cè)調(diào)研顯示，API安全作為一個新興賽道，廠商參與度較高，來源于多個傳統(tǒng)領(lǐng)域。其中，以網(wǎng)絡(luò)安力為主的廠商6家（占比35%）。同時，專注于該賽道的新興廠商占比也較高（占比30%）?？梢?，API安全廠商來源于多個領(lǐng)域，以應(yīng)用安全和業(yè)務(wù)安全廠商為主，數(shù)據(jù)安全和網(wǎng)絡(luò)安全廠商為輔。同時，作為一個新根據(jù)API安全評估規(guī)則，報告最后篩選了10家國內(nèi)代表性廠商進(jìn)行了能力介紹數(shù)信息、奇安信、梆梆安全、綠盟科技、美創(chuàng)科技、閃捷信息、芯盾時代、安勝華信、喜數(shù)科技、安天。以下■企業(yè)介紹北京安勝華信科技有限公司（簡稱“安勝華信”）成立于201于為金融、能源、運(yùn)營商等關(guān)鍵基礎(chǔ)行業(yè)提供服務(wù)的數(shù)字安全廠商。公司核心研發(fā)能力源自業(yè)內(nèi)知名的“賽沃廣義身份識別、全應(yīng)用探針、數(shù)據(jù)高速分析處理等方面有多項專利技術(shù)。結(jié)合市場需求，API安全能力逐步與■方案說明?API數(shù)據(jù)安全包括API數(shù)據(jù)安全管控平臺、API應(yīng)用數(shù)據(jù)審計平臺和應(yīng)用數(shù)據(jù)動態(tài)脫敏網(wǎng)關(guān)。主要實?API業(yè)務(wù)安全包括一體化業(yè)務(wù)安全運(yùn)營平臺、API業(yè)務(wù)安全網(wǎng)關(guān)和應(yīng)用安全監(jiān)測平臺，可針對業(yè)務(wù)應(yīng)靈活配置各種安全場景防護(hù)策略，提供標(biāo)準(zhǔn)化的安全技術(shù)和服務(wù)能力?？赏瑫r滿足企業(yè)互聯(lián)網(wǎng)業(yè)務(wù)、企業(yè)內(nèi)網(wǎng)■綜合評價①憑借突出的創(chuàng)新能力，贏得了市場合作和②擁有健全的研發(fā)管理體系，團(tuán)隊有較強(qiáng)的技術(shù)創(chuàng)新和工③方案上，緊密圍繞業(yè)務(wù)和數(shù)據(jù)安全政策要求，深度挖■企業(yè)介紹安天科技集團(tuán)股份有限公司（簡稱“安天”）是引領(lǐng)國內(nèi)威脅檢測與防御能力研究一家網(wǎng)絡(luò)安全公司。通過20余年自主研發(fā)積累，安天形成了威脅檢測引擎、高級威脅對抗、大規(guī)模威脅自動化分析等多方面的技術(shù)領(lǐng)先優(yōu)勢。隨著威脅態(tài)勢的進(jìn)一步演變，2024年推出了安天API雷達(dá)風(fēng)險管理能力。公司總部位于哈爾濱，在全國范圍建有七地研發(fā)中心、九家控股子公司。目前，企業(yè)人員規(guī)?！龇桨刚f明有效發(fā)現(xiàn)手段、防護(hù)管控不知從何下手等新型業(yè)務(wù)下的各類痛點(diǎn)問題。相較于傳統(tǒng)的■綜合評價■企業(yè)介紹北京梆梆安全科技有限公司【簡稱“梆梆安全”】成立于2010年，是一家專注于移動、物聯(lián)網(wǎng)領(lǐng)域安全技術(shù)研究的網(wǎng)絡(luò)安全公司。在技術(shù)深耕的基礎(chǔ)上，公司建立了全面的移動應(yīng)用安全防護(hù)生態(tài)體系，并在業(yè)務(wù)上形成了以移動安全為主體，聯(lián)動安全服務(wù)和物聯(lián)網(wǎng)安全的“一體兩翼”業(yè)務(wù)體系，以及由技術(shù)、產(chǎn)品、解決方案和咨詢服務(wù)構(gòu)成了“四位一體”產(chǎn)研體系。在API安全■方案說明端到端&全渠道移動應(yīng)用安全防護(hù)方案核心思想是通過建設(shè)動靜結(jié)合，聯(lián)動不同渠道實時聯(lián)防聯(lián)控，實現(xiàn)前后端業(yè)務(wù)風(fēng)險的聯(lián)動機(jī)制保障業(yè)務(wù)安全運(yùn)行。該方案可以重點(diǎn)監(jiān)測人臉繞過、數(shù)據(jù)泄露、渠道洗錢、盜版仿冒、業(yè)務(wù)欺詐等黑灰產(chǎn)攻擊，并進(jìn)行此類安全事件處置、溯源，確保移動應(yīng)用安全、合規(guī)運(yùn)營。梆梆·API安全平臺是該方案的核心產(chǎn)品，它通過對API上線運(yùn)行后的數(shù)據(jù)流量進(jìn)行實時解析及檢測，識別API上線運(yùn)行后所面臨的各種安全風(fēng)險，并為企業(yè)建立一套完整的API安全防御管控檢測、敏感數(shù)據(jù)識別、脆弱性檢測、風(fēng)險防護(hù)管控等幾大核心模塊，應(yīng)對資產(chǎn)數(shù)據(jù)難治理、風(fēng)險行為難發(fā)現(xiàn)、■綜合評價①深耕于移動應(yīng)用安全，并憑借其卓越的技術(shù)實力和專業(yè)性，贏得了客戶的高②技術(shù)上，端-端分析能力與零信任理念結(jié)合，即建立了細(xì)粒度的API訪問控制能力，同時提升了API③方案方面，應(yīng)用類型適配性好且全面支持④服務(wù)方面，有較好的軟件維護(hù)能力，及全面的安服資質(zhì)、全國服務(wù)覆蓋能■企業(yè)介紹并能提供優(yōu)秀安全檢查和評估類產(chǎn)品及安全運(yùn)營服務(wù)的網(wǎng)絡(luò)安全廠商。景與創(chuàng)新技術(shù)方案，力求貼近各行業(yè)實際需求，有效應(yīng)對API帶來的安全挑戰(zhàn)。公司總部設(shè)在北京，2014年■方案說明綠盟科技參照國際通用NIST架構(gòu)，遵循識別、檢測、防護(hù)、響應(yīng)的防護(hù)原則，推出了一套API安全系統(tǒng)化解決方案，主要包括API安全運(yùn)營平臺、API漏洞掃描系統(tǒng)、API監(jiān)測與審計系統(tǒng)、API應(yīng)用防火墻4個核心產(chǎn)品。其中，API安全運(yùn)營平臺，提供統(tǒng)一可視化展示平臺，匯總各維度數(shù)據(jù)■綜合評價①高度注重產(chǎn)學(xué)研合作，積極促進(jìn)網(wǎng)絡(luò)安全前②技術(shù)方面，重視準(zhǔn)確度，在資產(chǎn)識別和風(fēng)險識別方面充分發(fā)揮了企業(yè)的技術(shù)基因優(yōu)勢，特別是漏洞挖③擁有多年垂直行業(yè)深耕細(xì)作的經(jīng)驗，在產(chǎn)品中重視行④服務(wù)方面，擁有非常高的全國服務(wù)覆蓋能力，以及專業(yè)的售后服務(wù)和專家團(tuán)隊，能為API安全落地提■企業(yè)介紹杭州美創(chuàng)科技股份有限公司（簡稱“美創(chuàng)科技”）成立于2005年，是國內(nèi)較早專注于數(shù)據(jù)安全技術(shù)研究基于韌性數(shù)據(jù)安全防護(hù)體系框架，重點(diǎn)布局了數(shù)據(jù)安全、運(yùn)行安全、安全運(yùn)維服務(wù)三大業(yè)務(wù)。為進(jìn)一步解決應(yīng)■方案說明代理技術(shù)，對通過API接口進(jìn)行數(shù)據(jù)流轉(zhuǎn)的行為進(jìn)行安全監(jiān)測、安全訪問API接口數(shù)據(jù)自由、安全流轉(zhuǎn)的可信環(huán)境。核心功能包括：API資產(chǎn)全面識別、API訪問權(quán)限管控、接口二次■綜合評價①產(chǎn)學(xué)研參與度較高，憑借API安全領(lǐng)域深耕與實踐，積極推動應(yīng)用接口的標(biāo)準(zhǔn)化和創(chuàng)新應(yīng)用，多次獲③產(chǎn)品功能完善度和成熟度較高，注重友好性設(shè)計，場景應(yīng)用靈活，能全面支■企業(yè)介紹專注于Bots自動化攻擊防護(hù)領(lǐng)域的專業(yè)解決方案。公司聚焦新一代應(yīng)用安全與數(shù)據(jù)安全建設(shè)，提供全面覆蓋Web、APP、API的全渠道應(yīng)用安全、業(yè)務(wù)安全、數(shù)據(jù)安全及反勒索、數(shù)據(jù)恢復(fù)總部位于上海，分支機(jī)構(gòu)分布于全國20多個城市，成都、上海和北京分別設(shè)有研發(fā)中心和研發(fā)團(tuán)隊。目前擁■方案說明?事前掃描：事前采用API安全掃描器■綜合評價②技術(shù)上，創(chuàng)新能力表現(xiàn)優(yōu)秀，重視應(yīng)用自動化、自學(xué)習(xí)識別技術(shù)③產(chǎn)品方面，注重系統(tǒng)化、模塊化設(shè)計和行業(yè)特性化應(yīng)用，兼顧產(chǎn)⑤重視運(yùn)維服務(wù)和應(yīng)急響應(yīng)服務(wù)，并具備較■企業(yè)介紹奇安信科技集團(tuán)股份有限公司【簡稱“奇安信”】成立于2014年，是專注于網(wǎng)絡(luò)空間安全市場，一代企業(yè)級網(wǎng)絡(luò)安全產(chǎn)品和服務(wù)的供應(yīng)商，2020年登陸科創(chuàng)板上市。持續(xù)的創(chuàng)新研發(fā)和實戰(zhàn)攻防能力是奇安基于對網(wǎng)絡(luò)安全細(xì)分市場的研究，公司在2022年發(fā)布了API安全產(chǎn)品，并結(jié)合集團(tuán)全了檢測、分析到數(shù)據(jù)防護(hù)的全面API安全解決方案。目前，API產(chǎn)線由公司云和大數(shù)據(jù)安全事業(yè)部負(fù)責(zé)，BG■方案說明奇安信API安全衛(wèi)士是針對數(shù)字化轉(zhuǎn)型業(yè)務(wù)中有數(shù)據(jù)安全和API安全需求的產(chǎn)品與解決方案。該方案由API安全檢測系統(tǒng)、API安全（數(shù)據(jù)）防護(hù)系統(tǒng)、API安全分析與管理平臺形成一整套從發(fā)現(xiàn)、檢測、分析、防護(hù)的閉環(huán)解決方案。通過API資產(chǎn)管理、API風(fēng)險監(jiān)測、數(shù)據(jù)泄露分析、數(shù)據(jù)安全保護(hù)等技術(shù)幫助企業(yè)縮小■綜合評價③產(chǎn)品功能完善，風(fēng)險分析可視化、交互設(shè)計④有較強(qiáng)的應(yīng)急保障團(tuán)隊，支持云端+本地結(jié)合的安全運(yùn)營模式，并提供專業(yè)級的API安全衛(wèi)士報告分■企業(yè)介紹閃捷信息科技有限公司（Secsmart）成立于2015年，是歸國留學(xué)人員創(chuàng)辦的一家專注數(shù)據(jù)安全的高新技術(shù)企業(yè)。公司創(chuàng)新提出了“云·管·端”立體化動態(tài)數(shù)據(jù)安全理念，實現(xiàn)結(jié)構(gòu)化和非結(jié)構(gòu)化數(shù)據(jù)資產(chǎn)的全面管理與防護(hù)，構(gòu)建了覆蓋大數(shù)據(jù)安全、云數(shù)據(jù)安全、應(yīng)用數(shù)據(jù)安全、數(shù)據(jù)防泄漏、工業(yè)互聯(lián)網(wǎng)安全、數(shù)據(jù)管理和■方案說明現(xiàn)-治理-監(jiān)測-防護(hù)”的API數(shù)據(jù)安全治理讓用戶API資產(chǎn)清晰可查、API安全威脅可見、敏感數(shù)據(jù)流轉(zhuǎn)可溯。該方案可以幫助用戶構(gòu)建從事前■綜合評價①該廠商基于API安全持續(xù)深耕數(shù)據(jù)安全，積極參與行業(yè)的標(biāo)準(zhǔn)化工作，并有穩(wěn)定的客戶源和廣泛的客②技術(shù)上，有傳統(tǒng)數(shù)據(jù)訪問控制的優(yōu)勢，并應(yīng)用AI、大數(shù)據(jù)、自然語言學(xué)習(xí)技術(shù)持續(xù)創(chuàng)新，增強(qiáng)應(yīng)用數(shù)③產(chǎn)品方面，分別打造審計和訪問控制應(yīng)對不同場景需求④提供運(yùn)維和風(fēng)險評估服務(wù)，擁有較高的■企業(yè)介紹北京芯盾時代科技有限公司【簡稱“芯盾時代”】成立于2015年，是一家專注于零信任業(yè)務(wù)安全的網(wǎng)絡(luò)安全廠商。公司擁有“智能業(yè)務(wù)安全”和“零信任企業(yè)安全”兩大產(chǎn)品線，致力于為客戶提供覆蓋業(yè)務(wù)全生命周期的安全解決方案。圍繞業(yè)務(wù)安全，芯盾時代形成統(tǒng)一終端安全、智能決策大腦、零信任網(wǎng)絡(luò)訪問等多項核心技術(shù)。覆蓋移動辦公安全、全場景統(tǒng)一身份管理、網(wǎng)絡(luò)邊界安全防護(hù)、用戶行為風(fēng)險分析、金融賬戶及交易安全、交易/信貸/營銷風(fēng)控決策和反欺詐、移動APP安全等應(yīng)用場景。為進(jìn)一步提升企業(yè)業(yè)務(wù)的安全性，2020年開始，陸續(xù)推出API安全相關(guān)能力。芯盾時代總部位于北京，在全國十余地設(shè)有辦事處和分支機(jī)構(gòu)。■方案說明芯盾時代API安全監(jiān)測平臺包含API流量解析與管控、API資產(chǎn)發(fā)現(xiàn)與管理、API資產(chǎn)脆弱性分析、API理、訪問認(rèn)證、數(shù)據(jù)加密、安全防護(hù)、應(yīng)用審計等功能。特別是針對內(nèi)網(wǎng)API資產(chǎn)梳理、API接口漏洞檢測、API異常行為發(fā)現(xiàn)、API接口敏感數(shù)據(jù)泄露等問題，該平臺作為企業(yè)級API安全防護(hù)的基石，能夠幫助客戶提■綜合評價②技術(shù)上，不斷運(yùn)用新技術(shù)和理念，持續(xù)提升③方案上，遵循平臺化和功能模塊化設(shè)計原則，提供標(biāo)準(zhǔn)化接口和協(xié)■企業(yè)介紹上海喜數(shù)信息科技有限公司（簡稱“喜數(shù)信息”）成立于2018年，是上海一家專業(yè)從事A臺兩大核心產(chǎn)品，涵蓋從資產(chǎn)管理到實時防護(hù)的全方位服務(wù)。技術(shù)團(tuán)隊骨干來自亞馬遜、谷歌等知名企業(yè)，具備深厚的研發(fā)創(chuàng)新能力。公司總部位于上海，在南京、西安和廣州設(shè)有分支，現(xiàn)有員工人數(shù)超過50人，開發(fā)■方案說明能力于一體，可以提供API資產(chǎn)管理、■綜合評價隨著數(shù)字化轉(zhuǎn)型和大數(shù)據(jù)的重要性不斷提升，API在業(yè)務(wù)和數(shù)據(jù)架構(gòu)中的應(yīng)用變得越來越廣泛，推動了應(yīng)用服務(wù)化的顯著趨勢。在車聯(lián)網(wǎng)服務(wù)行業(yè)中，API負(fù)責(zé)應(yīng)用間的數(shù)據(jù)傳輸和控制，在應(yīng)用架構(gòu)中扮演著關(guān)鍵角色。特別是，交通服務(wù)行業(yè)，隨著國內(nèi)汽車市場的快速增長和交通事故的增加得到了迅速發(fā)展。交通服務(wù)公司以優(yōu)化車主對服務(wù)資源的配置。由于業(yè)務(wù)需求，需要與汽車制造商、保險公司、金融機(jī)構(gòu)的各種平臺對接，存在大量的數(shù)據(jù)共享和交換需求。在行業(yè)內(nèi)部，道路交通數(shù)據(jù)通過API規(guī)模大且涉及高度隱私。然而，由于合作單位的接口格式和加密方式缺乏統(tǒng)一標(biāo)準(zhǔn)，API的管理變得復(fù)雜且難以統(tǒng)一。為了更好地保護(hù)客戶和員工的個人信息安全，車聯(lián)網(wǎng)服務(wù)行業(yè)迫切需要建立一個覆業(yè)存在業(yè)務(wù)合作。該企業(yè)通過平臺以API接口的方式對接數(shù)百家業(yè)務(wù)信息、事件數(shù)據(jù)、訂單數(shù)據(jù)等多種類型。每年處理的案件數(shù)量接近千萬臺次，數(shù)據(jù)規(guī)模龐大且隱私性強(qiáng)，因此（1）API接口管理識別云上應(yīng)用提供的數(shù)據(jù)共享API，特別是長期未被訪問的僵尸API，并采取下線等（2）敏感數(shù)據(jù)審計對API接口中敏感數(shù)據(jù)進(jìn)（3）風(fēng)險審計和攻擊識別對訪問時間、接口地址、應(yīng)用地址、狀態(tài)碼API資產(chǎn)識別與梳理在確保系統(tǒng)安全和效率方面至關(guān)重要。然而，初級的API臺賬往往存在著大量的重復(fù)能是由于互聯(lián)網(wǎng)暴露面的掃描或者內(nèi)網(wǎng)掃描，屬于大量的無效API。為解決這一問題，案例采用了多級策略逐API作為數(shù)據(jù)流動、共享和分發(fā)的主要載體，其安全性尤為重要，尤其是API傳輸數(shù)據(jù)的風(fēng)險管理。綠盟科技憑借多年的數(shù)據(jù)安全積累和豐富的項目實戰(zhàn)經(jīng)驗，開發(fā)了一套高準(zhǔn)確度、廣泛覆蓋行業(yè)的數(shù)據(jù)分類分級模板。這套模板能夠精準(zhǔn)識別數(shù)據(jù)的類別和級別。為方便數(shù)據(jù)策略配置和管理，平臺系統(tǒng)內(nèi)置了個人隱私數(shù)據(jù)模補(bǔ)特征檢測的不足，異常行為分析成為關(guān)鍵手段。API監(jiān)測管理特別重視API異常行為識別的能力，并通過開創(chuàng)性的多維分析方法，顯著提升了異常行為識別的準(zhǔn)確度。這種多維分析方法包括數(shù)據(jù)維度、賬號維度、頻率該用戶業(yè)務(wù)系統(tǒng)部署在公有云的基礎(chǔ)設(shè)施上。方案在實施過程中，采用Agent引流公有云VPC內(nèi)流量到API安全監(jiān)測平臺，解決了公有云VPC內(nèi)流量不出VPC問題；策略上，依托事件分析引擎、上下文理解引擎方案內(nèi)置了個人隱私數(shù)據(jù)模板和分類分級模板，可在和頻率及時發(fā)現(xiàn)不尋常的流量波動和訪問行為，這些通常是潛在安全威脅的早期跡象。一旦檢測到異常，可以及時采取措施，如，限制訪問、發(fā)送安全警報或封鎖惡意流量，從而防止數(shù)據(jù)泄露或未授權(quán)訪問，實時監(jiān)控涉平臺對數(shù)據(jù)流轉(zhuǎn)過程中的安全性進(jìn)行實時可視化，使得客戶能夠直觀地了解數(shù)據(jù)在系統(tǒng)內(nèi)部及其與外部系統(tǒng)之間傳輸時的安全狀況。這種監(jiān)測不僅包括數(shù)據(jù)傳輸?shù)膶嵤┣闆r，還涉及對潛在的安全威脅和漏通過圖形化的界面，客戶可以清晰地看到哪些數(shù)據(jù)被安全地處理和傳輸，哪些部分存在風(fēng)險，從而及時采取措施進(jìn)行防護(hù)或修復(fù)。通過明確展示數(shù)據(jù)安全流轉(zhuǎn)的全過程，API安全監(jiān)測實現(xiàn)了數(shù)據(jù)保護(hù)的透明化，可增強(qiáng)客戶對數(shù)據(jù)保護(hù)措施的信心，也使得客戶在面對日益復(fù)雜的網(wǎng)絡(luò)安全威脅時，能夠更加有效地管理和保護(hù)其關(guān)鍵API監(jiān)測管理通過建立資產(chǎn)基線，發(fā)現(xiàn)影子API、僵尸API，形成完善的資產(chǎn)列表，幫助用戶識別內(nèi)外網(wǎng)測管理的資產(chǎn)識別和風(fēng)險檢測能力，使得用戶能夠基于這些信息制定和實施更為針對性的安全策略和措施，有他安全威脅，精確地識別和響應(yīng)安全事件，尤其是那些直接影響數(shù)據(jù)流、數(shù)據(jù)訪問和應(yīng)用程序功能的事件。通過集成API監(jiān)測管理能力，安全運(yùn)營團(tuán)隊不僅能夠【安全牛評】該方案通過探針的方式適配云原生環(huán)境全息API資產(chǎn)監(jiān)管的需求，重視運(yùn)用先進(jìn)的行為分析技術(shù)提升資產(chǎn)和風(fēng)險的識別精度應(yīng)對云環(huán)境的動態(tài)性和復(fù)雜性，并且緊密貼合行業(yè)數(shù)據(jù)治理的合規(guī)要求。方案從部署和檢測能力上都進(jìn)行了云化適配，體現(xiàn)了在云原生環(huán)境中應(yīng)用的專業(yè)性和先進(jìn)性。在不同行業(yè)的云原生安全中具有廣泛的適用性，可以為希望通過API治理、數(shù)據(jù)合規(guī)流轉(zhuǎn)5.2API安全管控系統(tǒng)助力電信行業(yè)網(wǎng)絡(luò)防護(hù)的案例數(shù)字化時代下，API作為連接各種應(yīng)用和系統(tǒng)間的橋梁，已經(jīng)成為企業(yè)實現(xiàn)業(yè)務(wù)上云、提高業(yè)務(wù)效率、拓導(dǎo)致重大的安全隱患和數(shù)據(jù)泄露風(fēng)險，對企業(yè)造成嚴(yán)重?fù)p失。為了應(yīng)對層出不窮的新型攻擊手段和各類安全挑南方某省移動運(yùn)營商作為中國移動的子公司，是本地通信行業(yè)的主導(dǎo)運(yùn)營商。該公司為客戶提供“全球第三方支付、微信小程序和公眾號等移動應(yīng)用，極大地便利了數(shù)據(jù)的流動與交互。然而，在實際應(yīng)用過程中，在業(yè)務(wù)系統(tǒng)中，新舊業(yè)務(wù)和架構(gòu)并存。同時，不同的業(yè)務(wù)系統(tǒng)分散在本地或云環(huán)境中不同的位置運(yùn)行，難通過API接口，數(shù)據(jù)信息在用戶與企業(yè)之間進(jìn)行流通API的開放使用模式使網(wǎng)絡(luò)邊界逐漸模糊，增加了風(fēng)險傳導(dǎo)路徑，擴(kuò)大了網(wǎng)絡(luò)攻擊面，API業(yè)務(wù)也逐漸淪檢測安全攻擊、識別請求中的敏感數(shù)據(jù)、監(jiān)測運(yùn)行狀態(tài)、審計訪問行為以及識別應(yīng)用缺陷等風(fēng)險管理能力。該根據(jù)運(yùn)營商的行業(yè)規(guī)范，系統(tǒng)內(nèi)置了電信行業(yè)數(shù)據(jù)分級模板。通過敏感數(shù)據(jù)自動分級、自定義敏感信息的在攻擊防護(hù)方面，采用了智能規(guī)則匹配及行為分析的智能威脅檢測引擎，持續(xù)監(jiān)控并分析流量行為，有效檢測威脅攻擊。同時，運(yùn)用語義分析和流量學(xué)習(xí)技術(shù)，精準(zhǔn)、快速識別各類漏洞利用、Bot攻擊行為，對API系統(tǒng)通過預(yù)置的20多種常用的業(yè)務(wù)威脅模型和違規(guī)記錄進(jìn)行訓(xùn)練，同時結(jié)合隨機(jī)采集的信息組合建模，采用機(jī)器學(xué)習(xí)和AI判斷算法，結(jié)合多種類的敏感數(shù)據(jù)識別策略，能夠全面覆蓋運(yùn)營商行業(yè)幾十種常見敏問控制和風(fēng)險防護(hù)能力結(jié)合、先進(jìn)的智能化防護(hù)技術(shù)應(yīng)用及行業(yè)特性的融合，充分體現(xiàn)了全方位、集中化、細(xì)近年來，隨著金融科技的快速發(fā)展，API已成為金融行業(yè)不可或缺的技術(shù)基礎(chǔ)設(shè)施。然而，API的廣泛應(yīng)用也帶來了新的安全挑戰(zhàn)。為了應(yīng)對這些挑戰(zhàn)，監(jiān)管機(jī)構(gòu)相繼出臺了一系列規(guī)范和要求，以加強(qiáng)金融行業(yè)API安全建設(shè)。特別是《關(guān)于金融行業(yè)標(biāo)準(zhǔn)加強(qiáng)商業(yè)銀行應(yīng)用程序接口安全管理的通知》和《關(guān)于系統(tǒng)查詢漏洞導(dǎo)還積極連接外部服務(wù)，將金融操作系統(tǒng)從內(nèi)部企業(yè)級向跨界生態(tài)級延伸。該機(jī)構(gòu)的業(yè)務(wù)系(1)監(jiān)管合規(guī)風(fēng)險：金融監(jiān)督管理總局定期掃描暴露在互聯(lián)網(wǎng)側(cè)的API接口，以發(fā)現(xiàn)潛在的安全風(fēng)險。該測、API行為審計的技術(shù)進(jìn)行檢測，生成API資產(chǎn)識別日志、API業(yè)務(wù)流量日志和AP(3)API安全分析與管理系統(tǒng)實現(xiàn)針對API安全檢測系統(tǒng)和API防護(hù)系統(tǒng)的集中管理能力。同時，采集API安全檢測系統(tǒng)上傳的API資產(chǎn)識別日志、API業(yè)務(wù)流量日志及API告警日方案采用了API資產(chǎn)識別、API資產(chǎn)打標(biāo)、API資產(chǎn)聚合、攻擊威脅檢測、敏感數(shù)據(jù)傳輸檢測、異常行為器云環(huán)境中的東西向流量，精準(zhǔn)識別潛在風(fēng)險和隱患；的方式實時推送至日志服務(wù)器和SOC運(yùn)營管理平臺，實現(xiàn)安全事件的集中管理和響應(yīng)；對于軟件自身缺陷，系統(tǒng)會立即發(fā)出警報，提醒用戶及時處置。這一功能可以有效防止敏感數(shù)據(jù)泄露的情況發(fā)生，為企業(yè)的數(shù)據(jù)安【安全牛點(diǎn)評】該方案通過可分布部署的組件為云計算系統(tǒng)構(gòu)建了一個API資產(chǎn)安全集中監(jiān)管的體系，同時遵循了安全一體化建設(shè)的思想，聯(lián)動云安全運(yùn)營平臺實現(xiàn)了集中的風(fēng)險防護(hù)和閉環(huán)產(chǎn)梳理及其活動狀態(tài)的管理，建設(shè)中不僅考慮了安全組件在云環(huán)境中的適配性，還充分運(yùn)用了云原生的資源優(yōu)5.4API安全監(jiān)測系統(tǒng)助力醫(yī)療企業(yè)數(shù)據(jù)安全防護(hù)的案例為應(yīng)對這一挑戰(zhàn)，國家出臺了《數(shù)據(jù)安全法》《個人信息保護(hù)法》等法律法規(guī)要求企業(yè)在數(shù)據(jù)處理活動中加強(qiáng)醫(yī)療行業(yè)是一個業(yè)務(wù)系統(tǒng)高度復(fù)雜的領(lǐng)域。某三甲醫(yī)院在智慧醫(yī)院的轉(zhuǎn)型過程中，醫(yī)院引入了大量的在線業(yè)務(wù)系統(tǒng)，如電子病歷、體檢系統(tǒng)、在線掛號、電子化平臺等。根據(jù)智慧醫(yī)院建設(shè)標(biāo)準(zhǔn)，這些系統(tǒng)需要實現(xiàn)互傳統(tǒng)數(shù)據(jù)中心的單點(diǎn)調(diào)用相比，東西向接口和南北向接口的開放也導(dǎo)致攻擊面進(jìn)一步擴(kuò)大。為保護(hù)患者隱私和（1）API資產(chǎn)梳理難醫(yī)院老舊醫(yī)療設(shè)備眾多，業(yè)務(wù)流量巨大，并且歷史系統(tǒng)缺乏管理、跨院區(qū)（2）漏洞風(fēng)險防護(hù)難API中存有大量的漏洞隱患，每個漏洞都有可能被黑客利用導(dǎo)致系統(tǒng)癱瘓，但醫(yī)院決方案。該方案依據(jù)《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》《個人信息保護(hù)法》《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》如下圖所示。方案運(yùn)用了大數(shù)據(jù)處理的系統(tǒng)架構(gòu)，保證其能擁有高性能別能力、高覆蓋度安全風(fēng)險識別能力，滿足醫(yī)院巨大業(yè)務(wù)流量環(huán)境下的數(shù)據(jù)安全風(fēng)險識別和威脅分析工作。該分析、定級，給出可行的漏洞修補(bǔ)方案，實現(xiàn)對漏洞的閉環(huán)管理。借助漏洞檢測功能，企業(yè)可以未雨綢繆，按模型識別賬號暴力破解、未授權(quán)訪問等風(fēng)險行為，通過機(jī)器學(xué)習(xí)技術(shù)對攻擊進(jìn)行建模、學(xué)習(xí)，持續(xù)擴(kuò)展對攻擊行為的檢測能力，智能識別更多種針對API的新型攻擊，精準(zhǔn)地發(fā)（4）敏感數(shù)據(jù)感知方面API安全平臺內(nèi)置敏感數(shù)據(jù)檢測引擎，覆蓋姓名、手機(jī)號、身份證、銀行卡號等敏感數(shù)據(jù)類型。安全人員可自定義敏感數(shù)據(jù)識別規(guī)則，實時洞察AP文中的敏感數(shù)據(jù)進(jìn)行脫敏處理。平臺支持對敏感事件的訪問取證，安全人員可對敏感數(shù)據(jù)進(jìn)行追蹤溯源，提升第一階段，通過基礎(chǔ)設(shè)施搭建和系統(tǒng)對接，構(gòu)建系統(tǒng)運(yùn)行環(huán)境并開展安全分析工作。在醫(yī)院工作人員配合芯盾時代派出安全分析專家和研發(fā)工程師對系統(tǒng)數(shù)據(jù)進(jìn)行分析，調(diào)整資產(chǎn)發(fā)現(xiàn)策略、異常行為分析模型、風(fēng)險在后期維護(hù)階段，按照合同約定，芯盾時代公司定期派安全專家和研發(fā)工程師為用戶進(jìn)行系統(tǒng)調(diào)優(yōu)、策略優(yōu)化、異常問題修復(fù)，并協(xié)助進(jìn)行威脅分析與安全監(jiān)測。對期間發(fā)現(xiàn)多起安全攻擊和數(shù)據(jù)泄露事件，進(jìn)行處置針對海量流量解析需求，通過自主研發(fā)的高性能網(wǎng)絡(luò)