Obejmuje cykl życia API: wiedzę o tym, które interfejsy istnieją, definiowanie ich granic zaufania i schematów, uwierzytelnianie wywołujących, autoryzowanie każdej operacji i obiektu, walidowanie wiadomości, ograniczanie użycia zasobów, ochronę poświadczeń i transportu, monitorowanie zachowania oraz bezpieczne wycofywanie starych wersji.
API eksponują maszynowo czytelne możliwości biznesowe, więc technicznie ważne żądania nadal mogą być nadużyciem. Uwierzytelniony użytkownik może zażądać rekordu innego klienta, wyliczać identyfikatory, automatyzować kosztowny przepływ pracy lub dostarczyć dane, którym usługa downstream ufa niebezpiecznie. Skuteczna ochrona łączy zatem kontrole bramy i brzegu z autoryzacją i regułami biznesowymi zaimplementowanymi w aplikacji.
Najważniejsze punkty
Utrzymuj inwentarzRejestruj właścicieli, wersje, środowiska, schematy, klasyfikacje danych, zależności, ekspozycję i status wycofania, w tym nieudokumentowane lub zapomniane API.
Wymuszaj tożsamość i autoryzacjęWaliduj tokeny i odbiorców, używaj odpowiedniego uwierzytelniania klientów oraz sprawdzaj uprawnienia na poziomie obiektu, właściwości i funkcji przy każdym żądaniu.
Ograniczaj wejście i konsumpcjęWaliduj strukturę i treść, ograniczaj rozmiar żądań i kosztowne operacje, kontroluj paginację i współbieżność oraz zwracaj tylko niezbędne dane.
Eksploatuj bezpiecznieChroń klucze i tokeny, szyfruj transport, loguj zdarzenia istotne dla bezpieczeństwa bez wycieku sekretów, testuj przypadki nadużyć i weryfikuj zachowanie API stron trzecich.
Istotne ograniczenieBrama API lub WAF może odrzucać wiele zniekształconych lub znanych złych żądań, ale zwykle nie może ustalić, czy ważnie wyglądająca akcja biznesowa jest autoryzowana, bezpieczna ani nie oszukańcza bez kontekstu aplikacji.