為什麼 OWASP API 安全Top 10 對企業很重要

API 在當今的數字生態系統中無處不在，連線著不同的系統、應用程式和資料。它們實現無縫整合和資料交換的能力徹底改變了企業的運營方式。從啟用移動應用程式功能到促進雲服務和物聯網部署，API 在建立互聯、敏捷和響應迅速的業務環境方面發揮著重要作用。

隨著組織內 API 數量的增加，管理它們的複雜性也在增加。每個 API 都可能成為網路攻擊者的潛在切入點，在這種情況下，瞭解 API 的使用及其對業務和安全的影響不僅僅是一項技術要求，也是一項戰略性業務需求。

OWASP API 安全TOP 10 (2023 版)

2023 年釋出的 OWASP API 安全Top 10 名單是識別和減輕 API 緊迫安全風險的關鍵參考。

物件級別授權失效：此風險涉及如何控制使用者對物件的訪問的問題，可能導致未經授權的資料洩露或更改。

身份驗證失效：不正確實施的身份驗證機制可能允許攻擊者破壞令牌或利用缺陷來冒充其他使用者的身份。

物件屬性級別授權失效：此類別突出顯示物件屬性級別缺少授權或驗證不當，這可能導致未經授權的資訊洩露或操縱。

不受限制的資源消耗：這裡的重點是滿足 API 請求所需的資源。管理不善的資源分配可能導致拒絕服務或增加運營成本。

功能級別授權中斷：這涉及訪問控制策略中的缺陷，可能允許攻擊者訪問其他使用者的資源或管理功能。

不受限制地訪問敏感業務流：此風險指向透過 API 暴露業務流程，如果濫用，可能會在運營或財務上損害業務。

伺服器端請求偽造 (SSRF)：當 API 在未正確驗證使用者提供的 URI 的情況下提取遠端資源時，會發生此缺陷，這可能會導致意外和有害的請求。

安全配置錯誤：這包括 API 和支援系統中的各種潛在錯誤配置，這些錯誤配置可能會為各種型別的攻擊開啟大門。

存量資產管理不當：API 的正確檔案和庫存至關重要，因為它們暴露了大量的端點。管理不當可能會導致被利用已棄用的 API 版本等問題。

不安全地使用 API：此風險解決了在沒有足夠安全措施的情況下信任來自第三方 API 的資料的趨勢，使這些整合服務成為攻擊者的目標。

API 漏洞對業務的影響

OWASP API 安全Top 10中發現的漏洞不僅對企業的技術完整性構成風險，還對其運營、財務和聲譽方面構成威脅。這些漏洞對業務的影響是多方面的，包括：

• 直接經濟損失

• 業務中斷

• 損害客戶信任和資料隱私

• 聲譽受損

• 合規和監管風險增加

• 智慧財產權盜竊

API 已成為網路犯罪分子的首要目標之一，Salt Security 最近的一項調查顯示，94%的企業在去年的生產api中遇到了安全問題。

實施 OWASP 準則實踐

考慮到API的關鍵作用和威脅的演變性質，採用實踐來減輕OWASP API安全前10名中確定的漏洞至關重要：

定期進行安全審計和評估，以監控和評估 API 的漏洞。

強大的身份驗證和授權控制，以確保在每個級別(包括物件和功能級別)進行正確訪問。

資源和速率限制，以防止濫用和緩解拒絕服務攻擊。

持續監控和記錄，以及時檢測和響應安全事件。

對開發人員進行API安全實踐方面的教育和培訓。

API 清單的管理，用於識別和停用過時或不必要的 API。

API 安全閘道器和管理工具，用於提供額外的安全層，例如加密、威脅檢測和策略實施。

第三方 API 安全評估，以確保遵守安全標準並識別漏洞。

參讀連結：

https://www.tripwire.com/state-of-security/owasp-api-security-top-10-business-guide