1、背景介绍
随着数字化转型进程的推进，能源行业对外开放的API接口不断增多，一方面由于其互联网侧开放的应用服务类型不断增多，诸如APP、小程序等众多新型的业务发布模式也随之增加，这类业务模式都依赖大量的API接口来做支撑；另一方面企业内部的数字化建设也趋向于前后端分离，数据中台衔接的典型模式，这其中就包括大量数据获取、功能调用以及系统集成等典型接口类型的应用。总之，能源行业的API接口应用已经覆盖了移动端业务转型、第三方服务支撑、前后端数据分离等各类业务场景。
从安全的角度来看，API接口的广泛开放也导致用户面临的暴露面安全风险不断增加。作为外部客户端与内部服务端交互的主要通道，更多的API接口需要开放至互联网中，而近年来，由于接口权限控制不严、过期接口未下线等问题导致的失陷风险事件也越来越多，API安全已经成为企业安全建设当中不可忽视的重点之一。
API接口也是数据调用与传输的主要途径之一，由于第三方对接需要、业务变更、开发习惯等各种因素可能导致的数据安全风险层出不穷，典型的风险点包括数据过度暴露、敏感数据泄露等类型，容易导致关键数据被非法爬取、业务接口资源被违规占用等安全问题。因此，API安全也是数据安全治理当中的重要一环。
2、客户需求分析
对于能源行业用户而言，API安全的重要性不言而喻，但API的安全管理又存在较大的技术挑战，信息安全管理部门必须借助一定的技术手段来同研发部门协同工作，以此来保证API的安全应用，因此普遍存在以下痛点需求：
1）理清接口清单明细，消除潜藏隐患
API接口的管理是安全部门面临的首要难题。首先，安全视角下的API接口数量与开发视角不同，同一个业务接口，在不同的客户端调用下可能会采用不同的URL路径，因此从安全视角来看，每条路径都是可能被入侵的风险点，需要同步关注；其次，随着时间的推移，系统功能、开发人员都可能发生变更，这就可能导致大量过期的API接口无人监管，“带病”暴露在互联网当中，遗留较大的安全隐患。因此，理清API接口明细，准确掌握接口暴露情况，可以帮助管理人员及时发现潜藏的安全隐患；
2）识别接口异常活动，及时处置威胁
如何快速发现异常活动的API接口是安全管理的难点之一。API接口的主要用途是对外提供服务或数据支撑，但由于业务场景的变化、调用需求的多样性等原因，访问源以及客户端是否安全可信无法得到绝对的保证，因此对于安全管理人员而言，如何快速发现接口异常活动，及时预警接口违规暴露、调用频率异常、调用范围异常等风险，是保证API接口安全的关键；
3）识别数据调用行为，避免泄露风险
API接口还是影响数据安全的关键要素之一。API接口通常涉及大量数据调用与传输活动，包括参数传输、信息提交或内容获取等场景，这其中就包含大量的身份证、手机号、邮箱等个人隐私信息，营业执照、组织机构代码等企业敏感信息，以及账号密码等系统敏感信息，如果违规使用或接口权限设置不严格，则很容易造成数据过度暴露等风险，从而被恶意爬取下载，造成泄露风险。因此如何合理限制数据可用范围、规范接口调用权限，是保证API接口数据安全的关键。
3、解决方案
结合API安全当前面临的典型问题，单纯做业务系统的接口清单梳理或依赖单一的安全防护手段均难以切实解决接口安全的问题，为了实现安全闭环，需要遵循资产安全治理的思路，从“摸清家底”出发，覆盖API学习、API画像、攻击防护、权限保护、API审计和应急响应等各个阶段，以此来提供全面完整的API安全治理方案。
盛邦安全提出的面向能源行业业务风险防控的API安全治理方案依托于API安全防护系统，以业务风险识别与防护控制为核心目标，通过对业务流量的识别分析来梳理API接口，在此基础上通过数据建模、行为建模和算法分析等技术，实现API接口识别与梳理、数据调用识别与保护、接口访问安全控制及审计等安全能力，从而实现面向API接口全生命周期的安全监测与治理效果。

1、 技术架构 面向能源行业业务风险防控的API安全治理方案包含几大核心能力：接口自动化梳理画像、接口攻击检测与防护、接口权限分析与保护、数据调用监测与保护、接口脆弱性风险检查、接口应急处置与响应、态势分析与安全审计。
2、功能亮点
1）接口自动化梳理画像 API安全防护系统可以通过流量学习的方式来自动学习和梳理网络中存在的API接口，并对其开放程度、作用范围、功能属性、访问源、访问账号、调用状态和敏感数据的关联情况等进行详细的画像分析，识别未知API、僵尸API、过时API与涉敏API等问题，同时还可以结合实际的业务场景对接口进行标记、归并、分组和手动导入等管理操作。
2）接口攻击检测与防护 API安全防护系统可以采用规则匹配、语义分析和AI检测三种方式来对各类攻击威胁进行分析识别，并能够自定义正则表达式检测规则来灵活增加检测能力，可以有效应对各种已知攻击、未知威胁和潜伏威胁，从关口环节建立防护屏障。
3）接口权限分析与保护 在鉴权加固保护层面，API安全防护系统还可以结合智能限速、白名单、弱口令检查、校验码及动态令牌等多种手段，对接口滥用、接口盗用、暴力破解及机器人攻击等安全风险进行检测与防护。
4）数据调用监测与保护 一方面，系统内置敏感信息库，可以覆盖常见的个人隐私、组织隐私类敏感信息，并支持自定义添加能力，可以根据实际业务场景补充敏感信息类型。 另一方面，基于对接口调用数据的识别与监控，系统还可以设定相应的统计分析策略，对数据异常调用、数据过度暴露和敏感数据泄露等风险事件进行及时把控。
5）接口脆弱性风险检查 针对API接口的安全测试与脆弱性风险检查，能够更加合理的制定接口安全防护策略。API安全防护系统集成了灵活的接口测试工具，可以模拟不同的访问场景来定义请求方法与参数等内容，实现对接口的安全性测试。此外，系统还内置弱点风险检查模块，可以覆盖OWASP API安全 TOP10风险进行主动扫描。
6）安全审计与风险分析
API安全防护系统支持便捷的日志分析模块、智能的风险分析模型及直观的态势监控中心，可以针对不同的管理需要提供相应的操作入口，满足不同颗粒度的审计与管理需求。系统还提供了各种主题的态势监控模块，能够满足不同场景下的审计需要。
· 敏感数据流转监控
· 数据跨境风险监控
· 接口全局态势监控
7）接口应急处置与响应
除基于策略的自动拦截之外，API安全防护系统还提供了多种敏捷的处置手段，包括一键下线、访问控制与黑白名单管控，能够根据不同的紧急程度提供相应颗粒度的处置效果，避免或控制风险影响的扩大。
3、优势特点
1）主被动结合的API学习引擎
方案采用被动学习为主，主动画像为辅相结合的API学习引擎，可以全面梳理用户业务中存在的API资产，识别在线活跃与离线静默的API接口，在此基础上结合流量特征进行语义提取，识别API状态、用途等属性，从而实现标签化的画像管理，自动梳理出正常API、影子API与问题API等并进行跟踪监控。
2）启发式攻击检测与防护引擎
方案采用特征识别、语义分析与AI训练三合一的启发式检测引擎，可以利用已知的算法规则来简化判断逻辑，并对引擎持续训练优化，一方面不断提升攻击检测的准确性，另一方面强化对未知威胁的发现能力。
3）面向业务的API数据调用管控
方案通过丰富的检查点和数据模型，能够结合业务特点来定义用户关注的各类敏感数据并进行识别、分类和统计，再结合擦除、替换和访问限制等手段来达到脱敏保护等目的。
4）面向API生命周期的安全审计
方案基于时间、空间、业务属性和数据类型等多种维度对API资产进行持续监控，对API上线状态、访问态势、调用合法性、数据安全性以及威胁风险进行综合研判，实现对API资产的细粒度审计和可视化分析。

1、重保期间接口攻击防护场景
能源行业属于关键信息基础设施重点行业，在重保期间，针对接口的安全检查与攻击防范是重点专项，因此既需要能够详细记录详细攻击信息，还需要具备攻击画像与线索追溯能力，同时需要主动的接口探查与自测能力。
本方案针对该场景可以提供如下安全能力：
1）接口主动测试自查：提供主动的接口试探能力，协助用户进行接口测试自查工作；
2）接口攻击监测防护：提供针对接口注入、跨站脚本、逻辑漏洞、非法爬虫、恶意扫描等攻击监测防护能力；
3）攻击画像与线索追溯：提供攻击者的多维画像分析与轨迹追溯能力。
2、接口暴露面收敛与监测场景
能源行业面临数字化转型的历史契机，在快速发展的过程中不可避免的需要对外开放大量信息发布、功能调用或数据调取类API接口，导致互联网暴露面风险不断增加，尤其是部分新型业务上线紧急，开发期间的安全性未做充分考虑和开展，因此在日常运营当中，客户需要重点关注业务自身的暴露面风险，以及因业务特殊性所引发的数据过度暴露隐患。
本方案针对该场景可以提供如下安全能力：
1）接口弱点探测：针对接口及相关系统做周期性的主动扫描，持续监测弱点并及时预警；
2）隐私信息监测：针对响应的数据做敏感数据识别，并统计调用次数和调用数量，配合限制；
3）接口攻击防护：针对接口爬虫、越权、注入等攻击做检测及旁路阻断拦截，提升防护。
3、数据流转安全合规监控场景
能源行业对外开放的数据接口、以及内部的数据中台当中会涉及大量用户隐私数据、企业敏感数据和生产敏感数据，无论是内部流转或外部流转当中，都需要关注调用权限的合规型以及数据发布的安全性，而现有管理体系无法有效覆盖数据流转安全性，且缺乏技术手段，因此需重点关注对核心数据调用的合规监控。
本方案针对该场景可以提供如下安全能力：
1）数据调用监控：谁（账号识别）何时何地（位置）通过哪种方式（客户端、浏览器）访问了哪个系统（系统名、域名、IP地址）的什么业务（API接口），具体做了什么（数据调用）；
2）调用行为识别：通过事件记录来判断调用访问是否违规、业务是否正常、接口是否安全、数据有无泄露、有无跨境风险等；
3）数据流转接口防护：识别接口的基础上提供数据监控和保护，提供直接处置和协同处置的能力。