技术博客

API和零信任标志着充满希望的未来

2022-05-12阅读:37

众所周知,使用应用程序编程接口(API)来推动业务增长已成为企业数字化转型战略不可或缺的一部分。

众所周知,使用应用程序编程接口(API)来推动业务增长已成为企业数字化转型战略不可或缺的一部分。用户、机器人、应用程序和云服务利用外部和内部API(其中许多 API 在系统设计中实现了自动化)来快速访问数据并将其投入使用。无论API是在开放金融领域提供敏锐的、以选择为导向的用户体验,还是为旅游应用扩展产品价值,还是在各行各业使用大量后端数据执行无数企业任务,它们都将一个系统连接到另一个系统以创建新功能。这最终会加速创新并提高客户满意度。


但是,随着 API 提供的快速连接和数据共享,出现了漏洞(已知和未知),这些漏洞可能会暴露数据、破坏业务连续性并威胁公众信任。8月,由于API配置错误导致的Power Apps漏洞影响了美国主要企业以及一些州和大城市政府。许多大公司最近都面临着成功的API攻击。深入的2021年IBM Security X-Force云威胁态势报告发现,其团队分析的网络安全事件中有三分之二与API相关。


由于无情的全球网络攻击以及几乎所有东西(其中大部分是通过API)的广泛分发和连接,零信任架构(ZTA)已成为确保企业基础设施安全的重要模型。Gartner, Inc.最近不仅注意到ZTA在企业路线图上的突出地位,而且第14028号行政命令基本上授权ZTA用于政府的某些部分。基于API和ZTA的系统的联合可能最终被证明是决定性的,足以反击被网络空间肆无忌惮的黑客。


超越突破边界和被盗密钥

传统上,企业通过在其受信任的基础架构和应用程序周围建立外围环境来实现安全性。主要关注的问题是保护企业资产和网络免受非法外部访问。但是,这种方法使系统面临更大的攻击风险,因为共享信任区域的主机虽然表面上受到外部入侵者的保护,但彼此之间并没有得到充分的保护。伪装成内部用户的入侵者可以通过外围安全进入并在网络内部横向移动,使他们能够访问公司的内部资源并允许他们窃取信息。如今,随着越来越多的资源迁移到云中,越来越多的员工在家工作,边界不再是入侵的实际障碍。


现在,API 是进入系统的主要入口点,它们仍将是未来管理数据访问的关键组件。他们传统的保护机制也失败了。API 密钥可用于限制对给定 API 的访问。不幸的是,它们已经成为一个众所周知的漏洞,因为它们很容易被盗或分发,因此无法验证提供API密钥的调用方的真实身份。在细粒度上下文中验证 API 访问并确保正确 API 配置的强大方法对于企业安全至关重要。ZTA可以提供这种稳健性。


请务必考虑 ZTA 不是 IT 基础结构的独立体系结构。首先,这是一种心态,认为攻击者可以在网络内外找到。正因为如此,没有人——甚至机器人——是可以信任的。其次,ZTA是一系列最佳实践的集合,用于以细粒度的方式加强安全性,并保护组织成许多严格解释类别的公司资产。一个比喻是,设想的不是保护飞船及其内部可信赖居民的力场,而是迷宫般的环境中每个存在的强大个人力场。就企业而言,这是围绕复杂系统中的单个资产或敏感资源,即使它们彼此通信也是如此。


策略和网关是新的守门人

ZTA的口头禅是”永远不要相信任何人或任何事”。内部和外部实体是相同的,应按此处理。这意味着不应允许任何实体访问资源,除非并且直到根据公司策略验证并显示它是它所声称的人或内容。这适用于所有资源和通信,这些资源和通信应受明确定义的访问规则和治理的约束。应用程序和服务必须始终验证尝试访问资源的实体是否合法。


从根本上说,ZTA 在确定实体是否可以访问给定资源时提出了两个关键问题:


此演员是否可以从给定位置访问此记录,无论该位置位于何处?


是否允许此微服务从另一个微服务接收数据?


为了制定和管理这些决策的策略,ZTA有两种主要方法。首先,使用策略决策点 (PDP) 对策略进行建模和控制。第二,政策执行点(PEP)实施政策决策。对于利用大量 API 的企业来说,实现这一点的一种有用方法是通过 API 网关。如今,使用API网关加速ZTA工作的企业应该使用基于令牌的设计进行API访问和授权(例如,OAuth或OpenID Connect)。基于令牌的 API 访问和授权方法与 API 网关相结合,可以强制使用最小特权。该安全概念仅允许足够的访问权限来执行所需的工作,仅此而已。


利用 API、基于令牌的访问和授权以及 API 网关的 ZTA 可以通过分布式策略实施进行调整,以满足复杂的企业安全要求并扩展到未来。这适用于多云、本地和异地分布式部署,随着企业在国内和全球的发展,这些部署越来越普遍。


参考:forbes

下载中心

姓名

电话

邮箱

职位

所属行业

所在公司

提交成功