網(wǎng)絡(luò )安全、數據安全與業(yè)務(wù)安全的交匯點(diǎn),中國API安全市場(chǎng)洞察報告發(fā)布

IDC將API安全定義為專(zhuān)門(mén)為保護API通信免受誤用、濫用和漏洞利用而設計的解決方案，其所提供的功能包括API資產(chǎn)發(fā)現、驗證和執行，動(dòng)態(tài)和自適應的流量監測和模式分析、檢測和阻止威脅，例如惡意軟件、漏洞利用、代碼注入、機器人流量、DDoS攻擊、欺詐和濫用等。目前API安全多以API安全網(wǎng)關(guān)、API安全管理平臺等產(chǎn)品形式進(jìn)行交付。

IDC認為，API的安全防護市場(chǎng)在中國還處于初步發(fā)展階段，產(chǎn)品和技術(shù)能力還需進(jìn)一步加強。目前，國內眾多網(wǎng)絡(luò )安全廠(chǎng)商、數據安全廠(chǎng)商、云計算服務(wù)商、專(zhuān)業(yè)的API安全廠(chǎng)商紛紛布局API安全市場(chǎng)，且各個(gè)廠(chǎng)商結合自己的技術(shù)積累和行業(yè)優(yōu)勢推出了各具特色的產(chǎn)品和解決方案。

IDC結合當前中國API安全市場(chǎng)發(fā)展現狀及未來(lái)趨勢，為技術(shù)買(mǎi)家提供以下幾點(diǎn)建議：

●   DevSecOps幫助企業(yè)將安全融入到DevOps整體交付流程，從開(kāi)始階段就將安全列為優(yōu)先事項。完整的API安全防護解決方案應從API開(kāi)發(fā)和部署開(kāi)始，運用SAST、DAST等手段在開(kāi)發(fā)環(huán)節檢驗安全漏洞和錯誤配置的問(wèn)題，幫助用戶(hù)從根源上降低API安全風(fēng)險。

●   API資產(chǎn)的發(fā)現與管理是做好API安全的基礎，但僅靠安全團隊人工梳理很難全面獲取企業(yè)所有API資產(chǎn)信息及其應用狀態(tài)。一方面需要相關(guān)業(yè)務(wù)部門(mén)的協(xié)同支持；另一方面，需要通過(guò)自動(dòng)或半自動(dòng)化的工具全面檢測和識別企業(yè)網(wǎng)絡(luò )中的各類(lèi)API資產(chǎn)，并根據企業(yè)自有規則進(jìn)行精細化分類(lèi)管理。

●   API安全不僅需要關(guān)注API自身的暴露面和漏洞信息、API的訪(fǎng)問(wèn)權限精細化管理、日志監控缺失等問(wèn)題，還需要監測通過(guò)API流轉的數據是否存在違規調用、敏感數據泄露、數據篡改等數據安全問(wèn)題，企業(yè)應結合自身業(yè)務(wù)需求，合理規劃防護重點(diǎn)并選擇匹配的技術(shù)提供商。

●   對于業(yè)務(wù)部門(mén)來(lái)說(shuō)，為了防護API安全而顯著(zhù)影響業(yè)務(wù)系統的響應速度是不可接受的。因此，企業(yè)在進(jìn)行廠(chǎng)商能力評估時(shí)需要重點(diǎn)關(guān)注產(chǎn)品的性能表現，尤其是面向對通信速度有較高要求的業(yè)務(wù)系統提供API安全防護時(shí)，更要做好速度、功能、穩定性和一致性等多方面的平衡。

分析師觀(guān)點(diǎn)