你的隐私数据正在被泄漏

API作为影响数据安全和个人信息保护的重要风险来源，一旦发生安全问题，泄露的将是海量的数据，影响面不可估量；更甚之，若API被攻击的情况发生在一些重要行业，例如金融行业、医疗行业、政务行业等，导致个人的医疗信息、金融信息等隐私数据被不法分子利用，不仅会给个人带来权益的损失，还会引发恶劣的社会影响，甚至影响国家安全。

从1个案例看API安全

10月11日，在2021国家网络安全周线上主题晚会“网安在行动”环节，展示了1个由API导致的数据泄漏警示案例。

2021年9月，某监管部门进行网络安全巡检，在使用全知科技知影-API风险监测系统对医疗领域在互联网上的一些数据接口进行巡检时，发现告警平台上报出一条高风险告警事件…

对这条风险告警进行技术分析，发现是一家医院系统在互联网上开放的一个数据暴露API，用来给患者提供查询自身报告数据。然而，技术人员仅需通过一些简单的操作，就能随意获取病人的全部报告数据，包括姓名、手机号、身份号码、年龄、病例信息，尤其是心电图、X光片等敏感信息数据，这些是《个人信息保护法》里典型的敏感个人信息，一旦泄露对用户危害巨大。

全知科技技术人员分析，这种数据泄露正是由API自身的安全隐患所引起的，由于医院开放的数据查询接口没有做严格的身份校验、访问控制，任何人都可以通过一串报告的数字或者患者手机号等信息，直接查询到患者的个人医疗数据信息。

除此之外，通过全知科技知影-API风险监测系统，还发现了一个携带版本号的接口，此接口虽然包含敏感数据，但都做好了脱敏处理，推测可能是内部在进行版本升级迭代时对API做了数据暴露面的安全治理；然而，当我们继续尝试访问低版本的API时，发现较低版本的API上依旧透出了大量明文敏感数据，包括主任医生的科室、职级、个人手机号码等敏感数据。

这种数据泄露的风险情形，是由于系统升级迭代频繁造成的新旧API共存的数据安全隐患，即医院在上线新版本API时，虽然修复了一些API风险点，但是没有及时对旧API进行下线处理，恶意攻击者仍然可以尝试利用旧API上的弱点，实施安全攻击，直接导致了数据安全治理建设的失效。

从用户需求来说，对外开放数据查询的通道是必须的，但如果不做好安全防护，这样的查询通道就会成为数据泄漏，甚至数据违规出境的风险源头，大量的敏感数据一旦被黑灰产恶意利用，后果将不堪设想。

此外，在安全防护的基础上，如果企业没有进一步的安全审计、安全监测手段，那么什么时候泄露数据，泄露了多少数据都将不得而知……

API安全建设面临的挑战

为了适应数字化进程的快速发展，政府、企业都会开放大量的API，由此造成的数据安全风险开口，传统的API安全体系并不能完全应对解决。

传统API安全解决方案的痛点

01资产梳理不清：API资产盘点仍然停留在主机/服务/端口维度，无法清楚的知道有哪些API接口，以及哪些API接口可以获取敏感数据。

02脆弱性评估弱：API安全评估往往依赖扫描能力，导致评估效率低，覆盖面不全；无法确认是否对所有重要接口做了安全评估。

03威胁检测不全：缺乏对API的细粒度理解，只能基于已知特征的APT、勒索软件、木马、病毒进行威胁监测；企业无法实时发现数据泄露以及针对API接口特征的攻击。

加强数据安全保障，是数智时代的迫切需求，也是新形势下企业的重责大任。企业应当寻求一套适应新需求、新挑战的API安全体系，提高API安全风险治理能力，以达到保护数据安全的目标。

新一代API风险监测解决方案

由全知科技牵头研究的国家标准《数据接口安全风险监测 技术方法》已于今年获得正式立项。基于此技术规范，全知科技以“主动防护”为防护理念，精准对症API数据安全风险挑战，形成了一套完整的API风险监测体系。

10月9日，在2021国家网络安全宣传周的“网络安全发布”环节，全知科技产品总监王伟光重点分享了适应企业数据安全发展需求及法律合规要求下的《数据安全和隐私保护场景下的API风险监测方案2.0》。

王伟光指出，在API海量数据中精准监测安全威胁并进行对应防护仍存在不少挑战，现有的传统API安全解决方案无法全面梳理数据资产，灵活感知评估风险，也未能完全覆盖API数据安全风险场景，难以做到智能化的数据安全监测防护。

面对数据量庞大及外部黑灰产攻击方式多变、攻击行为复杂的实际现状，王伟光认为，数据责任方需要的是一套完备的、灵活的、可持续运营的“以数据为中心”的API风险监测方案。

全知科技聚焦API资产梳理、脆弱性评估、风险监测3大功能模块，由己及彼形成了一套完整的、灵活的API安全风险监测解决方案。

方案不仅弥补了传统解决方案API资产梳理不清、弱点评估效率低、风险威胁监测不全等明显不足；此外，方案也将融入全知科技安全运营体系，配套多种自研技术支撑，为行业带来全新的API风险监测实践思路。

结语

根据Gartner《如何建立有效的API安全策略》报告中预测，“到2022年，API滥用将成为导致企业Web应用程序数据泄露的最常见攻击媒介。”

在未来，企业将面临未知的API安全攻击，企业应当重视API安全建设，积极借助适应新要求、新形势下的新一代API风险监测解决方案，构建合规要求下的数据安全治理体系，持续提高数据安全治理能力。