CDN加速

产品功能

更新时间:2021-11-30 15:02:09

API管理

        API安全与管理通过API资产盘点、API调用对象管控、API授权范围管控、API调用额度管控模块对API资产进行全方位管理,保障API资产的可见性及可控性。

1. API资产盘点

        定义API资源,对API的上下线生命周期、隐私状态等进行管控。当API下线时,所有针对API发起的调用将被拒绝,下线的API资产因不再维护可能存在未修复的漏洞同时不被用户所关注,这些API或作为跳板被攻击者利用,对业务服务器造成巨大影响。API资产根据实际业务存在公开调用、第三方调用、内部调用等场景,而针对不同的敏感程度,可为API对应设置私有及公开的隐私状态,公开的API可被任意调用,而私有的API需结合下方【对象级别授权】功能,完成授权才可访问,有效保护敏感的API业务。

2. API调用对象管控

        针对将API提供给第三方调用或内部调用的场景,可为所有已知的API调用对象创建消费方,维护消费方列表,消费方可为:业务合作伙伴、内部账号等,并为每一个消费方分配其身份ID,根据此消费方ID可标识请求调用者身份,使调用者的活跃状态可见且可控。

3. API授权范围管控

        管控所有消费方有权调用的API资产,同时管控对不同资产的授权周期,保障权限最小化。不同的API的开放程度及其调用对象范围因业务场景不同而有了区分,为了缩小API的调用范围,防止越权获取敏感数据,通过对象级授权,严控API调用者权限,同时配合周期的管控,可灵活调整调用者在不同时期对API的调用权限。

4.API调用额度管控

        管理API资产的调用额度上限,针对不同调用方不同周期进行调用额度的灵活管控,防止超额调用。针对需要限制调用对象调用额度的场景,可为不同的调用对象、允许调用的API、API调用额度、额度统计周期,配置灵活的限制策略,防止部分调用者的超额调用。

API保护

        识别恶意的API调用,主动发现伪造请求、非法调用及高频调用,阻止恶意请求数据到达客户源站,缓解源站解析压力,保障API调用的方法可信、身份可信、数据可信。

1.请求方法限制

        定义合法请求方法,主动阻断恶意请求方法调用,保障接口安全。在RESTful web服务中,HTTP请求类型表示要对资源进行的操作,使用非法的请求方法可能导致接口数据被恶意删除或恶意篡改,例如:
        使用HTTP GET请求访问/employee/101,可以取回101用户的详细信息;
        使用POST请求访问/employee/102,将会创建一个ID为102的新员工。、使用PUT请求访问/employee/101,可以用来更新员工101的信息;
        使用DELETE请求访问/employee/101,可以删除ID为101的员工的数据;
        当接口当前只允许开放查询的话,则可限制其请求方法,当出现非法请求方法的调用时,即时将其阻断。

2.Body合规检测

        为请求Body定义合规内容,提供Body最大限制、JSON嵌套层数、JSON参数个数等最大值约束,同时限制请求的Content Type,控制接收body的安全范围,防止API收到规模过大的请求。攻击者发送的过大请求数据,会占用及消耗服务器资源;为绕过对请求体大小的控制,攻击者的应变为发送极小的请求体,但构造极其复杂的数据结构:如无数层的JSON嵌套,想方设法地耗尽服务器解析性能。通过实时检测请求Body的合规性,及时将构造的不合规Body拒之门外,保障API业务的平稳运行。

3.参数合规检测

        为请求参数定义合规内容,对接口参数名、参数类型、参数范围、是否必带等参数合规性进行精细化校验,有效防止在未知参数的情况下非法调用接口。攻击者在未知接口格式的情况下,会存在尝试构造正常请求数据的过程,通过参数合规的检测,迅速发现尝试状态的可疑用户,组织攻击者的进一步尝试,防止敏感数据的泄露。

4.鉴权认证

        客户端根据网宿鉴权算法生成动态鉴权令牌,云端防护平台接收请求携带的动态令牌并进行合法性验证,以验证业务请求是否可信。实现API粒度的鉴权,通过对令牌的限制,有效防止未携带令牌、构造令牌的非法调用,同时通过实时动态检测有效防止重放攻击,阻止令牌盗用的仿冒身份请求。

5.高频请求限制

        管理API调用频率,限制一定周期内的接口调用上限,防止接口滥及高并发请求对业务带来的影响。在部分API遭到高频调用时,及时启用API粒度熔断机制,可使其他业务不受其影响,保障整体业务的平稳运行。

API分析

        网宿API安全与管理可实时的将识别到的API流量情况以可视化的报表呈现给用户,便于用户实时洞悉API活跃状态与风险态势,协助运维进行API管控及安全决策。包含API数量、API请求趋势、请求来源分布、消费方调用情况、风险事件趋势等提供可视化报表。

1.API资产分布可视化

有技术才有话语权 CDN何以跻身互联网创新生态链?
有技术才有话语权 CDN何以跻身互联网创新生态链?    有技术才有话语权 CDN何以跻身互联网创新生态链?

2.API风险趋势具象化

有技术才有话语权 CDN何以跻身互联网创新生态链?