API管理

        API安全与管理通过API资产盘点、API调用对象管控、API授权范围管控、API调用额度管控模块对API资产进行全方位管理，保障API资产的可见性及可控性。

1. API资产盘点

        定义API资源，对API的上下线生命周期、隐私状态等进行管控。当API下线时，所有针对API发起的调用将被拒绝，下线的API资产因不再维护可能存在未修复的漏洞同时不被用户所关注，这些API或作为跳板被攻击者利用，对业务服务器造成巨大影响。API资产根据实际业务存在公开调用、第三方调用、内部调用等场景，而针对不同的敏感程度，可为API对应设置私有及公开的隐私状态，公开的API可被任意调用，而私有的API需结合下方【对象级别授权】功能，完成授权才可访问，有效保护敏感的API业务。

2. API调用对象管控

        针对将API提供给第三方调用或内部调用的场景，可为所有已知的API调用对象创建消费方，维护消费方列表，消费方可为：业务合作伙伴、内部账号等，并为每一个消费方分配其身份ID，根据此消费方ID可标识请求调用者身份，使调用者的活跃状态可见且可控。

3. API授权范围管控

        管控所有消费方有权调用的API资产，同时管控对不同资产的授权周期，保障权限最小化。不同的API的开放程度及其调用对象范围因业务场景不同而有了区分，为了缩小API的调用范围，防止越权获取敏感数据，通过对象级授权，严控API调用者权限，同时配合周期的管控，可灵活调整调用者在不同时期对API的调用权限。

4.API调用额度管控

        管理API资产的调用额度上限，针对不同调用方不同周期进行调用额度的灵活管控，防止超额调用。针对需要限制调用对象调用额度的场景，可为不同的调用对象、允许调用的API、API调用额度、额度统计周期，配置灵活的限制策略，防止部分调用者的超额调用。

API保护

        识别恶意的API调用，主动发现伪造请求、非法调用及高频调用，阻止恶意请求数据到达客户源站，缓解源站解析压力，保障API调用的方法可信、身份可信、数据可信。

1.请求方法限制

        定义合法请求方法，主动阻断恶意请求方法调用，保障接口安全。在RESTful web服务中，HTTP请求类型表示要对资源进行的操作，使用非法的请求方法可能导致接口数据被恶意删除或恶意篡改，例如：
        使用HTTP GET请求访问/employee/101，可以取回101用户的详细信息；
        使用POST请求访问/employee/102，将会创建一个ID为102的新员工。、使用PUT请求访问/employee/101，可以用来更新员工101的信息；
        使用DELETE请求访问/employee/101，可以删除ID为101的员工的数据；
        当接口当前只允许开放查询的话，则可限制其请求方法，当出现非法请求方法的调用时，即时将其阻断。

2.Body合规检测

        为请求Body定义合规内容，提供Body最大限制、JSON嵌套层数、JSON参数个数等最大值约束，同时限制请求的Content Type，控制接收body的安全范围，防止API收到规模过大的请求。攻击者发送的过大请求数据，会占用及消耗服务器资源；为绕过对请求体大小的控制，攻击者的应变为发送极小的请求体，但构造极其复杂的数据结构：如无数层的JSON嵌套，想方设法地耗尽服务器解析性能。通过实时检测请求Body的合规性，及时将构造的不合规Body拒之门外，保障API业务的平稳运行。

3.参数合规检测

        为请求参数定义合规内容，对接口参数名、参数类型、参数范围、是否必带等参数合规性进行精细化校验，有效防止在未知参数的情况下非法调用接口。攻击者在未知接口格式的情况下，会存在尝试构造正常请求数据的过程，通过参数合规的检测，迅速发现尝试状态的可疑用户，组织攻击者的进一步尝试，防止敏感数据的泄露。

4.鉴权认证

        客户端根据网宿鉴权算法生成动态鉴权令牌，云端防护平台接收请求携带的动态令牌并进行合法性验证，以验证业务请求是否可信。实现API粒度的鉴权，通过对令牌的限制，有效防止未携带令牌、构造令牌的非法调用，同时通过实时动态检测有效防止重放攻击，阻止令牌盗用的仿冒身份请求。

5.高频请求限制

        管理API调用频率，限制一定周期内的接口调用上限，防止接口滥及高并发请求对业务带来的影响。在部分API遭到高频调用时，及时启用API粒度熔断机制，可使其他业务不受其影响，保障整体业务的平稳运行。

API分析

        网宿API安全与管理可实时的将识别到的API流量情况以可视化的报表呈现给用户，便于用户实时洞悉API活跃状态与风险态势，协助运维进行API管控及安全决策。包含API数量、API请求趋势、请求来源分布、消费方调用情况、风险事件趋势等提供可视化报表。

1.API资产分布可视化

2.API风险趋势具象化