高校應用API接口安全監測研究與實踐

摘要：API接口在數字化應用架構中發揮著重要作用，但其開放性和易訪問性也使其成為攻擊者的主要目標。高校信息化系統廣泛使用API接口提供服務，然而傳統的安全防護措施難以有效應對針對API接口的隱蔽數據竊取行為。文章提出的API接口安全監測系統基于網絡流量解析技術，可自動發現和識別API資產，監測敏感數據訪問行為，并及時識別潛在的安全風險。此外，該系統具備數據泄露事件的有效溯源能力，有助于高校提前做好API接口風險防范工作，全面提升數據安全防護水平。

關鍵詞：API接口；數據安全；安全監測；資產發現；風險識別；事件追溯

中圖分類號：TP393 文獻標識碼：A

文章編號：1009-3044（2024）31-0074-03

開放科學（資源服務）標識碼（OSID） ：

0 引言

應用程序編程接口（API，Application ProgrammingInterface） 是實現不同應用程序間相互通信和數據交換的關鍵技術。在現代數字化應用架構中，API接口以其可重用、可定制和可擴展的優勢，定義了軟件系統之間的交互規范、數據結構和通信協議，實現了應用之間更高效、更便捷的耦合[1]。然而，API的開放性和易訪問性也使其成為網絡攻擊的主要目標。2020 年3月，國內某社交平臺因用戶查詢接口被惡意調用，導致5億用戶的手機號數據泄露[2]；2023年1月，國外某電信巨頭因API未授權訪問漏洞被黑客利用，致使3 700萬用戶的敏感信息遭竊取。大量個人信息泄露不僅侵犯了個人隱私權，還可能導致財產損失、身份被盜用和詐騙等一系列問題。根據《2022年Web安全觀察報告》統計，2022年針對API的攻擊在網宿CDN 平臺上的占比首次突破50%，達到58.4%，API已成為灰黑產攻擊的頭號目標[3]。

隨著高校數字化轉型逐步進入成熟期，信息系統廣泛應用于教學、科研、學工、人事和財務等多個關鍵領域，覆蓋教師、學生和工勤等校內各類用戶，包含大量師生個人信息。這些信息系統通常部署于學校數據中心，各類信息系統之間的數據共享和對外服務均依托于API接口，且啟用了防火墻和態勢感知等網絡安全設備進行防護。然而，防火墻等傳統網絡安全防護設備難以監測和防護應用系統API接口的使用情況，在應對攻擊者利用API接口隱蔽竊取數據時往往力不從心。北京某高校畢業生盜取學校部分學生個人信息建立顏值打分網站[4]，南昌某高校3萬余條師生個人信息在境外互聯網被公開售賣[5]等教育數據泄露事件，造成了嚴重的社會影響，為高校的數據安全問題敲響了警鐘。

本文主要分析了API接口面臨的安全風險現狀，探討API接口安全監測系統應具備的技術能力，并以高校應用場景為例，總結API接口安全監測系統在高校的建設路徑和實踐成果。高校部署API接口安全監測系統，可加強資產和風險管理，有助于提升學校數據安全風險監測能力，保障高校數據安全。

1 API 接口面臨的風險分析

開放式Web應用程序安全項目（OWASP） 發布的AP67359bbdd99a41c33ef52476b0e4f253bfad5ffc11d9cad1618fd7b587d47044I安全Top10風險清單[6]揭示了API接口面臨的主要安全風險，包括對象級別的授權失效和用戶身份認證失效等，如表1所示。

攻擊者可利用重放攻擊、注入攻擊、參數篡改、分布式拒絕服務（DDoS） 攻擊和中間人攻擊等多種手段攻擊API接口。API接口攻擊不僅可消耗系統資源和中斷業務服務，還能對API接口實施逆向分析，通過構造請求參數竊取敏感信息[7]。以下因素導致API接口成為網絡攻擊者的主要攻擊目標。

1） 攻擊成本低。API接口直接對外暴露并提供服務和數據，攻擊者只須獲取API的接口地址，即可通過簡單的網絡請求實施攻擊行為。相較于攻擊整個網站系統，攻擊API接口顯著降低了技術門檻和時間成本。

2） 請求參數易修改。攻擊者通過篡改API接口的請求參數，結合其他關聯信息，既可利用注入等漏洞獲取系統的賬號權限，又可利用越權等漏洞獲取正常權限以外的數據。

3） 寬松的跨源資源共享（CORS） 策略。寬松的CORS 策略意味著API 接口允許超出必要范圍的源（例如協議、域和端口）發出訪問請求。過于寬松的策略使攻擊者能夠從不受信任的源發起訪問，增加了實施跨站腳本攻擊等攻擊的可能性。

4） API接口安全性參差不齊。在敏捷開發框架的推動下，應用系統迭代速度顯著提升，但開發人員的編碼水平、應用框架的安全性能和API接口的管理質量等因素存在差異，導致API接口在安全性上的參差不齊。

2 API 接口安全監測主要技術能力

API接口安全監測基于網絡流量解析技術，可梳理業務應用和接口資產，監測敏感數據訪問行為并及時識別潛在的安全風險，實現數據泄露事件的有效溯源。圍繞實現資產全面梳理、威脅全面監測和風險全面可視的監測審計功能，API接口安全監測系統應具備以下技術能力。

2.1 流量采集解析能力

API接口安全監測首先須具備網絡流量采集能力。網絡流量采集通常通過在網絡設備上進行流量鏡像，或在目標服務器上部署Agent插件實現。由于API接口通常基于HTTP和HTTPS等應用層協議提供服務，為獲取API接口具體報文信息，流量采集模塊須具備多種應用層協議解析能力。通過解析流量，全面記錄API接口的請求報文和返回報文，包括事件、URL、請求方法、傳輸協議、User-Agent、Cookie、源IP 和響應狀態碼等，支持多種數據格式和文件格式內容的解析。

2.2 資產發現能力

資產發現能力主要包括自動發現存在的應用、API接口及敏感數據等資產信息。該能力通過預設規則，識別API接口交互過程中存在的姓名、身份證號和聯系方式等敏感數據。資產發現可全面梳理敏感數據，定位相關數據所屬的應用資產，并根據數據的流向和應用特性對應用資產進行分類和標識。通過可視化技術展示敏感數據的使用和分布情況，便于用戶迅速識別潛在的安全風險接口和敏感數據泄漏點，追蹤敏感數據的訪問流向。

2.3 風險識別能力

風險識別是根據既定策略實現安全風險自動檢測并形成風險清單的過程。通過分析安全風險清單，可及時發現并處置存在的安全隱患。API接口安全風險主要關注數據泄露風險和接口脆弱性兩類。

數據泄露風險識別是根據敏感數據泄露風險規則，基于日常行為基線模型，分析和識別數據泄露潛在風險的過程。該能力主要利用人工智能和大數據技術，圍繞應用訪問的相關信息進行自動化分析，形成正常行為特征，并計算發現偏離正常行為特征的事件，進行風險預警。接口脆弱性識別是通過配置特定的脆弱性匹配規則，自動識別觸發規則的API接口。其主要采用分析API接口的請求和返回報文參數、協議規范以及身份驗證等信息的方式，利用統計比對、黑白名單等技術手段，發現接口存在的脆弱性問題。常見的接口脆弱性問題包括密碼泄露、未授權訪問、SQL注入、參數可遍歷、敏感數據未脫敏、文件目錄暴露和文件上傳漏洞等。

2.4 風險事件追蹤溯源能力

API安全監測系統保存API接口的全量歷史訪問記錄，可通過檢索歷史記錄對數據泄露的風險事件進行追蹤溯源。當數據泄露事件發生時，通過檢索歷史記錄，分析可疑接口、賬戶和IP地址，從而輔助追蹤事件源頭并提供原始證據鏈條。

2.5 可視化分析能力

可視化分析是API接口安全監測中的關鍵工具，是落實API接口安全管理的重要依據。通過多維度的數據統計和報表，針對已知風險和脆弱點，可提供等級占比、類型分布和規則統計等多條件檢索與分析。可視化分析通過應用、接口、賬號和IP等行為畫像，實現敏感數據行為的全程記錄和可追溯。利用可視化大屏呈現安全監測分析的數據結果，帶來全方位的數據可視化管理，以最直觀的方式展現數據價值。

3 高校應用API 接口安全監測實踐探索

3.1 高校應用API 接口問題現狀

近年來，隨著高校數據中臺的建設和應用，API接口的使用場景日益廣泛。API接口既可以為用戶提供服務和數據，還可以為不同應用系統實現數據共享交換，已成為數據傳輸的主要方式，其安全防護的重要性不容忽視[8]。高校應用API 接口安全面臨以下挑戰。

1） API接口資產缺乏統一管理。高校應用系統和API接口數量不斷增加，導致其資產管理變得越來越困難。部分應用系統的API接口可能會因版本更新或業務終止而過時，但仍然保留在生產環境中而成為僵尸資產或影子資產。這無疑會成為網絡安全的管理盲區，進一步增加了安全隱患。

2） 個人信息使用缺乏管控。高校應用系統存儲了大量師生的個人信息，若缺乏有效的管控措施，可能會導致個人信息濫用的情況。因此，API接口在設計時應當遵循最小化原則，僅返回業務必要的個人信息。對于個人敏感信息，應進行脫敏處理，以確保信息使用過程中的安全性。

3） 應用系統安全水平不高。高校的應用系統大部分是以采購定制開發軟件為主，不同的系統分別來源于不同的供應商。由于軟件供應商開發水平參差不齊，可能導致上線運行的應用系統存在可利用的安全漏洞。近年來，供應鏈攻擊已成為網絡攻防中暴露出的顯著問題。

3.2 API 接口安全監測系統部署

通過流量鏡像的方式獲取數據中心的全部訪問流量；對于無法獲取鏡像流量的服務器，可采用安裝Agent插件的方式進行采集。其部署架構如圖1所示。

通過分析HTTP流量，系統可自動識別學校應用資產及其API接口的使用情況，并通過人工核實和資源目錄管理，實現對應用資產及其API接口的全面管理。系統還能根據流量訪問情況，發現訪問量低的僵尸應用資產，有助于進一步加強管理。利用內置規則庫，可全面監測應用系統存在的漏洞、配置缺陷和弱口令等情況，提供多維度的監測報告與修復建議，及時發現并修復潛在風險。

3.3 API 接口安全監測實踐效果

高校通過部署API接口安全監測系統，監測審計應用API 接口的訪問使用情況，以期達到以下安全效果。

1） 應用資產全面掌握，防護重要敏感資產。通過對學校應用系統使用的數據字段進行梳理分析，結合數據分類分級規則，使系統管理員掌握系統敏感數據的分布情況，了解系統中哪些API接口存在潛在安全風險，哪些API接口會流出敏感數據，從而有針對性地開展重點關注和防護。

2） 安全風險全面感知，降低數據泄露風險。通過對接口訪問記錄的統計分析和自學習，建立訪問基線模型。利用基線模型識別應用、用戶等主體正常的敏感數據操作行為，精準定位敏感數據風險操作，自動分析并判斷風險級別，及時發出預警，將數據泄露風險遏制于萌芽階段，減少敏感信息泄露造成的損失。

3） 應用接口全面體檢，加強系統安全能力。通過對應用下的大量不同類型API接口進行全面脆弱性檢測，發現存在安全隱患的脆弱性接口，找出最易發生安全問題的暴露面。及時處置發現的問題，有效預防敏感數據泄露，提高系統安全防護能力。

4） 數據泄露有跡可循，快速定位事件來源。針對已發生的數據泄露事件，結合多種條件檢索和多重鉆取分析，從多個維度開展深度分析，追溯事件來源，分析事件的疑似責任主體，為事件追責提供范圍界定，并提供原始證據鏈條。

5） 數據使用逐步規范，提升數據安全水平。隨著《數據安全法》《個人信息保護法》的頒布施行，數據使用面臨著剛性的合規要求。通過API接口監測對數據使用進行監測預警，不僅確保滿足法規要求，同時可增強風險感知和規避能力，有效提升學校數據安全防護水平。

4 結束語

綜上所述，API接口安全監測系統可識別API接口使用過程中存在的各類安全隱患，在應用系統安全防護中發揮重要作用。目前，大部分高校的數據安全技術防護體系仍處于初步建設階段，對數據使用情況掌握不足，面臨較大安全風險。本文提出的高校API 接口安全監測系統建設方案，有助于高校做好資產梳理和風險識別，既可提前做好風險防范工作，防患于未然，又能提高應用系統API接口的安全性，降低數據泄露風險。

未來，在做好資產識別和風險監測的基礎上，將進一步開展高校數據保護和風險響應處置相關研究工作。高校通過風險識別、安全保護、安全檢測、安全響應和處置的能力建設，可實現數據全生命周期保護和風險閉環管理，全面提升數據安全防護能力。

參考文獻：

[1] 湯其宇，陳昌杰，王士勇.醫院網絡環境中API接口的安全性問題與對策探討[J].中國數字醫學，2024，19（6）：115-120.

[2] 萬小博.信息系統常見數據泄露原因及應對策略分析[J].電子技術與軟件工程，2022（9）：13-16.

[3] 網宿安全2022年Web安全觀察報告：API成頭號攻擊目標，DDoS、Bot攻擊倍增[J].中國信息安全，2023（7）：108.

[4] 趙雨萌.人大畢業生泄露學生信息被刑拘，曾有機會使用高權限賬號[EB/OL].[2023-10-20].https：//www.inewsweek.cn/so?ciety/2023-07-04/19058.shtml.

[5] 南昌網警巡查執法.罰款80萬元！抓獲3人！南昌某高校發生數據泄露案件[EB/OL].[2023-10-20].https：//jiangxi.jxnews.com.cn/system/2023/08/17/020188366.shtml.

[6] OWASP API Security Top 10[EB/OL]. [2024-03-02]. https：//owasp.org/API-Security/editions/2023/en/0x00-header/.

[7] 中國信息通信研究院.應用程序接口（API）數據安全研究報告（2020年）[R].北京：信通院，2020.

[8] 顧怡.基于零信任的高校數據安全實踐與研究[J].網絡安全技術與應用，2024（8）：80-83.

【通聯編輯：謝媛媛】