DDOS防御专家-提供超强DDoS高防/CC防护/大流量清洗服务!
当前位置:主页 > DDOS防御 > 正文

ddos防攻击_牛盾云_解决方案

06-29 DDOS防御

ddos防攻击_牛盾云_解决方案

本月早些时候,开放式Web应用程序安全项目(OWASP)公布了其著名的十大最关键Web应用程序漏洞列表的候选版本。在2013年以来的首次更新中,一些漏洞被合并或删除,为新进入者让路,包括受保护的应用程序编程接口(API)。这一更新是值得注意的,因为OWASP前10名是许多网络安全合规性和监管标准的重要参考,但也强调了过去几年基于web的应用程序和技术面临的不断变化的威胁。虽然API安全性并不是什么新鲜事,但它的责任主要留给了开发API的软件团队。在更广阔的企业安全市场上,CISO对web API安全的认识和关注正在增加。

从SaaS到社交媒体,API在我们互联的移动、云和物联网应用世界中提供了系统和服务之间的连接组织。API是一种软件编程方法、协议和工具,支持软件组件之间的通信。API长期存在于计算机硬件和软件中,包括操作系统和数据库,但在当今的云连接世界中,可能更普遍地与移动应用程序和基于web的系统相关联。企业现在正在连接不同的和非传统的IT系统(例如生命/安全,物理访问控制)通过web API和企业服务总线平台实现更好、更高效的业务成果。

web API使用与基于浏览器的应用程序相同的底层技术,因此存在许多企业熟悉的基于浏览器的应用程序的相同安全问题。受保护不足的web API可作为攻击者使用比基于web浏览器的方法执行速度快得多的恶意编程请求过滤数据的有效方法。对业务运营至关重要的Web API可能是数据完整性或DDoS攻击的特定目标,从而中断关键业务运营。一些API包含文件传输功能,可以作为向网络引入恶意软件的载体。然而,由于webapi不属于web浏览器,因此攻击面是多种多样的,如果组织没有充分地监视整个企业的webapi活动,pythonddos防御,攻击面可能不会被发现。那么,CISO如何在其环境中加强对web API的防御?

资产管理–与网络安全的其他领域一样,您需要了解组织中的资产(API),并了解其功能和安全能力。这是一项不小的任务,因为硬件和软件都有webapi,包括本地或云托管的软件应用程序(尤其是shadowit的未经批准的SaaS应用程序)。你不能只看传统的企业IT资产——徽章系统、嵌入式ICS控制器和物联网设备使用API来运行或与其他系统集成。除了审查受制裁系统的API文档外,应用程序感知防火墙或云访问安全代理(CASB)还可以帮助识别以前未知的API以及相关的软件应用程序、非托管物联网设备,多ip自动ddos防御系统,等

安全通信-使用正确实现的TLS加密进行API端点之间的通信,可以为传输中的数据提供机密性和完整性,防止中间人攻击的数据嗅探或操纵。如果您想检查API流量,使用TLS将需要解密/加密功能,类似于您可能已经用于web代理的功能。还要记住,在使用web API传输敏感数据(如信用卡号)后,仍然必须小心安全地存储这些数据。

强身份验证和授权方案–CISO需要与API开发人员或供应商密切合作,以了解支持哪些身份验证和授权方案。身份验证将验证请求访问API的应用程序或服务的身份;使用强身份验证,例如API令牌,而不是基本身份验证(即HTTP授权头中的用户名和密码)。像基于令牌的OAuth 2.0标准这样的授权框架允许将应用程序或服务仅限于API方法和数据的某个子集。

分段-使用API网关或防火墙网络分段将API的可访问性限制到已知和受信任的端点。这些选项在操作上可能并不总是可行的,并且可能会在某些场景或拓扑中引入可用性或可伸缩性问题。但是,这些控制点可以作为您环境中不支持强加密、身份验证或授权方案的遗留API的缓解措施。

攻击检测和预防–实施保护以检测和防范API攻击。casb、web应用程序防火墙(waf)和应用程序感知防火墙可以帮助检测和防止基于API的攻击。但是,由于每个webapi都可以具有唯一的语法、数据结构、方法集等,因此这些工具只有在不了解环境中的API的情况下才能如此有效。例如,casb可以包括来自领先SaaS应用程序的api的特定逻辑,并且可以有效地识别那些应用程序的恶意活动或数据外泄。Web应用程序防火墙(WAF)可以使用WAF保护规则或API速率限制来防止针对API发起的某些常见基于Web的攻击,例如代码注入或格式错误的请求。反恶意软件系统可以检测嵌入在API调用中的文件中的恶意软件。

API安全性从良好的软件开发实践开始–许多其他OWASP十大建议也适用于开发安全的web API。在最新的OWASP十大候选版本中,将保护不足的API作为一种明显的威胁,突显了对基于API的攻击的日益关注。传统上,webapi安全是软件开发人员的职责范围,高防cdn无视任何ddos,在企业安全中,webapi安全正成为一个更重要的考虑因素。CISO现在发现自己正在保卫一个不断增长和更加多样化的IT环境,其中包括更多基于云的应用程序和物联网设备以及企业级应用程序集成。Web API为业务和IT的可扩展性、效率、集成性…以及恶作剧提供了一个惊人的机会。

作者最近发布的博拉奈维斯库德尔斯基安全公司全球工程总裁博拉内是库德尔斯基安全公司全球工程副总裁,ddos防御结果,一家专注于创新的全球领先信息安全解决方案公司。他负责监督Kudelski Security的信息安全产品和云解决方案的架构、DevOps和相关工程活动。他还负责制定和推动公司知识产权投资组合的技术战略。他曾担任解决方案体系结构副总裁,负责管理公司在美国的售前工程、业务开发和合作活动。Bo Lane的最新帖子(见全部)Beyond Security:Creating a Shared Vision for Flexible Cloud Governance-2020年9月9日安全自动化:从与安全供应商的讨论中吸取的教训-2018年11月8日保护无边界世界:云安全的参考架构-11月21日,2017

FacebookTwitterEmail分享

,云锁防御ddos

版权保护: 本文由 DDOS防御专家 原创,转载请保留链接: /ddos1/70479.html

DDoS防御专家简介孤之剑
国内资深白帽子二十人组成员,前BAT资深网络安全工程师,知名网络安全站点板块大神,每年提交Google及微软漏洞,原sina微博负载插件开发者,现在整体防御复合攻击长期接受1-4.7T攻击,CC防护自主开发指纹识别系统,可以做到99.9999%的无敌防御。
  • 文章总数
  • 9322519访问次数
  • 建站天数

    QQ客服

    400-0797-119

    X