一等奖！API安全管控解决方案

　　为进一步贯彻落实国家创新驱动发展战略，推进以科技创新为核心的全面创新，国家互联网数据中心产业技术创新战略联盟（NIISA联盟）进行了2021年度技术创新奖项目征集和评选工作。经过专家初审、远程项目答辩及评审等环节，近期经科技部联盟主管部门审核，2021年度获奖项目与人才名单正式公布。
　　瑞数信息API安全管控项目获得2021年度技术创新奖一等奖！
　　瑞数信息API安全管控解决方案
　　在金融领域的应用实践
　　数字化经济时代，企业已经实现了从网站模式到APP模式，再到如今API模式的演进历程，API模式与业务场景和业务生态的链接日益紧密。越来越多的企业借助应用程序接口（API）、软件开发工具包（SDK）等手段深化跨界合作，构建开放、合作、共建、共享和共赢的金融服务生态体系。
　　然而与此同时，API资产的使用运维过程中也引入了很多新的风险，如注入攻击、DDOS攻击、身份账号安全、敏感数据泄漏和参数篡改等。这些新的风险给运维工作带来了极大的挑战，但是传统API网关只能为客户提供身份认证、权限管控及内容校验等安全功能，这些功能的使用需要具备大量的应用开发工作量。瑞数信息API安全管控解决方案与传统的API网关有所不同，更加注重为企业提供成熟便捷的API资产管理、攻击防护、敏感数据管控和访问行为管控四大模块，实现API资产全生命周期的安全管控。
　　瑞数信息API安全管控解决方案主要能够实现以下几方面的功能及特点：
　　1。全业务流量分析梳理已知和未知的API资产接口
　　通过数据建模自动发现被保护站点的API资产，并在报表分析中展示检测到的API接口，帮助金融机构实现API资产的生命周期管理。
　　1）通过智能数据分析模型自动生成API列表和评分，帮助金融机构尽可能缩小API分析范围，快速获取到关心的接口信息；
　　2）基于关键字快速对API资产进行分组，分组后指定责任人，根据业务需求能够对API资产进行批量上下线，实现API资产闭环管控。
　　2。智能威胁检测引擎实现API资产纵深防御
　　通过智能威胁检测引擎在用户端与API接口交互过程中采集数据，并利用统计模型来确定API接口请求的异常，还可以采集请求流量中APIkey、API账号等唯一标识。以业务本身或黑产攻击的思路来实现API攻击画像，实现覆盖OWASPTop10的攻击防御，包括：SQL或远程命令注入、跨站脚本、XML外部实体、不安全的反序列化、使用含有漏洞的组件和Webshell木马上传等攻击。
　　3。敏感数据管控防止API接口数据泄漏
　　通过敏感数据管控对金融机构业务的API接口回传报文的手机号码、银行卡号和身份证号码等敏感信息进行识别、过滤和脱敏，防止数据泄漏。以此同时，敏感数据保护功能会记录客户端访问API接口的时间、源IP、账户、域名、路径和内容等信息，方便运维人员进行聚合分析以及追踪溯源。
　　4。访问行为管控实现API多维度业务威胁感知
　　通过AI技术对API接口的访问行为进行多维度API基线核查和威胁建模分析，发现各种业务威胁；同时借助访问行为管控模块拦截各种异常访问行为。