云计算架构的出现使企业重新思考应用程序的扩展方式，从而推动了企业摆脱通过虚拟机等基础设施部署全栈应用程序，通过创建由多个互操作服务组成的 API，采用微服务方法。企业部署的许多 API 是直接连接到储存敏感数据的后端数据库，因此，网络攻击者越来越多地将 API 作为进入底层基础设施的途径，以窃取敏感信息。随着 API 数量成倍增加，预计在未来几年内，这一占比将会继续增长。虽然 API 的市场规模增长迅速，但是安全威胁也在增长。

  API安全需要什么？

众所周知，虽然 API 网关能够为开发人员调用 API 提供了更明显的安全层，但是仍然有改进的空间。如果网关无法适应其资源，则漏洞管理将成为一个令人难以置信的挑战。

人们想要减轻面临的 API 安全威胁，需要正确的安全实施战略和程序。

 为什么API网关的安全性还不够好？

我们应该把 API 网关和 API 安全区别开来，不能混为一谈。前者的访问控制功能，仅仅是 API 安全的一部分。更糟糕的是，开发人员确保应用程序正常运行并执行其设计的任务时，攻击者可以找到巧妙的方法将应用程序变成武器。正如 OWASP API 十大安全文件总结的一样，API 安全威胁同样包括许多伴随传统 Web 应用程序攻击的漏洞。主要的三个关键驱动因素如下。

1. 利用有效 API 令牌的复杂攻击可以成功针对应用程序业务逻辑和数据层漏洞。

2. 网络攻击从有效的 API 令牌中获取里程数，可以成功的攻击应用程序的业务逻辑或数据层，原因是它们的设计是针对允许使用 API 的漏洞。

3. API 网关的主要障碍是它只能监控端点，尽管如此，它仍然不能完全描述其提供的可供消费服务的完整 API 模式。

API安全的三个常见风险 

处理 API 数量的方法乏善可陈

缺乏关于公共的、合作伙伴的、私人的和复合的 API 总数的信息，使安全团队无法理解一个 API 的真正暴露和风险。

黑客与开发人员

黑客通过使用工具，甚至更复杂的方法，侵入开发者层面的 API，之后可以利用细微的错误来映射 API，了解其结构，并找到代码本身的漏洞。

小企业 API 安全问题缺乏关注

相较于大型企业，小企业无法提供必要的措施来充分保障其数据，因此面临的安全风险也会增多。

提高API安全性的建议 

 识别和分类流经每个 API 的数据

可见性对于理解每个 API 的完整架构以及识别和分类流经它的数据以便评估风险至关重要；

自动发现

API 的生成速度快且经常修改，这使它们成为许多组织的盲点。通过自动化，组织可以消除“顽疾”API。此外，通过自动化 API 清单，安全团队可以清晰看到开发人员在生产中修改API 的情况；

 启用API治理

对于高度监管行业的实体组织来说，API 治理模式至关重要，只有在可见性超出 API 端点并延伸到底层有效载荷的情况下才有可能，因此可以充分保护敏感数据。

WAAP 应运而生

现阶段，面临的 API 安全威胁增加，防火墙和网关等传统安全工具无法始终为用户提供防止 API 攻击所需的防御，WAAP（网络应用程序和 API 保护）是必不可少的

另外，考虑到传统的 Web 应用程序防火墙解决方案旨在防止基于每个请求的恶意活动。这意味着它们不会阻止所有形式的网络钓鱼，包括鱼叉式网络钓鱼攻击。当黑客利用受害者通过电子邮件提供的信息，直接在公司的环境中进行攻击时，WAAP 能够确保 API 被屏蔽，不会导致安全隐患。

通过使用 WAAP 解决方案监控进入应用程序的所有互联网流量，WAAP 解决方案利用完全托管和基于风险的应用程序安全方法来管理 Web 应用程序，能够防止网络威胁的异常活动。