API 发现之所以至关重要，是因为它可以帮助企业发现包括休眠、遗留或僵尸 API 在内的所有 API 并将它们加入清单中。您无法保护自己所不知道的资产；如果没有完整且准确的清单，您的企业可能会面临巨大风险。
要点汇总
- API 扩大了攻击面：在今天的数字环境中，API 不仅仅是您技术栈的组成部分，也是您的应用程序、云服务和收入来源的核心。我们的《API 安全解决方案买家指南》将帮助您了解，在为保护企业 API 而筛选解决方案供应商时需要关注哪些具体的能力。
- 监测能力至关重要：大多数企业都缺乏对其 API 生态系统（包括新 API 和遗留的 API）的全面了解。这种缺乏监测能力的状况会导致严重的攻击面暴露问题，尤其是那些不受管理且不受保护的休眠及僵尸 API。有效的 API 发现是您保护数字资产的第一步。
- 实时 API 威胁检测与修复：API 攻击无法避免，但实时检测并应对威胁的能力至关重要。先进的工具使用 AI 和机器学习来监控数据篡改、泄露和可疑行为，并且它们应当与您现有的安全工作流进行无缝集成，以阻止攻击并自动进行修复。
- 左移 API 安全测试：开发团队启动 API 安全测试的时机往往过晚，这可能导致漏洞被带入生产环境中。左移方法（即，在开发过程的早期阶段启动测试）对于防止攻击、提升合规性以及增强您对 API 生态系统的信心至关重要。
常见问题
主要挑战首先在于缺少对 API 及其风险的监测能力，其次是需要识别并处理 API 错误配置、API 编码错误及缺少身份验证控制措施等漏洞。另外，管理 API 安全态势的关键在于，了解并抵御不断演进的 API 攻击方法，例如 OWASP 十大 API 风险中列出的方法。新 API 的快速开发和部署可能会加剧这些问题，因为它们通常会交换敏感数据并为攻击者制造代价高昂的 API 安全事件提供了可乘之机。
实时威胁检测涉及持续监控 API 流量中是否存在异常、数据篡改和策略违规等问题。当检测到某个威胁时，系统应当立即向安全团队发出告警，并且在理想情况下应当自动阻止攻击并采取相应的修复措施，以防止数据外泄及其他恶意活动。
API 安全测试中的左移方法是指在开发过程中的早期阶段加入安全测试，而不是等待 API 进入生产环境中之后再进行测试。此方法非常重要，因为它使安全团队能够尽早发现并修复漏洞，从而降低攻击得逞的风险并确保 API 在设计之初就是安全的。
关键功能包括能够找到所有 API 并将它们加入清单中（无论其类型或配置如何）、检测休眠和遗留 API、识别影子域、自动扫描严重问题，以及通过与主要基础架构组件的预构建集成来最大限度地减少自定义开发工作。
可自定义的严重性级别使企业能够根据自身的具体风险承受能力、法规要求及内部策略来确定修复工作的优先级。这可确保最严重的漏洞得到优先处理，从而帮助更有效地管理资源并降低整体风险。