API安全

API安全模块为您提供下表描述的功能。

通过单击以下问题，了解更多关于API安全的能力介绍：

• API安全如何划分API业务用途？

  • 登录认证

  • 手机验证码认证

  • 数据保存

  • 数据查询

  • 数据导出

  • 数据分享

  • 数据更新

  • 数据删除

  • 数据增加

  • 下线注销

  • 信息发送

  • 信息认证

  • 邮件信息发送

  • 邮箱验证码认证

  • 账号密码认证

  • 账号注册

• API安全支持检测哪些敏感数据？

  敏感数据级别	敏感数据类型
  非敏感数据（N）	不涉及。
  特级敏感数据（L0）	与一级敏感数据（L1）或二级敏感数据（L2）相同。 单次响应中一级敏感数据（L1）较多时，升级为特级敏感数据（L0）。 单次响应中二级敏感数据（L2）较多时，升级为一级敏感数据（L1）或特级敏感数据（L0）。
  一级敏感数据（L1）	身份证、储蓄卡、手机号、护照号、港澳通行证、车牌号、军官证、身份证（中国香港）、身份证（马来西亚）、身份证（新加坡）、信用卡、SSN、JDBC连接串、PEM证书、KEY私钥、Linux-Passwd文件、Linux-Shadow文件。
  二级敏感数据（L2）	姓名（简体中文）、地址（中国内地）、邮箱、电话号码（中国内地）、姓名（中文繁体）、姓名（英文）、电话号码-美国、宗教信仰、IP地址、MAC地址、IPv6地址、GPS位置、IMEI、营业执照号码、税务登记证号码、组织机构代码、统一社会信用代码、车辆识别代码。
  三级敏感数据（L3）	性别、民族、省份（中国内地）、城市（中国内地）、未校验的身份证号、SwiftCode、日期、URL链接。

• API安全支持检测哪些API风险类型？

  风险类型	说明
  疑似内部接口暴露	内部接口（例如，用于内部办公、开发测试、运营管理的接口）暴露在公网。
  缺乏访问限速机制	接口在应对高频访问时，缺少安全防护机制，可能导致暴力破解、恶意爬虫等。
  敏感数据过度暴露	接口暴露过多的敏感数据，可能导致大规模数据泄漏。
  缺乏异常处理机制	检测到程序报错信息，可能存在SQL注入、泄漏应用配置等风险。
  缺乏访问控制机制	接口对不符合日常基线的访问（例如，异常地区访问）缺乏控制机制。
  敏感数据接口缺乏鉴权机制	接口缺少鉴权机制，可以被未授权的访问者访问，用于获取敏感数据。

• API安全支持检测哪些异常事件类型？

  事件类型	说明
  来自异常地区的接口调用	例如，日常访问该接口的请求集中在北京地区，某天发现来自美国的请求调用了该接口。
  来自异常源IP的接口调用	例如，日常访问该接口的IP集中在192.0.XX.XX，某天发现192.1.XX.XX调用了该接口。
  来自异常终端的接口调用	例如，日常访问该接口的客户端主要是浏览器，某天发现有请求通过Python脚本调用了该接口。
  来自异常时段的接口调用	例如，日常访问该接口的请求活跃时间集中在09:00~17:00，某天发现有请求在03:00调用了该接口。
  针对登录接口的暴力破解	有攻击者暴力破解了账号密码。
  针对登录接口的撞库攻击	有攻击者批量登录，试图撞库。
  未授权访问获取敏感信息	有调用者在未授权的情况下，访问接口获取了敏感数据。
  过多的敏感数据获取	某调用者通过该接口获取了大量的敏感数据。
  异常的批量注册行为	该接口上发生了大量账号注册行为，疑似垃圾注册。
  异常的批量导出行为	该接口上发生了大量下载或导出文件的行为。
  异常的高频访问行为	该接口被调用的频率远高于正常频率。
  验证码暴力破解	该接口上发生了暴力破解验证码的行为。
  短信接口资源滥用	短信发送接口被高频调用，导致短信资源被恶意消耗。
  邮箱接口资源滥用	邮件发送接口被高频调用，可能遭受了邮件炸弹攻击。
  遍历爬取接口数据	该接口上发生了遍历某个参数，高频爬取接口数据的行为。
  不符合规范的接口调用	调用请求中的某个参数不符合接口参数规范，例如，正常情况下参数A是整数格式，但发现调用请求中的参数A使用了字符串格式。