金融3.0的到來，金融業正面臨著更多的挑戰，其中API的安全性成為焦點。未來幾年API數量將呈現指數級的成長，並且API成為最常受到攻擊的企業Web應用服務之一。因此，如何有效地保護API成為企業安全團隊的重要任務。
政府法規與金管會規則對API安全的影響
金融業作為一個高度數字化和資訊化的行業，其安全性至關重要。政府法規和金融監管機構（如金管會）通常針對金融業制定一系列的法規和規則，以保護金融機構的運作安全和用戶數據的隱私保護。這些法規和規則對金融業的API安全性提出了明確的要求，金融機構需要遵守這些規定以確保其API的安全性和合規性。
1.1 政府法規對API安全的要求
政府法規通常要求金融機構對其API進行嚴格的安全保護，以確保用戶數據的安全和隱私。這些要求可能包括：
-
身份驗證要求： 金融機構需要確保對API的訪問進行嚴格的身份驗證，以確保只有授權的用戶可以訪問敏感數據。
-
資料加密規範： 對於傳輸中的敏感數據，金融機構通常需要使用加密技術進行保護，以防止數據在傳輸過程中被截取或竊取。
-
監控報告要求： 金融機構需要對其API的使用情況進行監控和報告，以及時發現和應對可能的安全威脅和風險。
1.2 金管會對API安全的要求
金管會作為金融業的監管機構，對金融機構的API安全提出了更具體和專業的要求。金管會的要求通常更加細緻化和具體化，包括：
-
身份驗證和授權要求： 金管會要求金融機構確保其API的身份驗證和授權機制的安全可靠，以防止未授權的用戶訪問敏感數據。
-
安全監控和報告要求： 金管會要求金融機構對其API的使用情況進行持續監控和報告，及時發現和應對可能的安全威脅和風險。
-
漏洞修補和風險評估要求： 金管會要求金融機構對其API進行定期的漏洞修補和風險評估，以及時發現和修復可能存在的安全漏洞和風險。
金融業API安全的挑戰與Imperva的解決方案
雖然政府法規和金管會規則對金融業的API安全提出了明確的要求，但金融機構仍面臨著諸多挑戰。這些挑戰包括：
2.1 身份驗證漏洞
身份驗證是API安全的關鍵環節之一，但金融機構常常存在身份驗證漏洞，使得未授權的用戶可以訪問敏感數據，從而導致安全風險。
2.2 資料外洩風險
金融機構的API可能存在資料外洩風險，使得敏感數據在傳輸和存儲過程中遭到截取或竊取，從而導致用戶數據的泄露和損害。
2.3 API攻擊
金融機構的API可能面臨各種類型的攻擊，包括DDoS攻擊、SQL注入攻擊等，這些攻擊可能導致API服務的中斷和用戶數據的損害。
對於這些挑戰，Imperva提供了一系列的解決方案來幫助金融機構應對。
2.4 Imperva的解決方案
Imperva作為一家專業的資訊安全公司，提供了一系列的解決方案來幫助金融機構應對API安全的挑戰。其解決方案包括：
-
強大的身份驗證和授權機制： Imperva提供了強大的身份驗證和授權機制，可以有效防止未授權的用戶訪問敏感數據。
-
資料加密技術： Imperva提供了先進的資料加密技術，可以保護敏感數據在傳輸和存儲過程中的安全。
-
攻擊監控和應急響應： Imperva提供了全面的攻擊監控和應急響應功能，可以及時發現和應對可能的安全威脅和攻擊。
仔細看看 BOLA
BOLA 是一種安全漏洞，當應用程式或應用程式介面 (API) 根據使用者角色提供對資料物件的存取權限，但無法驗證使用者是否有權存取這些特定資料物件時，就會出現該漏洞。 BOLA 是授權缺陷大家族的一部分，是應用程式安全的一個主要問題。
BOLA 預防和緩解策略包括實施適當的存取控制、使用映射來追蹤使用者是否有權存取所請求的對象、應用強大的身份驗證和會話管理來驗證使用者並確保他們的會話得到正確管理。
API 管理（APIM）為金融企業避雷 打造零金融檢查缺失
金融企業皆須針對金管會提出的金融檢查項目進行檢核準備，主要涵蓋防制洗錢、打擊資恐及反武器擴散落實情形、法令遵循制度實施情形、公司治理運作落實情形、資通安全管理、金融消費者保護作業、個人資料保護等 6 項。因此，不想有金融缺失，要注意別踩哪些雷？
API 管理與金融檢查密切相關，而APIM平台的選擇關係到金融企業是否能適應金融檢查的要求。APIM平台能夠協助金融機構滿足金融檢查中的多項要求，包括API 分級協助、API 部署授權、API 適當認證、API 即時監控、API 控管機制等。其中，對於金融機構來說，特別需要關注的是 API 的分級協助和部署授權，以確保 API 的安全運行和合規性。
API氾濫造成的重大威脅與挑戰
API的激增帶來了分散性管理的挑戰，85%的企業在多個公有雲、本地端和邊緣的分散式環境中部署應用和API，擴大了攻擊面。此外，被遺棄的API也存在著風險，過時或殭屍API可能因未被管理而成為安全漏洞。更令人擔憂的是，許多企業經歷過敏感資料或隱私事件外洩，這不僅導致巨大的成本，還損害了企業的聲譽。
如何強化API防護?
為了應對這些挑戰，企業安全團隊需要針對API進行盤點，並實施相應的防護機制：
-
確保安全基礎架構：在多雲與微服務環境裡，安全團隊需確保基礎設施有足夠的能力來支撐全面的API攻擊防禦。
-
建構API學習識別模型：利用人工智慧和機器學習技術建立API模型基線，並追蹤API的行為，以識別異常情況。
-
識別API請求驗證和授權：針對每個API資源提供詳細的身份驗證狀態和風險評分，確保來源身份驗證及存取內容符合安全要求。
-
發現PII敏感資訊檢測：偵測並標記透過API公開的個人身份識別信息（PII），並具有隱藏敏感資料的屏蔽功能，以保護用戶隱私。
-
強化API盤整機制與管控：建立完整的API資源盤點和監控機制，確保安全管控範圍之內的API資源，並主動發現脫離安全管控範圍的API。
-
建立API攻擊防禦機制：基礎設施應具備應用程式防火牆（WAF），並提供立即阻斷惡意API請求的能力，以保護API不受攻擊。
Imperva的優勢及價值
Imperva作為一家領先的資訊安全公司 ，具有以下優勢和價值：
在當今數位化的世界中，API安全性已成為企業面臨的重要議題。根據OWASP的報告，BOLA是API面臨的最大風險。然而，透過Imperva的解決方案，您可以有效地防範這種風險。Imperva不僅提供全面的API安全防護，還能幫助您應對金融3.0時代的挑戰。我們的解決方案將確保您的API在進行開放銀行交易時，能夠得到六大機制的保護。選擇Imperva，讓我們一起打造一個安全、可靠的API環境。
IMPERVA台灣唯一白金級合作夥伴-蓋亞資訊
蓋亞資訊是亞太最大的專業 DDoS 防禦服務供應商，提供企業完整的解決方案，可阻擋所有DDoS種類的攻擊，已成功協助客戶抵擋數百萬起的DDoS攻擊事件，擁有豐富的防禦經驗，且為IMPERVA 台灣地區唯一白金級合作夥伴，是企業雲端資安防護的最佳選擇。
