API – 绿盟科技技术博客

洞见RSA 2022 | API安全防护分析

一、API基本情况随着云计算、移动互联网的发展，越来越多的企业业务逐步云化，移动办公逐渐兴起。这些应用系统开

RSAConference2022将于旧金山时间6月6日召开。大会的Innovation Sandbox（沙盒

一、API安全介绍与关键研究成果 1、介绍对于现代企业来说，API不再只是一个技术基础架构。API迅速成为

DHARMA模型定义一种微服务API的安全防护策略，其核心思想是区域化管理，就好比为这些服务修筑了城墙。

Cisco已经发布了解决上述漏洞的更新, 建议相关用户及时升级进行防护。

API将是未来企业核心对外的业务接口，这导致了Bot流量占比继续大幅度上升。一方面，增加了业务与业务之间正常的交互；另一方面，催生了背后附加的黑灰产的蓬勃发展。

当地时间8月28日，Cisco官方发布公告修复了Cisco IOS XE软件的REST API虚拟服务容器中一个认证绕过漏洞（CVE-2019-12643）。

漏洞成因是管理REST API身份验证服务的代码执行了不正确的检查。攻击者可以通过向目标设备提交恶意HTTP请求来利用此漏洞。

成功的漏洞利用可允许攻击者获得一个已经过身份验证用户的令牌id。此令牌id可用于绕过身份验证，并通过受影响的Cisco IOS XE设备上的REST API虚拟服务容器接口执行特权操作。