本申请实施例公开了一种风险API发现方法、风险API发现装置以及存储介质，用于API技术领域。本申请实施例的方法包括：被动检测API访问流量，以获取API访问流量中第一API路径；基于风险API规则，对第一API路径进行重构，得到重构后的第二API路径，其中，第二API路径为不应暴露至外网的风险API；对第二API路径进行访问，以确定第二API路径是否暴露至网络，根据确定结果对第二API路径进行安全处置。本申请实施例中，通过对第一API路径进行重构得到第二API路径，对第二API路径进行访问，能够主动确定第二API路径对应的风险API是否暴露至网络，能在风险API被外部访问利用之前对风险API进行处理。进行处理。进行处理。
【技术实现步骤摘要】
一种风险API发现方法、风险API发现装置以及存储介质
[0001]本申请实施例涉及API
，尤其涉及一种风险API发现方法、风险API发现装置以及存储介质。
技术介绍
[0002]现有的，在数据安全领域，API(ApplicationProgrammingInterface,应用程序编程接口)在当前已是一种呈爆炸式增长的对外供数方式，传统产品如WAF(基于规则)或者API网关(偏服务治理)难以解决API相关的安全问题，如API资产发现、API脆弱性发现以及异常行为监测等。
[0003]目前对于API资产发现以及API脆弱性发现，主要的解决方案为分析镜像流量，被动采集API信息，继而分析API相关的脆弱性，少部分产品会在测试环境进行主动的自动化验证。具体为：1、基于对镜像流量的分析，被动发现API。对导入的API镜像流量进行分析，从中被动提取被外部访问的API信息。2、基于对镜像流量的分析，检测API的脆弱性。对导入的API镜像流量进行分析，根据API的请求与响应数据，检测出API自身的脆弱性，比如弱密码、明文密码、不安全的配置、未授权访问等。3、基于发现的脆弱性，在测试环境构造各种对应payload有效载荷进行自动验证。自动化验证工作，受限于生产环境的特殊性，一般都在测试环境进行，此时主要是主动发送请求，通过构造payload，对返回的响应进行分析来验证脆弱性。
[0004]现有的API资产发现为，基于镜像流量被动进行API发现的方法，在发现风险上存在很大滞后与不足。这种方法当API已经发生了实际的访问行为，才能从镜像流量中被动发现该API，然后才能根据实际情况对API采取防护、修复或者下线等不同的处理措施。但访问发生时该API已经被成功利用，对于僵尸API、调试API等隐藏的风险API，往往存在极大的安全风险，如果等到被外部访问利用之后再发现并处理，往往损失已经造成。
技术实现思路
[0005]本申请实施例提供了一种风险API发现方法、风险API发现装置以及存储介质，能够主动确定风险API是否暴露至网络，能在风险API被外部访问利用之前对风险API进行处理。
[0006]本申请实施例提供了一种风险API发现方法，包括：
[0007]被动检测API访问流量，以获取所述API访问流量中第一API路径；
[0008]基于风险API规则，对所述第一API路径进行重构，得到重构后的第二API路径，其中，所述第二API路径为不应暴露至外网的风险API；
[0009]对所述第二API路径进行访问，以确定所述第二API路径是否暴露至网络，根据确定结果对所述第二API路径进行安全处置。
[0010]进一步的，所述被动检测API访问流量，以获取所述API访问流量中第一API路径包括：
[0011]对所述API访问流量对应的API镜像流量进行分析；
[0012]被动提取所述API镜像流量中的第一API路径。
[0013]进一步的，所述基于风险API规则，对所述第一API路径进行重构，得到重构后的第二API路径包括：
[0014]获取不同的风险API类别分别对应的第一API特征信息；
[0015]使用预设风险API类别对应的第一API特征信息对所述第一API路径进行重构，得到重构后的第二API路径，其中，所述重构后的第二API路径属于所述预设风险API类别。
[0016]进一步的，所述风险API类别包括：僵尸API、调试API、多版本API、组件相关API以及管理类API；
[0017]所述第一API特征信息包括：API路径中的关键字、API路径的构造格式、API路径末尾的附加访问路径以及API路径中的默认端口。
[0018]进一步的，所述基于风险API规则，对所述第一API路径进行重构，得到重构后的第二API路径还包括：
[0019]获取动态API规则；
[0020]基于所述风险API规则以及所述动态API规则对所述第一API路径进行重构，得到重构后的第二API路径。
[0021]进一步的，所述风险API规则包括：与风险API类别自身对应的第一API特征信息；所述动态API规则中包括：对多种风险API分析得到的与风险API类别对应的第二API特征信息；
[0022]所述基于所述风险API规则以及所述动态API规则对所述第一API路径进行重构，得到重构后的第二API路径包括：
[0023]使用目标风险API类别对应的第一API特征信息以及第二API特征信息对所述第一API路径进行重构，得到重构后的第二API路径，其中，所述重构后的第二API路径属于所述目标风险API类别。
[0024]进一步的，所述对所述第二API路径进行访问，以确定所述第二API路径是否暴露至网络包括：
[0025]在网络上周期性访问所述第二API路径，并确定是否访问成功；
[0026]若访问成功，则确定所述第二API路径已暴露至网络；
[0027]若访问失败，则确定所述第二API路径未暴露至网络。
[0028]进一步的，所述根据确定结果对所述第二API路径进行安全处置包括；
[0029]若所述确定结果为所述第二API路径已暴露至网络，则通过预设核查规则核查是否需要所述第二API路径，根据核查结果对所述第二API路径进行处置。
[0030]本申请实施例还提供了一种风险API发现装置，包括：
[0031]获取单元，用于被动检测API访问流量，以获取所述API访问流量中第一API路径；
[0032]重构单元，用于基于风险API规则，对所述第一API路径进行重构，得到重构后的第二API路径，其中，所述第二API路径为不应暴露至外网的风险API；
[0033]访问单元，用于对所述第二API路径进行访问，以确定所述第二API路径是否暴露至网络，根据确定结果对所述风险API进行安全处置。
[0034]本申请实施例还提供了一种风险API发现装置，包括：
[0035]中央处理器，存储器，输入输出接口，有线或无线网络接口，电源；
[0036]所述存储器为短暂存储存储器或持久存储存储器；
[0037]所述中央处理器配置为与所述存储器通信，在控制面功能实体上执行所述存储器中的指令操作以执行上述的风险API发现方法。
[0038]本申请实施例还提供了一种计算机可读存储介质，所述计算机可读存储介质包括指令，当所述指令在计算机上运行时，使得计算机执行如上述的风险API发现方法。
[0039]从以上技术方案可以看出，本申请实施例具有以下优点：
[0040]本申请实施例的方法包括：被动检测API访问流量，以获取API访问流量中第一API路径；基于风险API规则，对第一API路径进行重构，得到重构后的第二API路径，其中，第二API路径为不应暴露至外网的风险API；对第二API路径进行访问，以确定第二API路径是否暴露至本文档来自技高网...
【技术保护点】
【技术特征摘要】
1.一种风险API发现方法，其特征在于，包括：被动检测API访问流量，以获取所述API访问流量中第一API路径；基于风险API规则，对所述第一API路径进行重构，得到重构后的第二API路径，其中，所述第二API路径为不应暴露至外网的风险API；对所述第二API路径进行访问，以确定所述第二API路径是否暴露至网络，根据确定结果对所述第二API路径进行安全处置。2.根据权利要求1所述的风险API发现方法，其特征在于，所述被动检测API访问流量，以获取所述API访问流量中第一API路径包括：对所述API访问流量对应的API镜像流量进行分析；被动提取所述API镜像流量中的第一API路径。3.根据权利要求1所述的风险API发现方法，其特征在于，所述基于风险API规则，对所述第一API路径进行重构，得到重构后的第二API路径包括：获取不同的风险API类别分别对应的第一API特征信息；使用预设风险API类别对应的第一API特征信息对所述第一API路径进行重构，得到重构后的第二API路径，其中，所述重构后的第二API路径属于所述预设风险API类别。4.根据权利要求3所述的风险API发现方法，其特征在于，所述风险API类别包括：僵尸API、调试API、多版本API、组件相关API以及管理类API；所述第一API特征信息包括：API路径中的关键字、API路径的构造格式、API路径末尾的附加访问路径以及API路径中的默认端口。5.根据权利要求1所述的风险API发现方法，其特征在于，所述基于风险API规则，对所述第一API路径进行重构，得到重构后的第二API路径还包括：获取动态API规则；基于所述风险API规则以及所述动态API规则对所述第一API路径进行重构，得到重构后的第二API路径。6.根据权利要求5所述的风险API发现方法，其特征在于，所述风险API规则包括：与风险API类别自身对应的第一API特征信息；所述获取动态API规则包括：对多种风险API分析得到与风险API类别对应的第二API特征信息，将所述第二API特征信息作为...
【专利技术属性】
技术研发人员：彭碧波，
申请(专利权)人：深圳市深信服信息安全有限公司，
类型：发明
国别省市：
还没有人留言评论。发表了对其他浏览者有用的留言会获得科技券。