主要挑战是，API 往往不受管理，并且在进入生产环境中时会存在错误配置、身份验证控制不严格和意外暴露于互联网之中等问题，因而导致它们成为攻击者的主要目标。
- API 创造商业价值：应用程序编程接口 (API) 有助于推动创新和提高收入，由这些 API 形成的生态系统不断发展壮大，并融入到企业推出的各项数字或云计划中。
- 但 API 也会带来风险：攻击者意识到，API 可能成为直通公司敏感数据的快捷通道。相关的漏洞很多，开发过程往往“重速度、轻安全”，导致 API 在进入生产环境中时经常会存在错误配置和编码错误等问题。
- API 安全方面的关键组成部分：应对 API 安全挑战的核心在于“持续防护”，也就是说，在 API 创建并投入生产环境的过程中，将持续防护融入安全团队和开发人员的全工作流程之中。在本文中，您将了解如何：
- 培养让 AppSec 专家深入企业工程团队的新型文化。
- 发现 API 的完整清单，以掌握企业的 API 安全风险状况。
- 确定修复措施的优先顺序，尽可能自动完成修复，并将 API 安全无缝集成到当前的应用程序安全系统中。
- 保持持续警惕并进行持续 API 测试，以确保快速识别并抵御新的漏洞。
常见问题
涉及 API 开发的业务线计划往往将速度和商业目标置于安全之上。开发人员面临快速交付的压力，而安全团队缺乏对这些项目的监测能力。
完整的 API 清单往往也包含被遗漏的影子、僵尸和休眠 API，它能帮助企业评估整个 API 攻击面并识别每一项 API 风险，所以该清单至关重要。
关键步骤包括，与现有 IT 工作流程管理系统相集成、分阶段进行自动修复、监控恶意行为，以及与现有 SIEM 系统相集成以确保实现全面的数据利用。
在 API 安全领域中，“左移”是指将测试和安全任务移至开发过程的早期阶段。这可确保开发人员能够在 API 的整个生命周期内持续监视漏洞，从而实现更快、更有效的修复。
持续 API 测试之所以必不可少，是因为它可确保在生产前和生产后的各个阶段，漏洞均能被识别并得到缓解。生产环境中的实时监控和测试有助于维持软件的稳定性及性能，同时能够改善用户体验。
自动化在 API 安全中发挥着至关重要的作用，它能够帮助将修复操作与现有的 IT 工作流程管理系统相集成、分阶段进行自动修复并持续监控恶意行为。这可以减少解决漏洞所需的时间及精力，并且能够减轻直接风险。