绿盟科技被Gartner®中国API市场指南报告列为市场代表供应商

　　近日，咨询机构Gartner发布了Market Guide for API Management， China（《中国API管理市场指南》，2023年8月），绿盟科技被列为代表供应商。
　　随着互联网应用的不断多元化和复杂化，应用服务化已经成为一个显著的趋势。在越来越多的场景中，API被广泛应用于应用架构中，用于应用间的数据传输和控制。同时，随着传输数据量和敏感性的增加，API面临着越来越频繁和多样化的攻击。因此，API安全已经成为众多企业高度关注的问题。为了保护数据安全，《信息安全技术个人信息安全规范》《数据安全法》和《个人信息保护法》相继出台。在各种法律法规、国标行标中，都能看到API作为数据接口，在数据的传输、使用、共享阶段所起到的作用和需要解决的安全问题。
　　与此同时，随着API的使用越来越多，也有越来越多的攻击专门针对API而来。2023年6月，本田动力设备的电商平台存在API漏洞，攻击者可为任何账户重置密码。2022年7月，Twitter的一个API漏洞，导致数百万用户数据被泄露。CVE官网上，与API相关漏洞已达3000多个，逐渐形成了以API为媒介的软件供应链安全风险。各行各业由于自身业务的特点和技术的应用，也面临着不同的API安全威胁。
　　绿盟科技API安全解决方案
　　绿盟科技API安全解决方案，以API生命周期为脉络，通过不同技术手段解决API设计、开发、测试、上线发布、运营监控、下线中面临的安全风险。以数据安全生命周期为导向，在数据传输、数据开发测试、数据共享交换阶段，从API视角解决数据安全的监测、管控、处置问题。以应用架构为基础，覆盖数据中心机房、公有云、私有云、云原生等不同的API架构风险。按照不同类型的API所面临的安全风险，应用不同的防护手段，贴近客户场景，保障业务连续性，提供安全价值。

绿盟科技全生命周期API安全治理体系

　　API安全能力介绍
　　API安全审计能力
　　绿盟科技推出API安全检测与响应方案（简称ADR方案），应对API安全监测与审计溯源场景。ADR方案通过API安全运营平台+流量探针基础，实现API安全运营工作。
　　ADR可发现针对API的攻击特征、异常行为、敏感数据泄露和API自身脆弱性，并结合API探针整合各省份数据，汇总API资产数据及事件信息，自动化风险研判，将识别到的资产变更及风险事件与指挥调度平台的工单系统联动。同时ADR方案是为数据安全大方案量身定做的子方案，配合数据分级分类、访问控制、脱敏水印、数据流转等能力建设一体化数据安全体系。
　　云原生API安全能力
　　绿盟科技凭借对云原生技术的探索和多年积累，提出云原生API安全解决方案。不仅支持daemonset、deployment等多种部署模式，还能适配Kubernetes、Openshift和Service Mesh等多种云原生管理框架。通过统一的云原生API安全管控平台，对于所有的云原生API安全探针进行管理、安全数据分析。通过云原生API安全探针，不仅能捕获pod级别的API流量，不放过任何一次东西向流量会话；还能跟踪绘制API调用访问序列，形成云原生内部的业务链路可视化。
　　API安全防护能力
　　绿盟科技API安全运行时防护系统，内置丰富的API防护规则，针对十数种不同类型的Web攻击特征进行防护，且通过个性化的模板进行封装，一键应用，快速生效，可有效防护对API的注入攻击、开源框架漏洞攻击、远程命令执行攻击等。同时通过自动化工具识别技术，避免黑灰产对API的滥用，逻辑漏洞利用或者批量爆破登录接口等操作。基于准确的检测引擎，可快速阻止针对API的攻击行为和调用。避免攻击者对于API的利用。
　　API访问控制能力
　　绿盟科技API安全网关可以按需对API进行访问控制，提供细粒度、自定义、贴合业务流程的API访问与数据传输控制点。通过丰富的授权模型，可以保证在不同场景下根据限定API访问权限，还能按需对API传输数据进行脱敏。也能通过API审计能力，记录账号对于API、数据的访问详细信息，发现不合规的数据调用、脱敏不充分、敏感数据泄露等场景。
　　API资产识别与管理能力
　　绿盟科技API安全解决方案，可结合已形成的数据分级分类规范，对流动中的数据进行监控和审计，发现敏感数据的不合规传输与泄露。同时，配合医院网络建设，在内、外网分别架设两套API安全审计系统，分别针对DMZ区的API流量和内网出口区的API流量进行监控，形成API资产列表。
　　通过部署API安全解决方案，能够快速梳理出API资产、业务系统列表、账号资产，并将三者进行关联，形成明确的资产信息。同时，通过与分级分类规则的联动，能够同时覆盖静态数据与动态数据的分级分类，观测敏感数据的流动性，避免关键数据的泄露。配合研判和溯源模块，能够快速发现安全事件、追溯泄露源头。
　　绿盟科技深耕API安全多年，配合多年的攻防实战经验，形成一套覆盖全生命周期，包含检测、防护、分析、响应的API安全解决方案。覆盖API资产管理、攻击检测、异常行为分析、滥用识别、脆弱性发现、访问控制等能力，同时也在不断探索API安全的外延场景与创新的技术方案。我们认识到API经济为业务带来价值的同时，也存在着各种各样的安全风险。由于API不可见的特性，很容易成为安全体系建设中的“灰犀牛”。绿盟科技API安全解决方案致力于贴合行业场景，为大家切实解决API所引入的安全问题。
　　参考文献
　　[1]Market Guide for API Management， China
　　说明：Gartner未在其报告中支持任何厂商、产品或服务，也并不建议科技客户只选择最高评分或其它指定的厂商。Gartner报告含有其研究组织的意见，但该研究意见不应被视作事实陈述。针对此报告，Gartner不承担相关明示或暗示的保证，包括任何适销性或适用于特定目的的保证。Gartner是Gartner有限公司和/或其附属公司在美国及全球的注册商标和服务商标，经许可在此使用，保留所有权利。GARTNER 是 Gartner， Inc. 和/或其关联公司在美国和国际上的商标和服务标识，并在获得许可的情况下在此使用。保留所有权利。