小阑本阑的博客_API安全

API用户行为分析监测

一、认证鉴权技术基于Session-Cookie认证相信大家对Session-Cookie认证并不陌生，它是一种利用服务端的 Session（会话）和浏览器（客户端）的 Cookie 来实现的前后端通信认证模式，长期以来一直处于主流地位。由于 HTTP 是无状态的，借助 Cookie，客户端登陆成功后，服务端能识别出其后续请求，无需每次都登陆。它是有状态的，即服务端和客户端都需要保存生成的 S

API

客户端

服务端

原创精选 10月前 360 阅读 yyds干货盘点

API NEWS | 第三方API安全性最佳实践

API

身份验证

数据

原创精选 10月前 362 阅读 1点赞 yyds干货盘点

保护敏感数据的艺术：数据安全指南

多年来，工程和技术迅速转型，生成和处理了大量需要保护的数据，因为网络攻击和违规的风险很高。为了保护企业数据，组织必须采取主动的数据安全方法，了解保护数据的最佳实践，并使用必要的工具和平台来实现数据安全。本文将探讨什么是敏感数据，指导您了解数据安全的一些基础知识，讨论数据泄露的风险和挑战，提供一些保护敏感数据安全的最佳实践，并解释如何使用数据安全平台确保敏感数据受到保护。一、了解敏感数据敏感数据是由

数据

敏感数据

数据安全

原创 10月前 168 阅读 yyds干货盘点

数据分类：数据安全终极指南

并非所有数据都是平等的。在当今复杂的数字世界中，试图以同等的力量保护每一个数据资产既不可行也不明智。由于手头有数 TB 甚至 PB 的数据，数据安全团队需要变得更加复杂 - 他们需要数据分类。数据分类是保护关键和敏感数据的关键。通过对数据进行分类，您可以对实际重要的数据应用有效的安全措施。这对于保护数据免受未经授权的访问和破坏以及确保完全符合行业法规和标准至关重要。在本文中，我们将探讨不同的数据分

数据

结构化

解决方案

原创 10月前 160 阅读 yyds干货盘点

9月重点关注这些API漏洞

为了让大家的API更加安全致力于守护数字世界每一次网络调用小阑公司 PortalLab实验室的同事们给大家整理了9月份的一些API安全漏洞报告希望大家查漏补缺及时修复自己API可能出现的漏洞No.1 Hadoop Yarn资源管理系统REST API未授权访问漏洞漏洞详情：Hadoop是一款由Apache基金会推出的分布式系统框架，它通过著名的 MapReduce 算法进行分

Hadoop

身份验证

应用程序

原创 10月前 224 阅读 yyds干货盘点

【技术干货】Attacking SOAP API

SOAP API 介绍SOAP（Simple Object Access Protocol）简单对象访问协议是交换数据的一种协议规范，是一种轻量的、简单的、基于XML（标准通用标记语言下的一个子集）的协议，它被设计成在WEB上交换结构化的和固化的信息。SOAP API是采用SOAP协议的应用程序接口，和REST API不同的是，SOAP 是一种协议，而 REST 是一种架构风格，这对 SOAP A

API

XML

REST

原创 10月前 102 阅读 yyds干货盘点

评估DSPM解决方案时要考虑的五大问题

随着企业越来越意识到数据安全的重要性，DSPM市场正在迅速扩大。Gartner在其最新的“数据安全炒作周期”报告中，将术语“数据安全态势管理”解释为新兴的解决方案类别。在该定义中，Gartner 强调 DSPM 解决方案使您的企业能够：清点、分类和保护其数据防止数据泄露；确保遵守法规。但是，当您要设置 DSPM 解决方案时，您必须能够区分供应商。随着供应商数量的不断增加，可能很难知道合适的供应商。

数据

解决方案

敏感数据

原创 11月前 179 阅读 yyds干货盘点

6个基于DSPM组件的使用案例

在这个信息技术时代，企业必须应对日益增长的生成和保护大量数据的需求。这就是为什么制定广泛而有效的策略来处理和保护这些数据比以往任何时候都更加重要的原因。数据安全状况管理（DSPM）是一种解决方案，可帮助现代组织实施全面的数据安全措施。在本文中，您将了解 DSPM 用例，并了解组织如何利用 DSPN 解决方案来确保数据安全性和数据法规合规性。DSPM 解决方案是过程和技术的混合体，使组织能够掌控

数据

数据安全

解决方案

原创 11月前 185 阅读 yyds干货盘点

什么是DSPM？数据安全状况管理的全面概述

随着数据量的生成以及保护其关键信息的需求，数据安全状况管理（DSPM）不再是企业的必需品。DSPM 是一种数据优先方法，用于在数据高度碎片化的不断变化的环境中保护数据。DSPM 使组织能够通过自动执行静态和动态数据分析来增强其安全状况，以提供数据编目、数据流图、风险管理以及事件检测和响应。通过 DSPM 检测和管理风险，组织可以保护其数据、避免数据泄露并确保遵守相关法规（如 GDPR）。本文详

数据

数据安全

敏感数据

原创 2023-09-19 17:35:04 861 阅读 yyds干货盘点

API NEWS | Jetpack WordPress插件存在API漏洞

API

数据

GraphQL

原创 2023-09-06 15:08:40 148 阅读 yyds干货盘点

GraphQL API渗透测试指南

GraphQL简介GraphQL 是一种面向数据的 API 查询风格。传统的 API 拿到的是前后端约定好的数据格式，GraphQL 对 API 中的数据提供了一套易于理解的完整描述，客户端能够准确地获得它需要的数据，没有任何冗余，也让 API 更容易地随着时间推移而演进。RESTful VS GraphQLGraphQL API与Rest API最大的区别在于：GraphQL 通过将数据查询和数

GraphQL

API

字段

原创 2023-09-05 16:34:26 212 阅读 yyds干货盘点

2023年8月API漏洞汇总

随着网络信息安全边界不断弱化，安全防护对象不断增加，攻击面愈发放大，对数据安全、信息安全提出了巨大挑战，同时也为网络信息安全市场打开了新的增量空间。API已经成为其面向内外部持续提高能力输出、数据输出、生态维系的重要载体。API经济已是产业互联网中一个重要的组成部分，通过API经济，促进各行各业的数据变更和业务升级。为了更好的帮助企业保护好API资产和数据安全，避免因API安全问题给企业带来不必要

API

数据

SQL

原创 2023-09-04 14:06:10 134 阅读 yyds干货盘点

技术专题：API资产识别大揭秘（二）

在上一期中，我们介绍了API资产的识别技术，探讨了API资产的定义以及各类风格API的识别技术。在本期中，我们将继续介绍API资产识别中的API聚合技术。一、相关介绍作为API资产梳理中的关键环节，API聚合的目的是从流量数据中识别出各种API，并通过分析将流量中API进行归一化处理。*API资产聚合其实类似于生活中的物品聚类。在API资产梳理过程中，将通信流量当中属于同一个的API接口用通用模式

API

字符串

相似度

原创 2023-08-30 14:32:33 172 阅读 yyds干货盘点

解密与探究：理解WebSocket协议与报文格式

1. 背景过去，在创建需要在客户端和服务端之间进行双向通信的 Web 应用程序（比如，即时通讯和游戏应用程序）时，需要滥用 HTTP，轮询服务端以获取更新，并且通过单独的 HTTP 调用发送上行通知。这导致许多问题：服务器被迫为每个客户端使用多个不同的底层 TCP 连接：一个用于向客户端发送信息，每个传入的消息都需要建立新连接。协议开销较高，每个客户端到服务端的消息都带有 HTTP 头。客户端脚本

服务端

数据

客户端

原创精选 2023-08-24 16:16:38 896 阅读 2收藏 yyds干货盘点

技术专题：API资产识别大揭秘（一）

在API安全威胁不断加剧、多样化，数字化系统面临着巨大的安全挑战背景下，企业必须积极构建API安全能力。而企业API安全防护的首要任务是API资产进行清晰了解和有效管理。本期，我们将揭示API资产识别的关键技术，以帮助企业高效清晰地完成API资产梳理工作。一、API资产识别技术概述API资产识别背景1、API资产梳理究竟有什么意义？API资产梳理的重要性其实要先于API安全能力的建设，安全有效性依

API

GraphQL

HTTP

原创 2023-08-16 16:08:32 222 阅读 yyds干货盘点

API NEWS | API安全需要重置

API

开发人员

数据

原创 2023-08-14 19:20:38 103 阅读

高级技巧：利用Lua编写安全场景的测试数据生成工具

背景在流量采集和分析的场景中，一种常见架构如下所示：在上述架构中，交换机通过流量镜像的方式，将用户与应用服务器之间的流量“复制”给流量采集/分析服务器。流量服务器上部署的采集探针负责协议数据包的重组，以及一部分流量分析工作，比如判断数据包是否触发某些规则。此时，需要对流量采集探针进行两方面的测试工作：性能测试：如果采集探针重组和分析数据包的性能不够高，那么将导致丢包，进而影响后续的进一步分析功能测

HTTP

Image

python

原创 2023-08-11 16:12:25 82 阅读

API NEWS | 2023年必备：API安全关乎大局

API

测试工具

数据

原创 2023-08-04 17:29:44 103 阅读 yyds干货盘点

人工智能对API黑客的影响

API

建模

数据

原创 2023-07-19 16:34:44 101 阅读

Docker Compose进行集成测试

集成测试通常是一项困难的活动，特别是在涉及到分布式系统时。即便正在构建单体应用，也可能需要启动数据库，来进行集成测试。这种事情在早期很容易做到，但随着代码库的增加，难度将呈指数级增长。值得庆幸的是，Docker Compose 使我们能够在运行 Docker 的任何环境中，进行集成测试。开始假设从一个单体体制开始，拥有一个服务和一个数据库。你可以像 1999 年那样，从源代码构建应用服务

docker

数据库

集成测试

原创 2023-07-12 12:50:29 146 阅读

API NEWS | API进化下的威胁升级：攻击速度刷新纪录

API

数据

OWASP

原创 2023-07-06 11:54:34 10000+阅读

WebSocket API安全风险解读

1. WebSocket协议1.1 简介WebSocket协议是基于TCP的一种新的网络协议。它实现了客户端与服务器全双工（full-duplex）通信，即允许服务器主动发送信息给客户端。因此，在WebSocket中，客户端和服务器只需要完成一次握手，两者之间就直接可以创建持久性的连接，并进行双向数据传输，这样也使得客户端和服务器之间的数据交换变得更加简单。 1.2 特点WebSocke

API

服务器

客户端

原创精选 2023-07-03 17:49:23 398 阅读

6月API安全漏洞报告

为了让大家的API更加安全，致力于守护数字世界每一次网络调用，小阑给大家整理了6月份的一些API安全漏洞报告，希望大家查漏补缺及时修复自己API可能出现的漏洞。No.1 MinIO未授权信息泄露漏洞漏洞详情：MinIO是一个开源的对象存储服务，它提供了云存储功能，可用于存储和管理大量数据。然而，MinIO在未正确配置和授权时可能存在信息泄露漏洞（CVE-2023-28432）。漏洞危害：

API

应用程序

身份验证

原创 2023-06-30 15:07:18 164 阅读 yyds干货盘点

API NEWS | 凭证泄漏导致API漏洞上升

API

数据

应用程序

原创 2023-06-26 12:43:27 119 阅读 yyds干货盘点

API NEWS | Booking.com爆出API漏洞

API

应用程序

数据

原创 2023-06-16 14:19:22 166 阅读

RBAC 和 Keto（Go RBAC 框架）

1. RBACRBAC（Role-Based Access Control）是最通用的权限访问控制系统。其思想是，不直接授予具体用户各种权限，而是在用户集合和权限集合之间建立角色集合。每种角色对应一组相应的权限，一旦用户被分配适当的角色，他就拥有此角色的所有权限。这样做的好处是，不必在每次创建用户时都分配权限，只要给用户分配相应的角色即可，并且角色的权限变更比用户的权限变更要少得多，这将简化用户的

ide

应用程序

元组

原创精选 2023-06-15 15:07:36 371 阅读

银行API安全解决方案

数字经济背景下，外部市场环境的快速变化给商业银行带来很多不确定性，随着银行行业数字化转型进入深水区，银行经营面临新的机遇和挑战。数字经济是传统银行向开放银行转型发展的重要支撑，开放银行旨在运用数字技术通过开放数据和业务，使得银行与互联网平台的对接更为标准化，可以服务更广泛的客群，有效解决传统营销方式下的获客成本高、效率低、粘性弱等问题，提高金融服务的可获得性，将银行服务能力与生活场景的“无缝对接”

API

数据

实时监控

原创 2023-06-13 12:41:44 156 阅读 yyds干货盘点

浅谈API安全与人工智能生态

随着人工智能技术的不断发展，API接口安全问题也日益凸显。API接口是现代互联网服务的核心组成部分，它提供了网络应用程序之间相互通信的方法，使得不同的软件和系统能够无缝地集成在一起，这为业务的快速部署和实现带来了巨大的便利性。然而，由于API接口开放性和易于使用的特点，同时也给黑客攻击者提供了可乘之机。攻击者可以通过恶意请求和注入攻击等手段，对API接口进行攻击，从而获取敏感数据或直接导致系统崩溃

API

人工智能

应用程序

原创 2023-06-12 15:00:50 94 阅读 yyds干货盘点

APISIX Ingress 控制器的安装及原理

简介APISIX 是动态、实时、高性能的 API 网关。它提供丰富的流量管理功能，比如负载均衡、动态上游、金丝雀发布、熔断、认证、可观测性等。既可以使用 APISIX API 网关处理传统的南北向流量，也可以使用它处理服务间的东西向流量。同时，它也可被用作 Kubernetes Ingress 控制器。APISIX Ingress 控制器提供 Helm 安装方式，但是使用原生 YAML 安装，更加

API

nginx

IP

原创 2023-06-09 18:24:32 450 阅读

5月这几个API安全漏洞值得注意！

5月份的一些API安全漏洞报告希望大家查漏补缺及时修复自己API可能出现的漏洞No.1 微软.NET Core漏洞漏洞详情：微软官方发布公告称，其.NET Core 2.1、3.1和5.0版本中存在一个漏洞（CVE-2023-31479），攻击者可以利用该漏洞在受影响的系统上查询、编辑、删除或添加文件（包括重要文件），从而导致系统被入侵的风险。漏洞危害：微软.NET Core漏洞CVE-

API

AWS

日志记录

原创 2023-06-02 15:44:13 124 阅读

官方博客	全部文章	热门标签	班级博客
了解我们	网站地图	意见反馈

鸿蒙开发者社区	51CTO学堂
51CTO	软考资讯

51CTO博客

starcross的博客

API用户行为分析监测

API NEWS | 第三方API安全性最佳实践

保护敏感数据的艺术：数据安全指南

数据分类：数据安全终极指南

9月重点关注这些API漏洞

【技术干货】Attacking SOAP API

评估DSPM解决方案时要考虑的五大问题

6个基于DSPM组件的使用案例

什么是DSPM？数据安全状况管理的全面概述

API NEWS | Jetpack WordPress插件存在API漏洞

GraphQL API渗透测试指南

2023年8月API漏洞汇总

技术专题：API资产识别大揭秘（二）

解密与探究：理解WebSocket协议与报文格式

技术专题：API资产识别大揭秘（一）

API NEWS | API安全需要重置

高级技巧：利用Lua编写安全场景的测试数据生成工具

API NEWS | 2023年必备：API安全关乎大局

人工智能对API黑客的影响

Docker Compose进行集成测试

API NEWS | API进化下的威胁升级：攻击速度刷新纪录

WebSocket API安全风险解读

6月API安全漏洞报告

API NEWS | 凭证泄漏导致API漏洞上升

API NEWS | Booking.com爆出API漏洞

RBAC 和 Keto（Go RBAC 框架）

银行API安全解决方案

浅谈API安全与人工智能生态

APISIX Ingress 控制器的安装及原理

5月这几个API安全漏洞值得注意！