API安全模块基于内置检测机制和自定义检测策略，自动梳理已接入Web应用防火墙（Web Application Firewall，简称WAF）防护的业务的API资产，检测API风险（例如未授权访问、敏感数据过度暴露、内部接口泄露等），通过报表还原API异常事件，审查出境数据和溯源敏感数据泄露事件，为您提供详细的风险处理建议和API生命周期管理参考数据，帮助您实现API安全防护。本文介绍如何进行API安全防护。
背景信息
在数字经济时代，商业环境变化迅速，企业对外部环境变化的快速响应提出了更高要求。数据需要流通并分享给第三方，以加快效率。通过API接口实现系统之间的相互通信已成为企业内外部系统集成的重要手段。越来越多的行业客户通过API开放平台将自身能力和资源开放，以打造产业生态。合作伙伴可以借助开放的优质资源进行快速的集成和创新，从而促进API经济的诞生，实现数据交互产生更多价值。对于企业服务，提供海量的API服务以及数据增值服务成为一项重要工作。然而，随着API的快速发展，面临的风险也在同步增加。攻击者可能在未授权的情况下获取API接口的访问权限，错误配置、非法的API访问请求可能导致敏感数据泄漏。因此，Web应用防火墙通过API监测和流量可视化，自动发现和归类API业务，形成正常的访问请求模型。一旦发现异常API访问，便能帮助处置并形成一个闭环。
使用限制
混合云接入、云产品接入（MSE、FC）的防护对象暂不支持该功能。
功能介绍
功能 | 说明 |
API安全通过离线分析业务访问日志，自动检测流量中存在的所有API，并支持根据接口特征，自动识别API业务用途。 | |
检测API存在的未授权访问、敏感数据暴露等各类安全风险，并提供详细的风险分析及安全处置建议。 | |
监控分析API的调用行为，及时发现各类异常访问或攻击行为。 | |
依据《数据出境安全评估办法》，API安全对如下场景的出境数据（包括个人信息数据、个人敏感信息数据）进行合规审查，帮助您快速识别API资产中存在的数据出境风险：
| |
当发生敏感数据安全事件时，API安全支持通过日志和敏感数据样例数据，交叉溯源安全事件。 | |
在内置检测机制的基础上，API安全支持自定义符合业务特征的检测策略，使得识别出的API资产更符合实际业务情况，进一步提高API安全检测的准确率与召回率。 | |
支持防护对象级别开启API安全，灵活控制API安全的生效对象。 |
您可以从以下问题，了解更多关于API安全的能力：
API安全支持检测哪些异常事件类型？
前提条件
已开通WAF 3.0服务。具体操作，请参见开通包年包月WAF 3.0、开通按量付费WAF 3.0。
步骤一：查看基础检测数据
在开通API安全前，您可以通过基础检测，查看安全事件总览、资产总览和安全事件列表数据，帮助您了解您的API安全信息。包年包月实例默认开启基础检测。如果您不希望了解相关数据，您也可以直接跳过该步骤。
按量付费实例暂不支持基础检测功能。
登录Web应用防火墙3.0控制台。在顶部菜单栏，选择WAF实例的资源组和地域（中国内地、非中国内地）。
在左侧导航栏，选择。
在基础检测区域，查看基础检测数据。
安全事件总览：包括API安全事件总数、高危事件数、中危事件数和低危事件数。
资产总数：包括API资产总数、活跃API数、失活API数。
安全事件列表：通过卡片，查看安全事件的名称、API路径、域名、攻击源和产生时间。
如果您希望查看传输敏感数据API数，或查看安全事件的更多风险详情和处置建议，您可以开通API安全。具体操作，请参见步骤二：开通API安全。
如果您不希望进行基础检测，您也可以单击基础检测开关，关闭该功能。
步骤二：开通API安全
API安全所有的计算和分析均离线完成，不会主动探测接口，不会对业务运行产生任何影响。
API安全会检测符合指定特征的请求响应的内容，用于判断API是否存在数据泄露风险。开通API安全，就意味着授权WAF进行相关分析。开通前，请根据实际业务进行评估。
登录Web应用防火墙3.0控制台。在顶部菜单栏，选择WAF实例的资源组和地域（中国内地、非中国内地）。
在左侧导航栏，选择。
开通API安全。
试用API安全
说明每个阿里云账号可免费试用一次API安全。
试用时长为开通后的7天内。试用结束后，如果您未开通正式版本，试用期间生成的分析数据将被立即清除。如果您需要保留试用期间的数据，继续使用API安全，请在试用结束前，开通正式版API安全。
在API安全页面，单击申请体验。按照API安全解决方案试用申请页面的提示，填写试用申请信息并单击提交。
阿里云工程师在收到试用申请的一周时间内，将通过提交的联系方式联系您，与您确认试用相关事宜。试用申请审核通过后，您的WAF实例会自动开通API安全功能。
开通正式版API安全
在API安全页面，单击立即开通。
在立即开通面板，开启API安全后，单击立即购买并完成支付。
步骤三：查看API安全数据
查看概览数据
在API安全页面的概览页签，查看API安全分析数据。
数据类型 | 说明 | 相关操作 |
API安全事件（图示①） | 通过统计数据，展示API安全事件的总数及今日新增数，包括高危风险事件数、中危风险事件数、低危风险事件数。 | 无 |
API风险（图示②） | 通过统计数据，展示API风险的总数及今日新增数，包括高危风险数、中危风险数、低危风险数。 | 无 |
API资产总览（图示③） | 通过统计数据，展示API资产相关信息，包括：
| 无 |
API资产列表（图示④） | 通过列表，展示检测发现的所有开放API，包含API名称、所属域名、请求方法、近30天调用量、敏感数据等级、敏感数据类型、服务对象、业务用途等信息。
| 单击列表右上角的 您可以通过如下方法，查找目标API：
定位到目标API后，您可以通过如下方法，管理目标API：
仅阿里云主账号支持该功能。
说明
|
图标，选择要在列表中展示的数据字段。
图标，选择API或域名，并输入对应的API接口地址或所属域名。
图标，选择要查看的类别。
图标。
图标。
图标，填写备注信息后，单击
图标。
图标，API安全将为您创建一个导出任务。查看风险检测数据
在API安全页面的风险检测页签，查看API风险检测分析数据。
数据类型 | 说明 | 相关操作 |
API风险总览（图示①） | 通过统计数据，展示API风险总数及今日新增数，包括高危风险数、中危风险数、低危风险数。 | 单击高危风险数、中危风险数、低危风险数后的立即查看，查看今日新增的风险。 |
API风险趋势（图示②） | 通过趋势图，展示最近30天内高风险、中风险、低风险API的风险变化趋势。 | 单击趋势图下的高风险、中风险、低风险，设置要展示的数据。 |
API风险类型统计（图示③） | 通过饼图，展示API风险类型统计数据。更多信息，请参见API安全支持检测哪些API风险类型？。 | 单击饼图右侧具体风险类型，设置要展示的数据。 |
API风险详情（图示④） | 通过列表，展示检测发现的风险API，包含风险ID、风险类型、来源类型、风所属的来源API名称、所属域名、业务用途、状态、关联安全事件数等信息。
| 单击列表右上角的 您可以通过如下方法，查找目标API风险：
定位到目标API风险后，您可以通过如下方法，管理目标API风险：
|
图标，选择要修改的风险状态后，单击确定。查看安全事件数据
在API安全页面的安全事件页签，查看API安全事件分析数据。
数据类型 | 说明 | 相关操作 |
API安全事件总览（图示①） | 通过统计数据，展示API安全事件的总数及今日新增数，包括高危风险事件数、中危风险事件数、低危风险事件数。 | 单击高危风险事件数、中危风险事件数、低危风险事件数后的立即查看，查看昨日新增的安全事件。 |
API安全事件趋势（图示②） | 通过趋势图，了解最近30天内高风险事件、中风险事件、低风险事件的变化趋势。 | 单击趋势图下的高风险、中风险、低风险，设置要展示的数据。 |
API事件类型统计（图示③） | 通过饼图，了解API事件类型统计数据。更多信息，请参见API安全支持检测哪些异常事件类型？。 | 单击饼图右侧具体事件类型，设置要展示的数据。 |
API安全事件详情（图示④） | 通过列表，展示检测发现的API安全事件，包含事件ID、事件类型、来源类型、安全事件所属的API名称、所属域名、业务用途、攻击源、状态、关联风险等信息。
| 单击列表右上角的 您可以通过如下方法，查找目标API风险：
定位到目标API安全事件后，您可以通过如下方法，管理API安全事件：
|
步骤四：合规审查与溯源审计
如果您的业务需要对非中国内地地域提供数据时，您需要向所在地省级网信部门向国家网信部门申报数据出境安全评估。您可以使用API安全合规审查和溯源审计功能，对出境数据进行审查和溯源。仅中国内地支持。
查看合规审查数据
在API安全页面的合规审查页签，查看指定时间段和生效对象的API合规审查数据。
设置检测时间段
默认自去年1月1日起至今。您也可以单击变更检测配置，设置任意时间段的评估周期后，单击保存配置。
说明变更检测配置为一次性操作，查看完当前时间段的检测数据，刷新页面后，检测时间段会自动变更为默认时间段。
设置生效对象
合规审查默认对接入WAF所有流量进行分析，如果您不需要分析某些防护对象的流量，可关闭该防护对象的合规审查开关。具体操作，请参见配置生效对象。
合规审查详细的数据说明，如下表所示。
数据类型 | 说明 |
检测结果 | 通过统计数据，展示个人信息数据类型定义、个人敏感信息数据类型定义在指定时间段的检测结果：
|
检测列表 | 通过统计数据，展示个人信息出境数据条数、个人信息出境数据关联自然人人数检测项的评估结果。 |
数据出境数据走势 | 通过趋势图，展示出境敏感信息数量、个人信息总数、出境个人信息数量在指定时间段的走势。 |
出境数据流向分布 | 通过世界地图，展示出境数据流向的分布情况。颜色越深，表示流向的数据越多。
|
个人信息出境类型统计 | 通过列表，展示自去年1月1日至今向境外提供的不同数据量级的个人信息、敏感个人信息，及其评估结果。关于评估结果的评判标准，请参见出境数据申报和备案的标准是什么。 |
个人信息涉及站点及接口统计 | 通过列表，展示不同站点下的API接口出境的个人信息、敏感个人信息数量。 |
溯源敏感数据
在API安全页面的溯源审计页签，进行敏感数据溯源。
溯源审计功能默认关闭，您可以在页签，开启目标防护对象的溯源审计开关。具体操作，请参见配置生效对象。
功能 | 说明 |
日志查询 | 支持溯源获取敏感数据泄露IP地址、接口和所属域名、敏感数据泄漏的详细信息等。
|
数据溯源 | 设置要查询的敏感数据样例，获取溯源结果。
|
步骤五：配置API安全策略
在内置检测机制的基础上，API安全支持自定义符合业务特征的检测策略。您可以配置鉴权凭据特征策略、敏感数据类型策略、攻击检测模型策略、业务用途策略、生命周期策略，使得识别出的API数据更符合您的实际业务情况，进一步提高API安全检测的准确率与召回率。
配置鉴权凭据特征策略
在系统内置的鉴权凭据识别的基础上，您可以指定某一参数名，用于判断Request请求中是否携带鉴权凭据，从而提升API安全对于未鉴权风险识别的准确率。
在API安全页面，选择策略配置＞鉴权凭据特征配置页签。
单击新建策略，完成如下配置后，单击确定。
配置项
说明
特征字符
设置要进行鉴权的参数名。例如，如果请求Body为
xxx=123&yyy=456，那么xxx和yyy就是参数名。位置
设置参数的位置。可选项：
GET参数名
POST参数名
Cookie参数名
Header
状态
设置策略状态，默认为开。
配置敏感数据类型策略
API安全提供如下两种敏感数据类型策略：
内置策略
支持多种敏感数据类型的策略，包括身份证、储蓄卡、姓名、地址、手机号等。您可以根据业务需要，开启或关闭对应策略。内置策略不支持修改或删除。
自定义策略
如果内置策略不满足业务需求，您可以自定义检测策略，进一步提升API安全对于敏感数据的检测准确率。
在API安全页面，选择策略配置＞敏感数据类型配置页签。
单击新建策略，完成如下配置后，单击确定。
配置项
说明
名称
为该规则设置一个名称。
支持中文和大小写英文字母，可包含数字、半角句号（.）、下划线（_）和短划线（-）。
模式
设置自定义策略的检测模式。
简易模式：提供简易的配置界面，便于操作。
选择简易模式后，您需要设置检测的字符和长度。
字符：支持检测数字、大写字母、小写字母，可多选。
长度：支持检测的长度范围为6~64，且起始值和结束值需为整数。
专家模式：支持正则表达式。
选择专家模式后，您需要填写检测的正则表达式。为避免误识别，请确保正则匹配的命中字符不少于6位。
等级
设置检测的敏感数据的等级。可选项：高敏感、中敏感、低敏感。
状态
设置策略状态，默认为开。
配置攻击检测模型策略
如果系统内置攻击检测模型无法满足业务需求时，您可以根据业务情况来自定义攻击检测模型，从而提高异常事件的检出率。
在API安全页面，选择策略配置＞攻击检测模型配置页签。
单击新建策略，完成如下配置后，单击确定。
配置项
说明
规则名称
为该规则设置一个名称。
支持中文和大小写英文字母，可包含数字、半角句号（.）、下划线（_）和短划线（-）。
匹配条件
设置该规则要匹配的请求特征。
每个条件由匹配字段、逻辑符和匹配内容组成。关于匹配字段和逻辑符的更多说明，请参见支持的匹配字段说明。
单击新增条件，添加一个条件。一个规则中最多可以添加五个条件。如果定义了多个条件，则只有当多个条件同时满足时，才算命中规则。
统计时长
设置攻击检测的统计时长，默认值为15分钟。
访问量
设置网站最大访问量，统计维度为API粒度。
去重统计
设置重复参数的告警统计规则。可选项：
不统计：表示不对参数进行去重统计，即满足该策略其他配置项要求时，则触发告警。
统计指定参数：表示对指定参数进行去重统计，即在满足该策略其他配置项要求的同时，如果指定参数不同取值的个数超过指定阈值，则触发告警。
选中该项后，您需要进行如下配置：
参数位置：设置去重的参数位置，可选项：GET参数、POST参数。
参数名称：设置去重的参数名称。
阈值：设置指定参数不同取值的最大个数。
统计所有参数：表示对所有参数进行去重统计，即在满足该策略其他配置项要求的同时，如果任意参数不同取值的个数超过指定阈值，则触发告警。
选中该项后，您需要进行如下配置：
排除参数名：设置不需要去重统计的参数名，多个参数间用半角逗号（,）分隔。通常填写正常业务调用所需要的参数，比如时间戳或者页码等。
阈值：设置参数不同取值的最大个数。
事件等级
设置攻击检测的事件等级。可选项：高危、中危、低危。
状态
设置策略状态，默认为开。
配置业务用途策略
API安全提供如下两种业务用途策略：
内置策略
支持多个场景的业务用途策略，包括数据更新、数据分享、手机短信发送、信息发送等。您可以根据业务需要，开启或关闭对应策略。内置策略不支持修改或删除。
自定义策略
如果内置策略不满足业务需求，您可以自定义URL特征、参数名特征，进一步提升API安全对于具体业务场景的检测准确率。
在API安全页面，选择策略配置＞业务用途配置页签。
单击新建策略，完成如下配置后，单击确定。
配置项
说明
名称
为该规则设置一个名称。
支持中文和大小写英文字母，可包含数字、半角句号（.）、下划线（_）和短划线（-）。
URL特征
设置业务场景的URL特征关键字，多个参数间用逗号（,）分隔。
说明如果您配置多个参数，则命中其中一条即可生效，并更新对应资产的便签。
参数名特征
设置业务场景的参数名特征关键字，多个参数间用逗号（,）分隔。
状态
设置策略状态，默认为开。
配置API生命周期
API安全支持通过设置日访问量、持续时间，来自定义失活接口的判断标准，使得失活API检测更符合业务情况。
在API安全页面，选择策略配置＞生命周期管理页签。
设置失活API判断标准后，单击确定。
单击内置模型。
表示使用内置的判断标准，即近30天无访问量或访问量大幅下跌的API接口为失活API。
单击自定义，并设置日访问量、持续时间。
表示如果某一API接口持续在一段时间内的日访问量小于设置的次数时，该API接口被判定为失活API。
配置生效对象
API安全提供三个防护对象或防护对象组级别的生效开关：
总开关：控制所有内置检测机制和自定义检测策略是否生效。
合规审查开关：控制合规审查功能是否生效，仅在总开关开启后，才能开启。
溯源审计开关：控制溯源审计功能是否生效，仅在总开关开启后，才能开启。
域名或实例接入WAF后，不同计费模式下，API安全开关默认生效规则不同：
包年包月模式：总开关默认开启、合规审查和溯源审计开关默认关闭。
按量付费模式：总开关默认关闭。
您可以在页签，开启或关闭总开关、合规审查或溯源审计开关。
步骤六：查看更新后的API安全数据
完成步骤五：配置API安全策略的配置后，您可以在API安全页面的概览、风险检测、安全事件页签，查看配置了检测策略和生效对象后的安全数据。更多信息，请参见步骤三：查看API安全数据。
相关操作
您可以在云监控控制台设置API安全事件的监控和告警，使WAF在检测到高危风险事件时向您发送告警通知，帮助您及时掌握API资产的安全状态。具体操作，请参见设置WAF攻击事件的监控与告警。