leyu.樂(lè )魚(yú)
3月9日，“2023金融A(yíng)PI安全論壇”成功在線(xiàn)舉辦。本次論壇由工商銀行金融科技研究院、《中國金融電腦》雜志社、leyu.樂(lè )魚(yú)聯(lián)合主辦，工商銀行業(yè)務(wù)研發(fā)中心專(zhuān)家蘇建明為會(huì )議致辭，來(lái)自工商銀行、招商銀行、眾邦銀行以及l(fā)eyu.樂(lè )魚(yú)的多位專(zhuān)家在線(xiàn)發(fā)表了精彩演講，并圍繞多層次的API安全體系建設、未來(lái)發(fā)展趨勢等問(wèn)題展開(kāi)了深入探討。
致辭
工商銀行業(yè)務(wù)研發(fā)中心專(zhuān)家 蘇建明
工商銀行業(yè)務(wù)研發(fā)中心專(zhuān)家蘇建明在致辭中表示，當前，數字競爭力已成為國家、企業(yè)整體競爭力的重要組成部分，而開(kāi)放API作為一種新興商業(yè)模式，可助力企業(yè)進(jìn)一步延伸業(yè)務(wù)能力、加速場(chǎng)景創(chuàng )新。在此背景下，開(kāi)放銀行的出現不僅改變了產(chǎn)業(yè)服務(wù)與銀行服務(wù)彼此孤立的局面，實(shí)現客戶(hù)資源和服務(wù)場(chǎng)景的雙向共享，同時(shí)也促使消費數據與金融數據深度融合，加速了金融服務(wù)的普惠進(jìn)程，互利共贏(yíng)的新生態(tài)正逐步成型。在推動(dòng)開(kāi)放銀行生態(tài)發(fā)展的過(guò)程中，工商銀行始終將安全建設作為重中之重，通過(guò)開(kāi)展事前、事中、事后管控，構筑了多層次、全流程、立體安全的防御體系。例如，針對合作方管理，工商銀行基于通信協(xié)議層和應用層實(shí)現了敏感數據加密保護，并通過(guò)網(wǎng)關(guān)實(shí)現了訪(fǎng)問(wèn)控制和限流機制等。著(zhù)眼于整個(gè)行業(yè)，API安全建設是當前金融行業(yè)網(wǎng)絡(luò )安全工作的一個(gè)縮影。希望通過(guò)本次論壇，能夠搭建起一個(gè)交流共享的平臺，進(jìn)一步提升API安全管控能力，更好助力開(kāi)放銀行建設和銀行數字化轉型。
演講
招商銀行信息技術(shù)部，架構管理團隊架構師 沈明杰
招商銀行信息技術(shù)部架構管理團隊架構師沈明杰在題為“數字招行開(kāi)放平臺——安全可信訪(fǎng)問(wèn)實(shí)踐總結”的演講中指出，數字招行開(kāi)放平臺重點(diǎn)解決了四個(gè)方面的核心訴求：一是針對企業(yè)接入管理，平臺提供了統一的API發(fā)布、接入管理和企業(yè)管理功能；二是針對安全問(wèn)題，平臺提供了完備的鑒權和密鑰管理體系；三是針對API管理和運維，平臺實(shí)現了線(xiàn)上化的API全生命周期管理，以及多租戶(hù)API的數據分析和監控功能；四是針對密鑰管理，平臺提供了輕量級的密鑰管理服務(wù)，支持用戶(hù)按需配置密鑰對與API服務(wù)的組合。
談及訪(fǎng)問(wèn)安全控制，沈明杰表示，招商銀行在數據平面重點(diǎn)采用了三大策略：一是API鑒權認證，該過(guò)程主要由API網(wǎng)關(guān)完成，只有通過(guò)鑒權認證的請求才能到達業(yè)務(wù)后端，從而使業(yè)務(wù)端可更好地聚焦于業(yè)務(wù)本身。二是敏感數據加密，通過(guò)使用國密算法和數字信封技術(shù)，有效解決了長(cháng)報文加密性能問(wèn)題和對稱(chēng)密鑰傳輸安全問(wèn)題。三是速率限制，即基于A(yíng)PI網(wǎng)關(guān)進(jìn)行流量限制，可支持IP限制、速率限制以及基于速率限制的IP黑白名單等多種模式。
leyu.樂(lè )魚(yú)高級解決方案顧問(wèn) 林夏
leyu.樂(lè )魚(yú)高級解決方案顧問(wèn)林夏在題為“API安全可信訪(fǎng)問(wèn)，助力數字經(jīng)濟行穩致遠”的演講中指出，API涉及的安全場(chǎng)景主要可分為四類(lèi)：一是接入控制，包括認證鑒權、越權控制、參數控制和威脅控制等；二是零信任訪(fǎng)問(wèn)，包括持續認證身份、持續認證權限屬性、持續監控動(dòng)態(tài)策略，以及持續集成、交付等；三是網(wǎng)絡(luò )安全，包括加密流量、DDoS攻擊、CC攻擊、BOT攻擊等；四是應用安全，包括注入攻擊、資產(chǎn)梳理、敏感數據預計日志輸出分析等。
談及應對策略，林夏表示，leyu.樂(lè )魚(yú)API安全可信解決方案以API安全防護平臺為核心，基于A(yíng)PI業(yè)務(wù)場(chǎng)景化，全面覆蓋四大安全要素及Gartner評估的API安全能力矩陣，提供了增強混合型Token認證。同時(shí)，通過(guò)聲明式API，leyu.樂(lè )魚(yú)API安全網(wǎng)關(guān)可以快速實(shí)現安全即代碼，支持快速融入DevOps流水線(xiàn)。此外，基于“l(fā)eyu.樂(lè )魚(yú)API前置安全網(wǎng)關(guān)+leyu.樂(lè )魚(yú)API安全微網(wǎng)關(guān)”的獨特設計，形成了融合統一的一致性策略，支持快速部署，可有效降低運維成本。
眾邦銀行金融創(chuàng )新部負責人 彭磊
眾邦銀行金融創(chuàng )新部負責人彭磊在題為“開(kāi)放API安全之道”的演講中指出，眾邦銀行的API發(fā)展主要經(jīng)歷了三個(gè)階段：一是探索階段，初步探索開(kāi)放銀行輸出方式，主要完成場(chǎng)景搭建和完善基礎服務(wù)能力，以及使用外聯(lián)網(wǎng)關(guān)平臺簡(jiǎn)單進(jìn)行開(kāi)放API加解密管理；二是發(fā)展階段，結合行內需求及《商業(yè)銀行應用程序接口安全管理規范》的要求，搭建互聯(lián)網(wǎng)開(kāi)放平臺，從技術(shù)和管理兩方面完善金融A(yíng)PI的治理和安全管理；三是成熟階段，進(jìn)行渠道的統一管理建設，打通自營(yíng)渠道和外部渠道的隔閡，實(shí)現業(yè)務(wù)場(chǎng)景配置化、渠道產(chǎn)品個(gè)性化、開(kāi)放API服務(wù)化等目標。
談及云原生時(shí)代的API安全，彭磊指出，新一代安全防護模式應具有如下特征：一是將安全防護覆蓋云原生應用的全生命周期，從需求分析、軟件開(kāi)發(fā)、軟件測試、軟件發(fā)布一直延伸到軟件運維；二是將安全防護工具集成到軟件開(kāi)發(fā)流程的工具鏈中，以便于在持續集成之初就完成對代碼的靜態(tài)安全檢測；三是全面掃描制品和云配置，并與運行時(shí)的可觀(guān)測性和配置安全相結合，以確定風(fēng)險優(yōu)先級，合力安排補救措施。
工商銀行金融科技研究院，安全攻防實(shí)驗室高級經(jīng)理 姜城
工商銀行金融科技研究院安全攻防實(shí)驗室高級經(jīng)理姜城在題為“開(kāi)放銀行API探索與實(shí)踐”的演講中指出，開(kāi)放銀行API面臨的風(fēng)險給需求、研發(fā)、測試監控等流程帶來(lái)了巨大挑戰：一是需求管控挑戰，考慮API風(fēng)險的復雜性，需要多部門(mén)協(xié)作，從源頭即開(kāi)始控制風(fēng)險；二是安全研發(fā)挑戰，在開(kāi)發(fā)人員將原有服務(wù)封裝或修改后提供給網(wǎng)關(guān)調用的過(guò)程中，如果忽略外部威脅升級，維持原有的安全等級，易引發(fā)安全風(fēng)險；三是安全測試挑戰，即API測試普遍存在接口格式特殊、加密數據測試難、測試周期短等諸多困難；四是安全監控挑戰，開(kāi)放銀行將內部能力暴露到互聯(lián)網(wǎng)，從而使網(wǎng)絡(luò )防護邊界變得愈加模糊，傳統監控方法亟待升級。
談及工商銀行實(shí)踐，姜城介紹，面對愈發(fā)復雜的網(wǎng)絡(luò )安全環(huán)境，作為網(wǎng)絡(luò )安全、數據安全、業(yè)務(wù)安全的交匯點(diǎn)，API面臨的安全風(fēng)險正逐步顯現。對此，工商銀行圍繞多層次全流程立體安全防御體系建設，重點(diǎn)從API合規性管理、API使用方管理、研發(fā)測試流程管理、安全風(fēng)控模型建設等方面強化管控措施。例如，針對合規性，重點(diǎn)開(kāi)展了差異化的服務(wù)發(fā)布管控與全生命周期的上線(xiàn)管控；針對使用方，實(shí)施了精細化的合作方準入與全鏈路的技術(shù)管控；針對研發(fā)流程，構建了全流程的安全測試體系；針對安全風(fēng)控，基于風(fēng)控模型不斷強化分析決策能力，打造了全維度的安全監控體系。
論壇最后，工商銀行金融科技研究院云計算實(shí)驗室高級經(jīng)理王炳輝作為主持人參與了討論環(huán)節。談及不同技術(shù)體系的有機結合，與會(huì )嘉賓表示，API安全是一個(gè)跨領(lǐng)域的復雜問(wèn)題，需引入多重防御機制做好安全管控，包括在制度層面覆蓋全生命周期管理、部署細粒度的訪(fǎng)問(wèn)策略、搭建統一安全管理平臺，以及統籌業(yè)務(wù)和技術(shù)領(lǐng)域的不同需求等，著(zhù)力構建多層級、多維度的縱深安全防護體系。談及未來(lái)發(fā)展趨勢，各位嘉賓表示，零信任及數字信封等技術(shù)或將成為后續主流的技術(shù)研究方向；同時(shí)也包括利用人工智能、大數據等技術(shù)構建風(fēng)險模型，對API異常行為進(jìn)行分析檢測；以及結合用戶(hù)權限和訪(fǎng)問(wèn)路徑調優(yōu)，打造更為靈活的安全驗證體系等。與會(huì )嘉賓一致認為，通過(guò)業(yè)界多方攜手，合力打造更為安全、穩定的API生態(tài)，將更好推動(dòng)金融業(yè)實(shí)現數字化轉型與高質(zhì)量發(fā)展。
leyu.樂(lè )魚(yú)
京ICP備2022033023號
京公網(wǎng)安備 11030102011456號
