近日，由国家信息中心、中国网络空间安全协会指导，国家网络安全人才与创新基地、《信息安全研究》杂志社主办的数字政府安全建设高峰论坛在武汉举行。论坛依托中国网络空间安全协会 CSAC 认证培训体系，借助国家网安基地的专业培训环境，通过开展关键信息基础设施安全防护专家认证培训，提升关键信息基础设施有关人员安全保障能力。梆梆安全作为网安企业代表受邀出席论坛。

会上，梆梆安全高级安全专家陈露深度参与关键信息基础设施安全防护专家认证培训的内容和议题策划工作，并作”端到端的 API 安全防御体系建设“主题演讲，基于自身在网络安全和数字政务领域的多年积累，从移动政务的安全风险与挑战、安全建设思路及安全体系落地等多角度进行分享梆梆安全关于电子政务的前沿观点。

一、API 的趋势与风险

自“互联网+政务服务”提出以来，大数据技术正为提升行政效能创造更多可能性。2022年全球 EDGI 平均值为 0.6102，中国的 EDGI 值为 0.8119，属于“非常高水平”，中国电子政务水平进入全球数字政府第一梯队。

数字化转型下，政务移动互联网、APP、小程序、公众号等快应用全面开花，作为连接数据与应用的重要通道，线上渠道增多促使 API 数量呈爆发式增长，API 安全成为数据安全建设中不容忽视的环节，一旦发生安全问题，影响面不可估量。梆梆安全高级安全专家陈露提出”API 业务逻辑缺陷导致数据泄露、API 接口管理不当导致企业被“薅羊毛”等安全事件层出不穷，目前企业 API 风险的主要成因有安全管理缺失、安全配置错误、API 逻辑漏洞、拟人攻击难防御、防御自适应能力弱。”

二、API 风险防护思路

依赖应用实施攻击、脱离后端服务接口实施攻击两种 API 攻击路径的广泛应用对安全机制提出了更高要求，应用侧静态防御、WAF、API 网关三个维度的传统安全机制已经难以支撑企业业务的智能化转型需要。

梆梆安全基于“端到端的全渠道风险防护”技术理念，结合政务终端安全接入具体需求，推出“动静结合、横向端到端联动+实时防御、纵向全渠道联动”的 API 安全解决方案，满足多场景安全建设,全方位构建政务移动终端的数据保护安全能力，全面打造“安全合规、架构稳定、产品易用”的政务终端安全环境！

端到端的全渠道风险防护关键点

1. 静态防御措施全渠道覆盖

由于目前客户渠道众多，且部分API接口存在多渠道API接口共用，攻击者在发起攻击时，往往会选择防护能力最弱的渠道发起攻击，故在做静态防御措施时需要针对于全渠道进行静态防御。

2. 动静结合&端到端联动

动静结合的安全防御策略是一种使用广泛的安全防御思路，一方面应用端需要建设覆盖到全渠道涵盖检测、加固、监测等全方位的安全防护能力，另一方面服务端API 需要建设上线运行后的数据流量实时动态分析能力，在整体互联网侧 API 安全运营中，应用端与服务端建设的防御机制需要进行有效的联动及协同防御，服务端API 动态防御机制可基于企业应用端安全建设现状及目标分阶段实现联动。

3. 实时防御&全渠道联动

针对前端风险的防御机制需要做到实时防御，同时防御措施需要多样化；不同渠道的安全防御能力需要协同，针对APP侧的风险情报能够同步至轻应用侧进行联防联控。

三、API 技管融合场景

“三分技术,七分管理”是网络安全领域的一句至理名言，API 安全也不例外。梆梆安全政务终端 API 安全解决方案，结合电子政务网络特点，管理手段与技术手段并重，管理上加强 API 资产上线的安全审查，下线的安全管理；同时辅助技术上的安全审计机制，全面加强 API 安全防御技术体系，并结合具体业务场景，对移动政务互联网环境中的行为、过程、事件进行多维度的统一管控。

场景一：API开发合规性管理

满足合规要求，针对不符合监管要求或开发规范的部分，通知项目进行优化。

场景二：API发布审核管理（影子API）

对影子 API 进行有效发现与管理，杜绝安全风险。

场景三：基于行为的B2B场景API安全风险防护

基于机器学习学习用户行为，异常的高频请求行为及时预警

场景四：基于端到端&全渠道的B2C场景API风险防护

• API 安全管理：资产台账、开发规范、敏感数据；

• 数据安全：API 解决的数据安全；

• 攻击防御：恶意行为发现与防御；

• 全渠道协同：全渠道风险情报库。

作为移动应用安全蓝海市场的开创者，目前梆梆安全已经拥有10万家以上企业及开发者用户，安全技术覆盖的移动应用软件超过100万，这些应用已经累计安装在10亿个移动终端上，用户遍及金融、互联网、物联网、政府、运营商、企业、医疗、能源、教育等各大行业。

在数字政府建设提速，政务数据扩大开放共享，政务应用功能不断丰富的电子政务发展大趋势下，梆梆安全将持续做好数字政府安全保障，筑牢安全防线，解决移动终端安全的技术与管理难点，充分考虑便捷性和安全性的平衡，打造“合规、安全、可信”的电子政务终端环境，为我国数字政府实现治理体系和治理能力现代化提供坚实支撑！