内容摘要：云原生技术已经大范围普及并深入应用到了企业核心系统，但技术架构和应用模式的变革伴生了新的安全风险，云原生安全已成为企业关注的焦点。其中API安全是一大突出问题。云原生架构下API数量爆发式增长，分布在

云原生技术已经大范围普及并深入应用到了企业核心系统，首家生但技术架构和应用模式的瑞数变革伴生了新的安全风险 ，云原生安全已成为企业关注的安安全焦点。其中API安全是全管一大突出问题 。云原生架构下API数量爆发式增长，控平分布在云原生基础架构层和微服务业务层；API访问范围扩大，台完通院既充当外部与应用的成中访问入口
，也充当应用内部服务间的国信访问入口。数量的云原激增和攻击面的扩大都加剧了API安全风险 。建站模板

在此背景之下
，评估瑞数信息参与中国信通院联合业内专家共同编写的首家生《云原生安全能力要求 第1部分：API安全治理》标准，旨在为云服务商及企业用户构建云原生API安全治理能力提供参考
，瑞数同时适用于规范云原生API安全产品及解决方案能力水平 。安安全标准针对API安全治理能力提出了分级要求，全管内容包括API安全评估、控平权限控制 、安全监测 、安全响应 、审计与溯源五大部分 。

瑞数API安全管控平台

首家完成

中国信通院组织的云原生API安全能力评估

瑞数API安全管控平台（API BotDefender），由API感知
、发现、监测和保护四大模块组成 ，免费模板能够对来源环境和API资产进行感知 ，自动发现流量中的API，并采用机器学习引擎对异常API请求行为 、敏感数据进行识别与分析 ，调用动态响应机制对异常API请求进行拦阻、限速或脱敏等响应动作。

能力一 ：API安全评估

API资产识别 ：能够基于大数据建模自动发现API接口
，自动对API接口实现分类 、分组，并指派责任人，实现数据分权管理
。自动提取API接口样式，为API接口提供可视化的详情展示，帮助客户实现API资产的模板下载生命周期管理；API威胁识别：内置敏感信息检测引擎
，覆盖姓名、手机号、身份证、银行卡、密码等18种敏感数据类型 ，对敏感信息进行自动分级，实时洞察API接口中双向传输的敏感数据、明文密码和弱密码 。

能力二：API限权控制

内置灵活的API访问控制策略  ，可基于API接口、源IP、访问频率 、客户端指纹
 、源码库API令牌、UserAgent、HTTP请求特征等上百个基础要素和用户交互行为特征，对API接口实现精细化的访问控制，支持多维度限频、拦截
、延时等 。

能力三 ：API安全监测

API运行状态监测：持续监控、分析API当前运行状况，支持获取 、统计 、展示API接口性能信息 、调用行为等信息，并对违规参数或异常行为进行检测和告警；异常行为监控
：基于多维度实时监控API接口的访问行为，云计算包括访问成功率 、耗时、TPS、并发数等。建立API访问基线，及时发现偏离基线的异常访问行为，及未知的API和僵尸API；安全攻击检测 ：通过AI人工智能威胁检测引擎，辅以内置的API业务威胁模型 ，透视API常见的业务威胁 ，如撞库
、爬虫等，精准 
、服务器租用快速地识别各类攻击 。

能力四：API安全响应

API安全防护 ：通过AI智能威胁检测引擎 ，并利用机器学习获得的多种威胁模型来确定异常攻击 ，同时利用语义分析和流量学习技术
，精准、快速地识别各类攻击 ，包括OWASP API Security Top10的安全攻击检测、API安全参数合规检测 、API接口调用顺序检测等；敏感数据管控
：通过敏感数据检测模型 ，对敏感信息进行自动分级及实时洞察，并能够及时对API接口回传报文中的敏感信息进行脱敏处理，规避数据泄漏风险。

能力五：审计与溯源

通过对API访问行为日志的采集与审计 ，并基于威胁情报信息辅助，实现对账号 、IP 、令牌及API安全事件的审计与溯源 。