改善 API 安全性狀態

API 是雲端原生應用程式的進入點。 他們會連線服務、應用程式和資料，因此使其成為攻擊者的目標。 API 安全狀態管理透過評估設定錯誤和漏洞的風險來協助保護 API。 「適用於雲端的 Microsoft Defender」中的「Defender 雲端安全性態勢管理 (CSPM)」方案，可跨您的 Azure Function Apps 和 Logic Apps 提供 API 探索與安全態勢管理，並跨您的 Azure API 管理平台提供您的受控 API。

能力

適用於雲端的 Defender 中的 API 安全性態勢管理提供了下列功能：

• 提升對 API 的可見性：
  透過自動化上線至適用於雲端的 Defender，取得跨 Azure API 管理和裝載函數應用程式與 Logic Apps 中之受控 API 的集中式檢視。

• 評估API安全建議與風險因素 ，包括：

  • 識別並補救未經驗證的 API 風險。
  • 偵測暴露於網際網路的 API。
  • 透過分析取樣的 API 流量日誌（僅限 Azure API 管理）來識別 API 端點中的敏感資料暴露，包括請求與回應、URL 路徑及查詢參數（整合於 Microsoft Purview）。

• 識別非使用中或休眠 API：
  揭露在 Azure API 管理、函數應用程式和 Logic Apps 中已不再使用的 API。

• 識別允許未加密流量的 API：
  允許未加密通訊的 Surface API，這可能會帶來風險。

• 將 API 連結至虛擬機、容器、記憶體和資料庫等後端環境，以瞭解雲端應用程式暴露的風險。

• 使用雲端安全性總管和 API 導向的攻擊路徑分析，解決 API 導向的攻擊路徑，並排定風險降低的優先順序。

統一的詳細目錄

適用於雲端的 Defender 會持續跨 Azure API 管理、函數應用程式和 Logic Apps 探索 API。 您可以在 Defender for Cloud 的 資產清查 和 API 安全性儀錶板中檢視所有具有姿態洞察的 API。 這可協助您有效地因應 API 風險。

順位並實作 API 安全性最佳做法

評估並保護您的 API，防止高風險問題，例如缺乏加密、不當的匿名存取，以及中斷或弱式驗證。 深入瞭解未啟用的 API，以及直接暴露於網際網路上的 API。 適用於雲端的 Defender 會掃描 API 風險，考量潛在的惡意探索與商務影響。 安全性建議 會根據這些因素排定優先順序，讓您先修正重大弱點。

將暴露敏感性資料的 API 加以分類

透過評定 API URL 路徑參數、查詢參數，以及要求及回應主體中暴露的敏感性資料 (包括資料暴露風險來源)，以提升資料安全性。 透過 Microsoft Purview，您可以使用自定義敏感性資訊類型和敏感度標籤來建立常見的分類法，涵蓋傳輸中數據的風險。

取樣

API 中的敏感性資料暴露風險會使用 Defender CSPM 方案中的取樣方法進行評定。 此方法可節省成本和時間。

探索 API 風險並順位補救

攻擊路徑分析可識別 API 端點的風險，特別是當存在多項安全性見解 (例如未驗證存取與外部暴露風險) 的情況下。 使用 Defender CSPM 的 雲端安全性探索工具，透過連結 API 與虛擬機器和負載平衡器等後端計算環境，來增強 API 風險探索。 此可見度可協助安全性團隊快速設定優先順位並減輕 API 攻擊面風險，提供潛在橫向移動或資料外流風險的見解。

啟用 API 安全性態勢態管理

若要在適用於雲端的 Microsoft Defender 中使用 API 安全性狀態功能，您必須：

1. 在您的訂用帳戶中啟用Defender雲端安全性狀態管理 （CSPM） 方案。
2. 啟用 API 安全性狀態管理延伸模組 ，讓適用於雲端的 Defender 探索 API 並評估其狀態。

啟用之後，適用於雲端的 Defender 會自動開始將支援的 API 上線，並提供可見度與安全性見解。

相關內容

• 使用 Defender CSPM 啟用 API 安全性態勢。
• 檢閱 安全性建議。
• 識別並補救攻擊路徑。
• 使用 適用於 API 的 Defender 工作負載保護來監視 API 威脅。