leyu.樂魚
3月9日，“2023金融API安全論壇”成功在線舉辦。本次論壇由工商銀行金融科技研究院、《中國(guó)金融電腦》雜志社、leyu.樂魚聯(lián)合主辦，工商銀行業(yè)務(wù)研發(fā)中心專家蘇建明為會(huì)議致辭，來自工商銀行、招商銀行、眾邦銀行以及l(fā)eyu.樂魚的多位專家在線發(fā)表了精彩演講，并圍繞多層次的API安全體系建設(shè)、未來發(fā)展趨勢(shì)等問題展開了深入探討。
致辭
工商銀行業(yè)務(wù)研發(fā)中心專家 蘇建明
工商銀行業(yè)務(wù)研發(fā)中心專家蘇建明在致辭中表示，當(dāng)前，數(shù)字競(jìng)爭(zhēng)力已成為國(guó)家、企業(yè)整體競(jìng)爭(zhēng)力的重要組成部分，而開放API作為一種新興商業(yè)模式，可助力企業(yè)進(jìn)一步延伸業(yè)務(wù)能力、加速場(chǎng)景創(chuàng)新。在此背景下，開放銀行的出現(xiàn)不僅改變了產(chǎn)業(yè)服務(wù)與銀行服務(wù)彼此孤立的局面，實(shí)現(xiàn)客戶資源和服務(wù)場(chǎng)景的雙向共享，同時(shí)也促使消費(fèi)數(shù)據(jù)與金融數(shù)據(jù)深度融合，加速了金融服務(wù)的普惠進(jìn)程，互利共贏的新生態(tài)正逐步成型。在推動(dòng)開放銀行生態(tài)發(fā)展的過程中，工商銀行始終將安全建設(shè)作為重中之重，通過開展事前、事中、事后管控，構(gòu)筑了多層次、全流程、立體安全的防御體系。例如，針對(duì)合作方管理，工商銀行基于通信協(xié)議層和應(yīng)用層實(shí)現(xiàn)了敏感數(shù)據(jù)加密保護(hù)，并通過網(wǎng)關(guān)實(shí)現(xiàn)了訪問控制和限流機(jī)制等。著眼于整個(gè)行業(yè)，API安全建設(shè)是當(dāng)前金融行業(yè)網(wǎng)絡(luò)安全工作的一個(gè)縮影。希望通過本次論壇，能夠搭建起一個(gè)交流共享的平臺(tái)，進(jìn)一步提升API安全管控能力，更好助力開放銀行建設(shè)和銀行數(shù)字化轉(zhuǎn)型。
演講
招商銀行信息技術(shù)部，架構(gòu)管理團(tuán)隊(duì)架構(gòu)師 沈明杰
招商銀行信息技術(shù)部架構(gòu)管理團(tuán)隊(duì)架構(gòu)師沈明杰在題為“數(shù)字招行開放平臺(tái)——安全可信訪問實(shí)踐總結(jié)”的演講中指出，數(shù)字招行開放平臺(tái)重點(diǎn)解決了四個(gè)方面的核心訴求：一是針對(duì)企業(yè)接入管理，平臺(tái)提供了統(tǒng)一的API發(fā)布、接入管理和企業(yè)管理功能；二是針對(duì)安全問題，平臺(tái)提供了完備的鑒權(quán)和密鑰管理體系；三是針對(duì)API管理和運(yùn)維，平臺(tái)實(shí)現(xiàn)了線上化的API全生命周期管理，以及多租戶API的數(shù)據(jù)分析和監(jiān)控功能；四是針對(duì)密鑰管理，平臺(tái)提供了輕量級(jí)的密鑰管理服務(wù)，支持用戶按需配置密鑰對(duì)與API服務(wù)的組合。
談及訪問安全控制，沈明杰表示，招商銀行在數(shù)據(jù)平面重點(diǎn)采用了三大策略：一是API鑒權(quán)認(rèn)證，該過程主要由API網(wǎng)關(guān)完成，只有通過鑒權(quán)認(rèn)證的請(qǐng)求才能到達(dá)業(yè)務(wù)后端，從而使業(yè)務(wù)端可更好地聚焦于業(yè)務(wù)本身。二是敏感數(shù)據(jù)加密，通過使用國(guó)密算法和數(shù)字信封技術(shù)，有效解決了長(zhǎng)報(bào)文加密性能問題和對(duì)稱密鑰傳輸安全問題。三是速率限制，即基于API網(wǎng)關(guān)進(jìn)行流量限制，可支持IP限制、速率限制以及基于速率限制的IP黑白名單等多種模式。
leyu.樂魚高級(jí)解決方案顧問 林夏
leyu.樂魚高級(jí)解決方案顧問林夏在題為“API安全可信訪問，助力數(shù)字經(jīng)濟(jì)行穩(wěn)致遠(yuǎn)”的演講中指出，API涉及的安全場(chǎng)景主要可分為四類：一是接入控制，包括認(rèn)證鑒權(quán)、越權(quán)控制、參數(shù)控制和威脅控制等；二是零信任訪問，包括持續(xù)認(rèn)證身份、持續(xù)認(rèn)證權(quán)限屬性、持續(xù)監(jiān)控動(dòng)態(tài)策略，以及持續(xù)集成、交付等；三是網(wǎng)絡(luò)安全，包括加密流量、DDoS攻擊、CC攻擊、BOT攻擊等；四是應(yīng)用安全，包括注入攻擊、資產(chǎn)梳理、敏感數(shù)據(jù)預(yù)計(jì)日志輸出分析等。
談及應(yīng)對(duì)策略，林夏表示，leyu.樂魚API安全可信解決方案以API安全防護(hù)平臺(tái)為核心，基于API業(yè)務(wù)場(chǎng)景化，全面覆蓋四大安全要素及Gartner評(píng)估的API安全能力矩陣，提供了增強(qiáng)混合型Token認(rèn)證。同時(shí)，通過聲明式API，leyu.樂魚API安全網(wǎng)關(guān)可以快速實(shí)現(xiàn)安全即代碼，支持快速融入DevOps流水線。此外，基于“l(fā)eyu.樂魚API前置安全網(wǎng)關(guān)+leyu.樂魚API安全微網(wǎng)關(guān)”的獨(dú)特設(shè)計(jì)，形成了融合統(tǒng)一的一致性策略，支持快速部署，可有效降低運(yùn)維成本。
眾邦銀行金融創(chuàng)新部負(fù)責(zé)人 彭磊
眾邦銀行金融創(chuàng)新部負(fù)責(zé)人彭磊在題為“開放API安全之道”的演講中指出，眾邦銀行的API發(fā)展主要經(jīng)歷了三個(gè)階段：一是探索階段，初步探索開放銀行輸出方式，主要完成場(chǎng)景搭建和完善基礎(chǔ)服務(wù)能力，以及使用外聯(lián)網(wǎng)關(guān)平臺(tái)簡(jiǎn)單進(jìn)行開放API加解密管理；二是發(fā)展階段，結(jié)合行內(nèi)需求及《商業(yè)銀行應(yīng)用程序接口安全管理規(guī)范》的要求，搭建互聯(lián)網(wǎng)開放平臺(tái)，從技術(shù)和管理兩方面完善金融API的治理和安全管理；三是成熟階段，進(jìn)行渠道的統(tǒng)一管理建設(shè)，打通自營(yíng)渠道和外部渠道的隔閡，實(shí)現(xiàn)業(yè)務(wù)場(chǎng)景配置化、渠道產(chǎn)品個(gè)性化、開放API服務(wù)化等目標(biāo)。
談及云原生時(shí)代的API安全，彭磊指出，新一代安全防護(hù)模式應(yīng)具有如下特征：一是將安全防護(hù)覆蓋云原生應(yīng)用的全生命周期，從需求分析、軟件開發(fā)、軟件測(cè)試、軟件發(fā)布一直延伸到軟件運(yùn)維；二是將安全防護(hù)工具集成到軟件開發(fā)流程的工具鏈中，以便于在持續(xù)集成之初就完成對(duì)代碼的靜態(tài)安全檢測(cè)；三是全面掃描制品和云配置，并與運(yùn)行時(shí)的可觀測(cè)性和配置安全相結(jié)合，以確定風(fēng)險(xiǎn)優(yōu)先級(jí)，合力安排補(bǔ)救措施。
工商銀行金融科技研究院，安全攻防實(shí)驗(yàn)室高級(jí)經(jīng)理 姜城
工商銀行金融科技研究院安全攻防實(shí)驗(yàn)室高級(jí)經(jīng)理姜城在題為“開放銀行API探索與實(shí)踐”的演講中指出，開放銀行API面臨的風(fēng)險(xiǎn)給需求、研發(fā)、測(cè)試監(jiān)控等流程帶來了巨大挑戰(zhàn)：一是需求管控挑戰(zhàn)，考慮API風(fēng)險(xiǎn)的復(fù)雜性，需要多部門協(xié)作，從源頭即開始控制風(fēng)險(xiǎn)；二是安全研發(fā)挑戰(zhàn)，在開發(fā)人員將原有服務(wù)封裝或修改后提供給網(wǎng)關(guān)調(diào)用的過程中，如果忽略外部威脅升級(jí)，維持原有的安全等級(jí)，易引發(fā)安全風(fēng)險(xiǎn)；三是安全測(cè)試挑戰(zhàn)，即API測(cè)試普遍存在接口格式特殊、加密數(shù)據(jù)測(cè)試難、測(cè)試周期短等諸多困難；四是安全監(jiān)控挑戰(zhàn)，開放銀行將內(nèi)部能力暴露到互聯(lián)網(wǎng)，從而使網(wǎng)絡(luò)防護(hù)邊界變得愈加模糊，傳統(tǒng)監(jiān)控方法亟待升級(jí)。
談及工商銀行實(shí)踐，姜城介紹，面對(duì)愈發(fā)復(fù)雜的網(wǎng)絡(luò)安全環(huán)境，作為網(wǎng)絡(luò)安全、數(shù)據(jù)安全、業(yè)務(wù)安全的交匯點(diǎn)，API面臨的安全風(fēng)險(xiǎn)正逐步顯現(xiàn)。對(duì)此，工商銀行圍繞多層次全流程立體安全防御體系建設(shè)，重點(diǎn)從API合規(guī)性管理、API使用方管理、研發(fā)測(cè)試流程管理、安全風(fēng)控模型建設(shè)等方面強(qiáng)化管控措施。例如，針對(duì)合規(guī)性，重點(diǎn)開展了差異化的服務(wù)發(fā)布管控與全生命周期的上線管控；針對(duì)使用方，實(shí)施了精細(xì)化的合作方準(zhǔn)入與全鏈路的技術(shù)管控；針對(duì)研發(fā)流程，構(gòu)建了全流程的安全測(cè)試體系；針對(duì)安全風(fēng)控，基于風(fēng)控模型不斷強(qiáng)化分析決策能力，打造了全維度的安全監(jiān)控體系。
論壇最后，工商銀行金融科技研究院云計(jì)算實(shí)驗(yàn)室高級(jí)經(jīng)理王炳輝作為主持人參與了討論環(huán)節(jié)。談及不同技術(shù)體系的有機(jī)結(jié)合，與會(huì)嘉賓表示，API安全是一個(gè)跨領(lǐng)域的復(fù)雜問題，需引入多重防御機(jī)制做好安全管控，包括在制度層面覆蓋全生命周期管理、部署細(xì)粒度的訪問策略、搭建統(tǒng)一安全管理平臺(tái)，以及統(tǒng)籌業(yè)務(wù)和技術(shù)領(lǐng)域的不同需求等，著力構(gòu)建多層級(jí)、多維度的縱深安全防護(hù)體系。談及未來發(fā)展趨勢(shì)，各位嘉賓表示，零信任及數(shù)字信封等技術(shù)或?qū)⒊蔀楹罄m(xù)主流的技術(shù)研究方向；同時(shí)也包括利用人工智能、大數(shù)據(jù)等技術(shù)構(gòu)建風(fēng)險(xiǎn)模型，對(duì)API異常行為進(jìn)行分析檢測(cè)；以及結(jié)合用戶權(quán)限和訪問路徑調(diào)優(yōu)，打造更為靈活的安全驗(yàn)證體系等。與會(huì)嘉賓一致認(rèn)為，通過業(yè)界多方攜手，合力打造更為安全、穩(wěn)定的API生態(tài)，將更好推動(dòng)金融業(yè)實(shí)現(xiàn)數(shù)字化轉(zhuǎn)型與高質(zhì)量發(fā)展。
leyu.樂魚
京ICP備2022033023號(hào)
京公網(wǎng)安備 11030102011456號(hào)
