leyu.樂魚
3月9日，“2023金融API安全論壇”成功在線舉辦。本次論壇由工商銀行金融科技研究院、《中國金融電腦》雜志社、leyu.樂魚聯(lián)合主辦，工商銀行業(yè)務(wù)研發(fā)中心專家蘇建明為會議致辭，來自工商銀行、招商銀行、眾邦銀行以及l(fā)eyu.樂魚的多位專家在線發(fā)表了精彩演講，并圍繞多層次的API安全體系建設(shè)、未來發(fā)展趨勢等問題展開了深入探討。
致辭
工商銀行業(yè)務(wù)研發(fā)中心專家 蘇建明
工商銀行業(yè)務(wù)研發(fā)中心專家蘇建明在致辭中表示，當前，數(shù)字競爭力已成為國家、企業(yè)整體競爭力的重要組成部分，而開放API作為一種新興商業(yè)模式，可助力企業(yè)進一步延伸業(yè)務(wù)能力、加速場景創(chuàng)新。在此背景下，開放銀行的出現(xiàn)不僅改變了產(chǎn)業(yè)服務(wù)與銀行服務(wù)彼此孤立的局面，實現(xiàn)客戶資源和服務(wù)場景的雙向共享，同時也促使消費數(shù)據(jù)與金融數(shù)據(jù)深度融合，加速了金融服務(wù)的普惠進程，互利共贏的新生態(tài)正逐步成型。在推動開放銀行生態(tài)發(fā)展的過程中，工商銀行始終將安全建設(shè)作為重中之重，通過開展事前、事中、事后管控，構(gòu)筑了多層次、全流程、立體安全的防御體系。例如，針對合作方管理，工商銀行基于通信協(xié)議層和應(yīng)用層實現(xiàn)了敏感數(shù)據(jù)加密保護，并通過網(wǎng)關(guān)實現(xiàn)了訪問控制和限流機制等。著眼于整個行業(yè)，API安全建設(shè)是當前金融行業(yè)網(wǎng)絡(luò)安全工作的一個縮影。希望通過本次論壇，能夠搭建起一個交流共享的平臺，進一步提升API安全管控能力，更好助力開放銀行建設(shè)和銀行數(shù)字化轉(zhuǎn)型。
演講
招商銀行信息技術(shù)部，架構(gòu)管理團隊架構(gòu)師 沈明杰
招商銀行信息技術(shù)部架構(gòu)管理團隊架構(gòu)師沈明杰在題為“數(shù)字招行開放平臺——安全可信訪問實踐總結(jié)”的演講中指出，數(shù)字招行開放平臺重點解決了四個方面的核心訴求：一是針對企業(yè)接入管理，平臺提供了統(tǒng)一的API發(fā)布、接入管理和企業(yè)管理功能；二是針對安全問題，平臺提供了完備的鑒權(quán)和密鑰管理體系；三是針對API管理和運維，平臺實現(xiàn)了線上化的API全生命周期管理，以及多租戶API的數(shù)據(jù)分析和監(jiān)控功能；四是針對密鑰管理，平臺提供了輕量級的密鑰管理服務(wù)，支持用戶按需配置密鑰對與API服務(wù)的組合。
談及訪問安全控制，沈明杰表示，招商銀行在數(shù)據(jù)平面重點采用了三大策略：一是API鑒權(quán)認證，該過程主要由API網(wǎng)關(guān)完成，只有通過鑒權(quán)認證的請求才能到達業(yè)務(wù)后端，從而使業(yè)務(wù)端可更好地聚焦于業(yè)務(wù)本身。二是敏感數(shù)據(jù)加密，通過使用國密算法和數(shù)字信封技術(shù)，有效解決了長報文加密性能問題和對稱密鑰傳輸安全問題。三是速率限制，即基于API網(wǎng)關(guān)進行流量限制，可支持IP限制、速率限制以及基于速率限制的IP黑白名單等多種模式。
leyu.樂魚高級解決方案顧問 林夏
leyu.樂魚高級解決方案顧問林夏在題為“API安全可信訪問，助力數(shù)字經(jīng)濟行穩(wěn)致遠”的演講中指出，API涉及的安全場景主要可分為四類：一是接入控制，包括認證鑒權(quán)、越權(quán)控制、參數(shù)控制和威脅控制等；二是零信任訪問，包括持續(xù)認證身份、持續(xù)認證權(quán)限屬性、持續(xù)監(jiān)控動態(tài)策略，以及持續(xù)集成、交付等；三是網(wǎng)絡(luò)安全，包括加密流量、DDoS攻擊、CC攻擊、BOT攻擊等；四是應(yīng)用安全，包括注入攻擊、資產(chǎn)梳理、敏感數(shù)據(jù)預(yù)計日志輸出分析等。
談及應(yīng)對策略，林夏表示，leyu.樂魚API安全可信解決方案以API安全防護平臺為核心，基于API業(yè)務(wù)場景化，全面覆蓋四大安全要素及Gartner評估的API安全能力矩陣，提供了增強混合型Token認證。同時，通過聲明式API，leyu.樂魚API安全網(wǎng)關(guān)可以快速實現(xiàn)安全即代碼，支持快速融入DevOps流水線。此外，基于“l(fā)eyu.樂魚API前置安全網(wǎng)關(guān)+leyu.樂魚API安全微網(wǎng)關(guān)”的獨特設(shè)計，形成了融合統(tǒng)一的一致性策略，支持快速部署，可有效降低運維成本。
眾邦銀行金融創(chuàng)新部負責人 彭磊
眾邦銀行金融創(chuàng)新部負責人彭磊在題為“開放API安全之道”的演講中指出，眾邦銀行的API發(fā)展主要經(jīng)歷了三個階段：一是探索階段，初步探索開放銀行輸出方式，主要完成場景搭建和完善基礎(chǔ)服務(wù)能力，以及使用外聯(lián)網(wǎng)關(guān)平臺簡單進行開放API加解密管理；二是發(fā)展階段，結(jié)合行內(nèi)需求及《商業(yè)銀行應(yīng)用程序接口安全管理規(guī)范》的要求，搭建互聯(lián)網(wǎng)開放平臺，從技術(shù)和管理兩方面完善金融API的治理和安全管理；三是成熟階段，進行渠道的統(tǒng)一管理建設(shè)，打通自營渠道和外部渠道的隔閡，實現(xiàn)業(yè)務(wù)場景配置化、渠道產(chǎn)品個性化、開放API服務(wù)化等目標。
談及云原生時代的API安全，彭磊指出，新一代安全防護模式應(yīng)具有如下特征：一是將安全防護覆蓋云原生應(yīng)用的全生命周期，從需求分析、軟件開發(fā)、軟件測試、軟件發(fā)布一直延伸到軟件運維；二是將安全防護工具集成到軟件開發(fā)流程的工具鏈中，以便于在持續(xù)集成之初就完成對代碼的靜態(tài)安全檢測；三是全面掃描制品和云配置，并與運行時的可觀測性和配置安全相結(jié)合，以確定風險優(yōu)先級，合力安排補救措施。
工商銀行金融科技研究院，安全攻防實驗室高級經(jīng)理 姜城
工商銀行金融科技研究院安全攻防實驗室高級經(jīng)理姜城在題為“開放銀行API探索與實踐”的演講中指出，開放銀行API面臨的風險給需求、研發(fā)、測試監(jiān)控等流程帶來了巨大挑戰(zhàn)：一是需求管控挑戰(zhàn)，考慮API風險的復雜性，需要多部門協(xié)作，從源頭即開始控制風險；二是安全研發(fā)挑戰(zhàn)，在開發(fā)人員將原有服務(wù)封裝或修改后提供給網(wǎng)關(guān)調(diào)用的過程中，如果忽略外部威脅升級，維持原有的安全等級，易引發(fā)安全風險；三是安全測試挑戰(zhàn)，即API測試普遍存在接口格式特殊、加密數(shù)據(jù)測試難、測試周期短等諸多困難；四是安全監(jiān)控挑戰(zhàn)，開放銀行將內(nèi)部能力暴露到互聯(lián)網(wǎng)，從而使網(wǎng)絡(luò)防護邊界變得愈加模糊，傳統(tǒng)監(jiān)控方法亟待升級。
談及工商銀行實踐，姜城介紹，面對愈發(fā)復雜的網(wǎng)絡(luò)安全環(huán)境，作為網(wǎng)絡(luò)安全、數(shù)據(jù)安全、業(yè)務(wù)安全的交匯點，API面臨的安全風險正逐步顯現(xiàn)。對此，工商銀行圍繞多層次全流程立體安全防御體系建設(shè)，重點從API合規(guī)性管理、API使用方管理、研發(fā)測試流程管理、安全風控模型建設(shè)等方面強化管控措施。例如，針對合規(guī)性，重點開展了差異化的服務(wù)發(fā)布管控與全生命周期的上線管控；針對使用方，實施了精細化的合作方準入與全鏈路的技術(shù)管控；針對研發(fā)流程，構(gòu)建了全流程的安全測試體系；針對安全風控，基于風控模型不斷強化分析決策能力，打造了全維度的安全監(jiān)控體系。
論壇最后，工商銀行金融科技研究院云計算實驗室高級經(jīng)理王炳輝作為主持人參與了討論環(huán)節(jié)。談及不同技術(shù)體系的有機結(jié)合，與會嘉賓表示，API安全是一個跨領(lǐng)域的復雜問題，需引入多重防御機制做好安全管控，包括在制度層面覆蓋全生命周期管理、部署細粒度的訪問策略、搭建統(tǒng)一安全管理平臺，以及統(tǒng)籌業(yè)務(wù)和技術(shù)領(lǐng)域的不同需求等，著力構(gòu)建多層級、多維度的縱深安全防護體系。談及未來發(fā)展趨勢，各位嘉賓表示，零信任及數(shù)字信封等技術(shù)或?qū)⒊蔀楹罄m(xù)主流的技術(shù)研究方向；同時也包括利用人工智能、大數(shù)據(jù)等技術(shù)構(gòu)建風險模型，對API異常行為進行分析檢測；以及結(jié)合用戶權(quán)限和訪問路徑調(diào)優(yōu)，打造更為靈活的安全驗證體系等。與會嘉賓一致認為，通過業(yè)界多方攜手，合力打造更為安全、穩(wěn)定的API生態(tài)，將更好推動金融業(yè)實現(xiàn)數(shù)字化轉(zhuǎn)型與高質(zhì)量發(fā)展。
leyu.樂魚
京ICP備2022033023號
京公網(wǎng)安備 11030102011456號
