随着传统网络边界的不断变化，零信任架构（Zero Trust architecture, ZTA）已经从一个讨论话题，转变为许多企业组织积极推进采用的切实计划。然而，在许多企业所制定的ZTA应用计划中，在设计持续评估信任的方法时，往往会忽略对API安全性的关注。
日前，云安全厂商Akamai的安全专家Abigail Ojeda发表了一篇博客文章，从实现零信任架构的7个基本原则视角，对如何将零信任与API安全性有效融合进行了分析和思考，并就企业如何开展API安全能力建设提出了具体建议。
API安全性与零信任的交叉点
在美国国家标准与技术研究院（NIST）发布的NIST SP 200-807标准中，概述了实现零信任架构的七个基本原则。虽然这些原则并不专门针对API安全性所设计，但是同样可以给企业的API安全建设提出明确建议和指导。企业组织应该参考NIST SP 200-807标准所提出的七个基本原则，让企业的API安全防护与零信任安全建设保持一致。
原则1、将所有数据源和计算服务都作为需要保护的对象。
零信任安全的覆盖范围并不仅仅是针对那些可以被看到的应用程序和数据。有许多应用程序和数据源是无法通过直接的用户界面来展示的，但它们却可以通过API被访问到。因此，在企业组织的零信任建设规划和策略实施模型中，应充分考虑并包含所有的API接口。
原则2、无论是位于企业网络的内部还是外部，所有的通信连接都必须是安全的。
按照此原则，企业应该为所有的API应用设计合适的保护措施。即使某些API仅用于私有的数据中心环境，或仅在云环境内部被使用，企业也应该对其进行数据加密、身份授权和访问控制，以确保数据的机密性和完整性。
原则3、对每个企业资源都进行基于连接的精细化授权。
组织应该将所有的API应用都视为独立的资源，在对其进行访问权限之前，都应该基于连接来评估信任。企业应该以尽可能少地为API应用授予不必要的访问权限。同时，还应该使用行为分析来监控API使用状态并持续评估它的可信任度。
原则4、动态决定对资源的访问权限，同时包括对其行为属性进行分析。
在2023年最新发布的OWASP API安全性TOP 10排行中，已经明确将缺乏API管控限制定义为一种对敏感业务流的无限制访问漏洞。而NIST也同样指出，要基于业务流程的需求和可接受的风险水平来合理设置相应的权限。因此，企业应该将本条原则有效应用于API应用，组织必须能够识别所涉及的业务实体，结合业务流的上下文信息全面判断，并使用行为分析来监测其与正常使用模式之间的偏差。
原则5、企业应持续监控并评估其所有内外部数字资产的完整性和安全性。
这条原则是基于美国网络安全和基础设施安全局（CISA）定义的资产持续诊断和缓解（CDM）概念所提出。在CDM概念中包括了资产管理、漏洞管理和配置管理等多项应该管理的要素。
就像所有的企业实物资产一样，API应用也必须不断地被发现、分类和跟踪。因此，在零信任建设中所包含的脆弱性评估工作，应该超越传统意义上的安全漏洞，全面覆盖到基于API在内的更多新型安全漏洞。
原则6、所有资源的身份授权和验证都是动态的，并在其进行资源访问前强制实施。
这个原则其实很容易扩展到面向所有的API应用。采用零信任安全架构的组织应该对所有的API使用情况进行持续监控，并使用自动化技术对API流量中检测到的异常或滥用行为进行响应处置。
原则7、企业应尽可能收集关于资产、网络基础设施和通信的实时状态信息，并将其应用于改善网络安全。
要让API安全性真正融入企业整体的零信任安全体系中，企业所制定的各项API安全措施就必须能够长时间获取数据，并有足够的时间来检测细微的API滥用。这对于执行行为分析以实现实时风险评估和零信任策略持续优化是非常必要的。为了实现这个原则，安全分析师需要提供对API和威胁数据的按需访问，以便找出问题并改进。
建立API安全性的7个建议
对于大多数想要部署应用零信任安全架构的组织来说，最大的挑战是决定从何处入手。就API安全性而言，采取以下建设步骤或将为其融入企业整体的零信任安全计划打好基础：
参考链接：
java中的这些名词都是什么？
JNDI(Java Naming and Directory Interface，Java命名和目录接口)是一组在Java应用中访问命名和目录服务的API。 命名服务将名称和对象联系起来，使得我们可以用名称访问对象。 目录服务是一种命名服务，在这种服务里，对象不但有名称，还有属性。 jms即Java消息服务（Java Message Service）应用程序接口是一个Java平台中关于面向消息中间件（MOM）的API，用于在两个应用程序之间，或分布式系统中发送消息，进行异步通信。 Java消息服务是一个与具体平台无关的API，绝大多数MOM提供商都对JMS提供支持。 jms同时也可以指Journal of Marketing Science，《营销科学学报》的简称。 此外，佳木斯、姐妹们的拼音缩写也是jms。 JTA，即Java Transaction API，译为Java事务API。 JTA允许应用程序执行分布式事务处理——在两个或多个网络计算机资源上访问并且更新数据。 JDBC驱动程序的JTA支持极大地增强了数据访问能力。 JAF,即为JavaBeans Activation Framework的缩写。 Mail API 的所有版本都需要 JavaBeans Activation Framework 来支持任意数据块的输入及相应处理。 功能似乎不多，但目前许多浏览器和邮件工具中都能找到这种基本的 MIME 型支持。 文件就是JAF的框架jar包。 JAF是一个专用的数据处理框架，它用于封装数据，并为应用程序提供访问和操作数据的接口。 JAF的主要作用在于让java应用程序知道如何对一个数据源进行查看、编辑和打印等操作。 对于通过JAF封装的数据，应用程序通过JAF提供的接口可以完成如下功能： 1、访问数据源中的数据. 2、获知数据源的数据类型. 3、获知可对数据进行的各种操作. 4、用户对数据执行某种操作时，自动创建执行该操作的软件部件的实例对象. javaMail API可以利用JAF从某种数据源中读取数据和获知数据的MIME类型，并用这些数据生成MIME消息中的消息体和消息类型。 RMI是Java的一组拥护开发分布式应用程序的API。 RMI使用Java语言接口定义了远程对象，它集合了Java序列化和Java远程方法协议(Java Remote Method Protocol)。 简单地说，这样使原先的程序在同一操作系统的方法调用，变成了不同操作系统之间程序的方法调用，由于J2EE是分布式程序平台，它一RMI机制实现程序组件在不同操作系统之间的通信。 比如，一个EJB可以通过RMI调用Web上另一台机器上的EJB远程方法。 RMI（Remote Method Invocation，远程方法调用）是用Java在JDK1.1中实现的，它大大增强了Java开发分布式应用的能力。 Java作为一种风靡一时的网络开发语言，其巨大的威力就体现在它强大的开发分布式网络应用的能力上，而RMI就是开发百分之百纯Java的网络分布式应用系统的核心解决方案之一。 其实它可以被看作是RPC的Java版本。 但是传统RPC并不能很好地应用于分布式对象系统。 而Java RMI 则支持存储于不同地址空间的程序级对象之间彼此进行通信，实现远程对象之间的无缝远程调用。 SOAP：简单对象访问协议，简单对象访问协议（SOAP）是一种轻量的、简单的、基于 XML 的协议，它被设计成在 WEB 上交换结构化的和固化的信息。 SOAP 可以和现存的许多因特网协议和格式结合使用，包括超文本传输协议（ HTTP），简单邮件传输协议（SMTP），多用途网际邮件扩充协议（MIME）。 它还支持从消息系统到远程过程调用（RPC）等大量的应用程序。
用java 写一个接口，包含说话的方法，以及实现它的两个子类，并重写说话的方法
// 说话 接口
public interface Speakable {
void speak();
// Cat类实现说话
public class Cat implements Speakable {
public void speak() {
// Dog类实现说话
public class Dog implements Speakable {
public void speak() {
淘宝快递单打印用什么软件好用?
主要面向个人卖家和微型团队卖家，采用access桌面型数据库、货品库存管理等功能。该系统永久免费使用.1的简化版本.3是原企业版2，可实现订单下载、快递单货运单打印，接入淘宝API、拍拍API用网店管家个人版免费的网店管家（个人版）V2
发表评论