DX's Digital Garden

API与应用系统安全审计系统

14 min read

API与应用系统安全审计系统

来源：

  • API与应用系统安全审计系统.xmind
  • API与应用系统安全审计系统V5.0产品白皮书-陈婕-20260319.docx
  • API与应用系统安全审计系统V5.0R10C01招标参数-陈婕-20260226.docx
  • API与应用系统安全审计系统V5.0-POC测试方案-20260227.docx
  • 网络安全整体结构理解图

0. 产品介绍思路

最后我会把话题从办公终端的数据外发，转到业务系统和 API 的数据流转。现在很多核心数据不是直接在电脑文件里拷来拷去，而是通过 OA、ERP、CRM、开放平台、API 网关这些接口来访问和传输，所以 API 审计要解决的是“有哪些接口、谁调用了、调了什么数据、有没有异常、出事后能不能追”。它的作用是自动发现 API 资产、识别敏感数据、监测接口脆弱性和异常调用，并把 API 访问行为留痕。在等保 2.0 里，它主要支撑应用和数据安全、安全审计、访问控制、个人信息保护和日志留存。功能模块可以按敏感操作还原、应用资产梳理、数据风险监测和敏感数据溯源四块来讲。部署位置一般靠近 API 网关、Web 应用、业务系统、应用服务器或数据中心流量侧；部署方式有交换机镜像旁路、应用服务器 Agent 采集、第三方日志对接、分布式部署和平台联动。这样五个产品就能串起来：明鉴漏扫先找风险，AI-APT 看网络攻击，EDR 管主机处置，办公智盾管安全办公和终端数据，API 审计管接口和业务数据流转。

1. 一句话总览

API 与应用系统安全审计系统是面向 API 和业务系统的数据安全审计产品：通过旁路镜像、Agent 或日志对接方式采集 API 访问行为，识别 API 资产、敏感数据、调用主体、异常行为和接口脆弱性，回答“有哪些 API、谁调了什么、访问了哪些敏感数据、是否存在风险、出事后如何溯源”。

通俗记忆：

API审计 = 摸清API家底 + 看敏感数据流向 + 发现异常调用 + 留痕溯源

它不是 WAF，也不是 API 网关。WAF 偏攻击防护，API 网关偏接口发布和路由治理，API 审计更偏 数据安全审计、API 资产梳理、敏感数据识别和证据留存。

2. 产品是干什么用的

API 审计主要解决 API 数据安全问题：

客户问题产品做法输出结果
API 数量多、资产不清基于流量还原自动发现 API、应用、文件、端口和生命周期API 资产清单、影子 API、僵尸 API、涉敏 API
敏感数据通过接口流转但看不见识别请求/响应中的敏感字段、文件、个人信息和重要数据敏感数据标签、分类分级、数据流向
API 存在越权、遍历、伪脱敏等风险检测 OWASP API Top 10、鉴权、暴露、脱敏、参数遍历等风险脆弱性告警、修复建议、风险报表
内部人员异常调用不易发现UEBA 按 IP、账号、API、数据维度分析行为大量获取、异常时间访问、跨域/出境、异常频次告警
泄露事件后无法快速定位保存 API 访问日志，支持检索、聚合、报表和双向审计泄露路径、访问主体、影响面、审计证据

核心价值是：让接口资产、敏感数据和调用行为可见、可审、可追溯。

3. 在等保 2.0 里哪里体现

API 审计在等保 2.0 中主要体现于 应用和数据安全、安全审计、访问控制、个人信息保护、日志留存和数据访问行为审计。

等保相关方向API 审计对应能力怎么理解
安全审计记录 API 调用时间、系统、接口、请求方法、账号、IP、数据内容回答谁在什么时间访问了哪个接口和哪些数据
访问控制识别未鉴权接口、越权、弱鉴权、敏感接口遍历发现接口权限设计和访问控制缺陷
应用安全监测 SQL 注入、SSRF、CSRF、代码执行等 API 网络攻击从 API 视角发现应用层攻击风险
数据安全敏感数据识别、分类分级、数据流向、涉敏接口识别支撑重要数据和个人信息保护
日志留存与溯源API 访问日志保存 180 天以上，支持检索、报表、订阅和外发给测评、审计和事件响应提供证据

注意边界：

Important

API 审计能发现接口资产、调用风险和敏感数据流转问题，但不能单独完成身份治理、权限整改、代码修复和边界阻断。通常需要配合 IAM/零信任、WAF、API 网关、数据库审计、日志平台和数据安全态势感知一起建设。

可交付材料包括：

  • API 资产清单
  • 涉敏 API 清单
  • 敏感字段和数据标签
  • API 调用审计日志
  • 异常调用和风险事件报表
  • 数据泄露溯源报告
  • API 暴露面和生命周期统计

4. 产品功能有几个大的功能模块

按 XMind 和白皮书，可以记成 4 个核心功能模块：

模块主要能力作用
敏感操作还原请求/响应还原、敏感数据识别、分类分级、文件还原、用户主体识别把 API 流量变成可审计的业务行为
应用资产梳理API 发现、应用发现、API/URL 区分、暴露面打标、生命周期运营摸清 API、应用和涉敏资产家底
数据风险监测API 脆弱性、用户行为风险、网络攻击风险、自定义风险规则发现越权、脱敏不足、大量访问、异常调用和攻击风险
敏感数据溯源180 天以上日志留存、索引检索、聚合分析、报表导出、邮件订阅、OpenAPI/Syslog/Kafka 外发事件发生后快速查证和复盘

售前表达可以压缩成四句话：

还原看行为，识别看数据，监测看异常，溯源看证据。

5. 产品部署在哪里

结合整体安全架构，API 审计应部署在 能看到 API 调用流量或应用访问日志的位置。

常见位置：

  • DMZ / 对外服务区：公网 Web、API 网关、开放平台、门户系统。
  • 业务系统与数据中心区：OA、ERP、CRM、核心业务系统、数据库前置应用。
  • 核心交换 / 汇聚交换旁路：镜像靠近应用服务器的东西向或南北向 API 流量。
  • 云化和虚拟化环境：通过应用服务端 Agent 采集或日志对接方式补齐镜像不可见流量。
  • 数据安全运营侧：对接数据安全态势感知、日志平台或 SOC 做统一监管。

记忆图：

业务与数据中心 / DMZ
├─ API网关 / 开放平台：接口入口和外部调用
├─ Web应用 / 业务系统：OA、ERP、CRM、门户
├─ 应用服务器：Agent采集或镜像流量
├─ 核心/汇聚交换机：旁路镜像API流量
└─ 数据安全运营平台：汇聚审计日志和风险报表

6. 产品部署方式有哪些

部署方式适用场景记忆点
镜像模式物理网络或可做流量镜像的业务区靠近应用服务器的交换机旁路镜像，不侵入业务
Agent 采集云化、虚拟化、容器或镜像流量难拿的环境在应用服务端安装 Agent，将流量采集转发到平台
第三方日志对接已有应用日志、网关日志、WAF 日志或日志平台基于现有日志体系做审计和分析
分布式部署大流量、多区域、多业务系统两台及以上即可分布式，支持主副切换和流量分摊
平台联动已建设数据安全态势感知、SOC、日志平台API 审计输出资产、风险和日志给上级平台统一运营

部署口径：

优先旁路镜像，不改业务；
云和虚拟化场景用Agent；
已有日志体系就做第三方日志对接；
大流量和多区域用分布式。

7. 和 WAF / API 网关的区别

对比点API 审计WAFAPI 网关
核心定位数据安全审计和 API 风险监测Web/API 攻击防护API 发布、路由、鉴权、限流和治理
主要视角API 资产、敏感数据、主体行为、审计证据攻击请求、规则拦截、漏洞利用接口管理、调用入口、流量治理
强项影子 API、涉敏 API、异常调用、泄露溯源SQL 注入、XSS、文件上传、恶意扫描拦截接口注册、权限、流控、熔断
典型部署旁路镜像、Agent、日志对接串联/反向代理/旁路联动API 入口链路

一句话区分：

网关管入口，WAF挡攻击，API审计看清接口和数据。

8. 新人速记

API与应用系统安全审计系统
├─ 是什么：API和业务系统的数据安全审计产品
├─ 干什么：发现API、识别敏感数据、监测异常调用、留痕溯源
├─ 等保作用：应用安全、安全审计、访问控制、个人信息保护、日志留存
├─ 功能模块：敏感操作还原、应用资产梳理、数据风险监测、敏感数据溯源
├─ 部署位置：DMZ、API网关、业务系统、应用服务器、数据中心流量侧
├─ 部署方式：镜像旁路、Agent采集、第三方日志对接、分布式、平台联动
└─ 产品边界：偏审计和风险发现，阻断和权限整改要配合WAF/网关/IAM/业务系统

9. 一句话复述

API 与应用系统安全审计系统是客户 API 和业务系统的数据安全审计工具，通过旁路镜像、Agent 或日志对接方式还原 API 调用行为，自动发现 API 资产、涉敏接口、敏感字段、调用主体和异常访问，帮助客户完成 API 暴露面治理、敏感数据保护、接口风险监测、日志留存和泄露事件溯源。

Graph View

Backlinks