現代應用大量仰賴 API 作為服務互動的主幹,因此 API 的資安防護已是企業級系統設計的基本要求。若缺乏完善的防護措施,API 將可能成為駭客入侵、資料外洩與服務中斷的入口。本文將介紹常見的 API 攻擊方式、平台弱點,以及企業在設計與營運 API 時應注意的資安考量。
常見攻擊類型
根據我們的經驗,常見的 API 大致可分為兩種攻擊類型:
- API 濫用(Abuse / Mass scraping)
使用者或自動化程式大量呼叫 API 以取得資料或耗盡資源(ex. 大量下載、暴力嘗試 enumeration)。 - API 攻擊(Exploitation / Injection)
對 API 送入惡意輸入(如 SQL Injection、NoSQL injection、command injection),或利用邏輯漏洞取得不當權限或系統存取。
前來請求我們服務的客戶,大抵都遇過此兩類的攻擊,例如將金流的 api 運用自動化機器人,測試信用卡能否使用。又或者透過列舉嘗試攻擊 api 端點欲取得不當權限。
常見弱點與案例
框架層面的弱點
以 Spring Framework 為例,過去曾出現多個高風險漏洞(如 CVE-2018-1260、CVE-2022-22965),提醒企業需定期更新框架與依賴套件,避免被已知漏洞攻擊。
再以 .NET Framework 為例,CVE-2017-0247, CVE-2022-41089 等,可以利用漏洞執行遠端程式碼。這些漏洞皆主要影響 Web API 與雲端部署環境等。
OWASP API Top 10 2019 對應弱點
- A1 — 無效的對象層級授權(Broken Object Level Authorization)
攻擊者僅需修改參數(如用戶 ID)即可存取他人資料,甚至達到「水平或垂直提權」。 - A2 — 無效認證與授權(Broken Authentication)
因弱密碼、預設帳號或認證機制設計不良,攻擊者可輕易取得用戶或管理者身份。 - A4 — 缺乏資源與速率限制(Lack of Resource & Rate Limiting)
未限制 API 請求數量,導致 DDoS 或大量爬取資料的風險。 - A10 — 記錄與監控不足(Insufficient Logging & Monitoring)
若缺乏完善的日誌與偵測機制,攻擊行為難以及時發現並處理。
防護策略
- 認證與授權管理
- 使用 OAuth2 / OpenID Connect 等標準。
- 實施強密碼與多因素認證。
- 對敏感 API 加入額外授權檢查。
- 速率限制與資源控管
- 在 API Gateway 實作限流策略。
- 加入防爬蟲與異常流量檢測。
- 輸入驗證與資料保護
- 採用參數化查詢,避免 SQL Injection。
- API 僅回傳必要欄位,避免過度暴露資訊。
- 全面啟用 TLS 1.2 以上版本,確保傳輸加密。
- 監控與事件回應
- 保留完整 API 使用日誌至少 180 天。
- 建立異常行為偵測機制(如大量 401/403、過量下載)。
- 制定事件回應流程,確保能快速偵測、隔離與修復。
使用行為分析的價值
透過 API 使用異常分析,企業能更快發現潛在攻擊:
- 使用總量分析(TopN):識別異常高流量的用戶或 IP。
- 身份與下載資料比對:檢測敏感資料被過度存取。
- 使用頻率分析:辨識暴力攻擊或自動化爬蟲行為。
- 錯誤行為探勘(Error Handling Mining):觀察是否有惡意嘗試觸發系統錯誤。
這些資訊不僅能協助偵測威脅,也能成為改善資安策略的重要依據。
結語
API 是企業數位服務的關鍵基礎,但同時也潛藏資安風險。從認證授權、速率限制、輸入驗證,到日誌監控與異常分析,每一層防護都缺一不可。唯有將 API 安全納入系統設計與營運流程,並持續檢測與改善,才能在數位化競爭中確保服務的穩定與信任。














