[发明专利]一种Web API安全威胁检测方法及装置

说明书

本发明公开了一种Web API安全威胁发现方法及装置，包括依据若干API接口文档中提取出的关键信息，组成若干API操作，并对各API操作进行依赖关系确定，生成API操作序列；根据收集的攻击载荷、不同安全威胁的漏洞检测特征及针对不同安全威胁的漏洞注入点，构建漏洞库；从漏洞库中选择攻击载荷，并根据对应的漏洞注入点，对API操作序列进行载荷装配，得到测试用例；结合漏洞库中的漏洞检测特征分析测试用例响应结果，得到该测试用例的安全威胁发现结果。本发明通过生成API操作序列来达到对API的深层访问，覆盖更多的应用业务检测，同时在漏洞检测方面设计了多种响应结果分析方法，对多种安全风险能够进行有效检测，提高了WebAPI安全风险的检测效果。

技术领域

本发明涉及计算机网络安全领域，具体涉及一种Web API安全威胁发现方法及装置。

背景技术

API在互联网时代向大数据时代快速过度的阶段承担着重任，其技术已经渗透到了通信、医疗、金融、交通等各个行业。每一个领域都离不开API的使用，伴随着API的爆发性增长及广泛应用，API安全管理面临巨大压力。

为了避免安全风险造成的巨大损失，安全工程师往往采用自动化Web安全测试工具来对网站业务进行测试。随着反爬虫技术的出现，这种方式通过爬虫发现检测对象，无法对业务分析进行较为全面的覆盖。而且在安全风险检测时没有考虑到API之间的依赖关系，导致漏检。

Web API作为外部网络的主要对象之一，同时也是各种攻击路径的入口，其重要性不言而喻。它被应用于各种复杂环境时，带来便利的同时也带来了巨大的威胁，包括有认证授权安全风险、数据泄漏安全风险、DoS(DenialofService，拒绝服务)以及注入安全风险等。随着云大物移智的发展，企业越来越多地使用API来整合生态系统合作伙伴，创造新的价值。保证API安全才能为API时代下API经济、API生态提供稳定健康发展的环境。

发明内容

针对上述问题，本发明提出了一种Web API安全威胁检测方法及装置，通过对API文档中的关键信息进行提取，获取API操作序列，生成测试用例，对Web API的多种安全威胁进行检测。

为达到上述目的，本发明采取的具体技术方案是：

一种Web API安全威胁发现方法，其步骤包括：

1)依据若干API接口文档中提取出的关键信息，组成若干API操作，并对各API操作进行依赖关系确定，生成API操作序列；

2)根据收集的攻击载荷、不同安全威胁的漏洞检测特征及针对不同安全威胁的漏洞注入点，构建漏洞库；

3)从漏洞库中选择攻击载荷，并根据对应的漏洞注入点，对API操作序列进行载荷装配，得到测试用例；

4)结合漏洞库中的漏洞检测特征分析测试用例响应结果，得到该测试用例的安全威胁发现结果。

进一步地，所述API操作为一接口地址、方法、协议、请求参数、响应的五元组，其中所述响应包括：响应状态码和响应参数。

进一步地，请求参数与响应参数分别包括：参数名、参数示例值、参数位置、参数类型、参数最小值、参数最大值、参数的必要性、参数的最大长度和参数的最小长度。

进一步地，通过以下步骤生成API操作序列：

1)通过比较各API操作响应参数及请求参数之间的相似性，判断任两个API操作之间是否存在数据依赖关系；

2)根据数据依赖关系，以API操作为点，API操作之间的所依赖的数据为边，构建数据依赖图；

3)基于数据依赖图，确定API操作之间的依赖顺序，得到API操作序列。

进一步地，通过依次比较请求参数与响应参数之间的参数主体、参数类型以及参数名称，得到所述相似性。