API/API 管理安全建议

本文列出了你可能在Microsoft Defender for Cloud中看到的所有 API/API 管理安全建议。

环境中显示的建议基于要保护的资源和自定义配置。 可以在门户中查看适用于资源的建议。

若要了解可针对这些建议执行的操作，请参阅 Defender for Cloud0>修正建议。

Azure API 建议

应为 API 启用Microsoft Defender

Description &相关策略：启用 API 计划的Defender，以发现和保护 API 资源免受攻击和安全配置错误。 了解详细信息

严重性：高

应将Azure API 管理 API 载入到 API Defender

Description &相关策略：将 API 载入到 API Defender需要Azure API 管理服务上的计算和内存利用率。 在载入 API 时监视Azure API 管理服务的性能，并根据需要横向扩展Azure API 管理资源。

严重性：高

应禁用和从 Azure API 管理 服务中删除未使用的 API 终结点

Description &相关策略：作为安全最佳做法，未收到流量 30 天的 API 终结点被视为未使用，应从Azure API 管理服务中删除。 保留未使用的 API 终结点可能会带来安全风险。 这些 API 可能已从 Azure API 管理 服务中弃用，但意外处于活动状态。 此类 API 通常不会收到最 up-to日期的安全覆盖范围。

严重性：低

应对Azure API 管理中的 API 终结点进行身份验证

Description &相关策略：Azure API 管理中发布的 API 终结点应强制实施身份验证，以帮助最大程度地降低安全风险。 有时，身份验证机制的实现会不正确或缺失。 这会允许攻击者利用实现缺陷并访问数据。 对于在 Azure API 管理 中发布的 API，此建议通过验证是否存在需要订阅的 API 或产品的Azure API 管理订阅密钥，以及验证 JWT、client 证书和 Microsoft Entra令牌。 如果在 API 调用期间未执行这些身份验证机制，则 API 将收到此建议。

严重性：高

应禁用和从函数应用中删除未使用的 API 终结点（预览版）

说明和相关策略：未收到流量 30 天的 API 终结点被视为未使用，并构成潜在的安全风险。 这些终结点在应弃用时可能意外地保持活动状态。 通常，未使用的 API 终结点缺少最新的安全更新，使其易受攻击。 为了防止潜在的安全漏洞，我们建议禁用和删除这些 HTTP 触发的终结点，使其Azure Function Apps。

严重性：低

应禁用和从逻辑应用中删除未使用的 API 终结点（预览版）

说明和相关策略：未收到流量 30 天的 API 终结点被视为未使用，并构成潜在的安全风险。 这些终结点在应弃用时可能意外地保持活动状态。 通常，未使用的 API 终结点缺少最新的安全更新，使其易受攻击。 为了防止潜在的安全漏洞，我们建议禁用和删除这些终结点，使其Azure 逻辑应用。

严重性：低

应在函数应用中托管的 API 终结点上启用身份验证（预览版）

Description &相关策略：Azure Function Apps 中发布的 API 终结点应强制实施身份验证，以帮助最大程度地降低安全风险。 这对于防止未经授权的访问和潜在的数据泄露至关重要。 如果没有适当的身份验证，可能会公开敏感数据，从而损害系统的安全性。

严重性：高

应在逻辑应用中托管的 API 终结点上启用身份验证（预览版）

Description &相关策略：Azure 逻辑应用中发布的 API 终结点应强制实施身份验证，以帮助最大程度地降低安全风险。 这对于防止未经授权的访问和潜在的数据泄露至关重要。 如果没有适当的身份验证，可能会公开敏感数据，从而损害系统的安全性。

严重性：高

API 管理建议

API 管理订阅不应限定为所有 API

说明和相关策略：API 管理订阅的范围应限定为产品或单个 API，而不是所有 API，后者可能会导致数据过度泄露。

严重性：中等

API 管理对 API 后端的调用不应绕过证书指纹或名称验证

说明和相关策略：API 管理应验证所有 API 调用的后端服务器证书。 启用 SSL 证书指纹和名称验证可提高 API 安全性。

严重性：中等

不应启用 API 管理直接管理终结点

Description &相关策略：Azure API 管理中的直接管理 REST API 绕过Azure 资源管理器基于角色的访问控制、授权和限制机制，从而增加服务的漏洞。

严重性：低

API 管理 API 应仅使用加密协议

说明和相关策略：API 应只能通过加密协议（如 HTTPS 或 WSS）使用。 避免使用不安全的协议（如 HTTP 或 WS），以确保传输中数据的安全性。

严重性：高

API 管理机密命名值应存储在Azure 密钥保管库

说明和相关策略：命名值是每个 API 管理服务中名称和值对的集合。 机密值可以存储为 API 管理（自定义机密）中的加密文本，也可以通过在Azure 密钥保管库中引用机密来存储机密。 从Azure 密钥保管库引用机密命名值，以提高 API 管理和机密的安全性。 Azure 密钥保管库支持精细的访问管理和机密轮换策略。

严重性：中等

API 管理应禁用对服务配置终结点的公用网络访问

说明和相关策略：为了提高 API 管理服务的安全性，请限制与服务配置终结点的连接，例如直接访问管理 API、Git 配置管理终结点或自承载网关配置终结点。

严重性：中等

API 管理最低 API 版本应设置为 2019-12-01 或更高版本

说明和相关策略：若要阻止服务机密与只读用户共享，应将最低 API 版本设置为 2019-12-01 或更高版本。

严重性：中等

API 管理对 API 后端的调用应进行身份验证

说明和相关策略：从 API 管理到后端的调用应使用某种形式的身份验证，无论是通过证书还是凭据。 不适用于服务Fabric后端。

严重性：中等

相关内容

• 了解安全建议？
• 查看安全建议