أمن واجهات برمجة التطبيقات
تأمين واجهات برمجة التطبيقات من خلال المصادقة، وتحديد معدل الطلبات، والتحقق من المدخلات، والمراقبة.
يُعرَّف أمن واجهات برمجة التطبيقات بنتائج NIST CSF 2.0 الآتية: PR.PS-06 (Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle); PR.AA-03 (Users, services, and hardware are authenticated); PR.IR-01 (Networks and environments are protected from unauthorized logical access and usage). جدول المطابقة مُطابَق عبر جدول مطابقة منشور في ISO 27001, PCI DSS و800-53. تحريري مُطابَق تحريريًا في CIS v8.1. ذو صلة فضفاضة فقط في CMMC, HIPAA وNIS2. لا يوجد ربط في بياناتنا لا يوجد ربط في بياناتنا لـ SOC 2, GDPR, Essential Eight, DORA, CPS 234 وCyber Essentials.
| الإطار | المتطلب | العنوان | رابط | المصدر / السبب |
|---|---|---|---|---|
| NIST CSF 2.0 | PR.PS-06PR.AA-03PR.IR-01 | Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle; Users, services, and hardware are authenticated; Networks and environments are protected from unauthorized logical access and usage | تعريف الموضوع | PR.PS-06 PR.AA-03 PR.IR-01 |
| ISO 27001 | A.8.5A.8.26 | Secure authentication; Application security requirements | جدول المطابقة | A.8.5: via PR.AA-03 A.8.26: via PR.PS-06 |
| CIS v8.1 | CIS 16.10CIS 16.12 | Apply Secure Design Principles in Application Architectures; Implement Code-Level Security Checks | تحريري | CIS 16.10: Secure design principles in application architectures, which apply to APIs as much as user interfaces. CIS 16.12: Code-level security checks catch API flaws such as injection and broken authorisation before release. |
| SOC 2 | — | لا يوجد متطلب | لا يوجد ربط في بياناتنا | لا يوجد متطلب SOC 2 مُطابَق مع هذا الموضوع في بياناتنا. |
| PCI DSS | 6.2.36.2.4 | Custom code reviewed before release; Coding techniques prevent common software attacks | جدول المطابقة | 6.2.3: via PR.PS-06 6.2.4: Engineering techniques against common attacks, including API abuse; omitted from NIST's PCI references. |
| CMMC | SC.L2-3.13.2AC.L2-3.1.8AC.L2-3.1.11IA.L2-3.5.1IA.L2-3.5.2IA.L2-3.5.3 | غير مُطابَق مع هذا الموضوع | هذه المتطلبات تشترك فقط في نتائج CSF لهذا الموضوع (PR.PS-06, PR.AA-03, PR.IR-01) عبر جداول ربط منشورة: تستحق المراجعة، لكنها ليست ربطًا. | |
| 800-53 | IA-9SC-5SI-10 | Service Identification and Authentication; Denial-of-service Protection; Information Input Validation | جدول المطابقة | IA-9: via PR.AA-03 SC-5: via PR.IR-01 SI-10: Input validation; not linked to these subcategories in NIST's references. |
| HIPAA | §164.310(b)§164.312(a)(2)(i)§164.312(a)(2)(iii)§164.312(d)§164.308(a)(3)§164.308(a)(3)(ii)(A) | غير مُطابَق مع هذا الموضوع | هذه المتطلبات تشترك فقط في نتائج CSF لهذا الموضوع (PR.PS-06, PR.AA-03, PR.IR-01) عبر جداول ربط منشورة: تستحق المراجعة، لكنها ليست ربطًا. | |
| GDPR | — | لا يوجد متطلب | لا يوجد ربط في بياناتنا | لا يوجد متطلب GDPR مُطابَق مع هذا الموضوع في بياناتنا. |
| NIS2 | 6.211.611.76.76.8 | غير مُطابَق مع هذا الموضوع | هذه المتطلبات تشترك فقط في نتائج CSF لهذا الموضوع (PR.PS-06, PR.AA-03, PR.IR-01) عبر جداول ربط منشورة: تستحق المراجعة، لكنها ليست ربطًا. | |
| Essential Eight | — | لا يوجد متطلب | لا يوجد ربط في بياناتنا | لا يوجد متطلب Essential Eight مُطابَق مع هذا الموضوع في بياناتنا. |
| DORA | — | لا يوجد متطلب | لا يوجد ربط في بياناتنا | لا يوجد متطلب DORA مُطابَق مع هذا الموضوع في بياناتنا. |
| CPS 234 | — | لا يوجد متطلب | لا يوجد ربط في بياناتنا | لا يوجد متطلب CPS 234 مُطابَق مع هذا الموضوع في بياناتنا. |
| Cyber Essentials | — | لا يوجد متطلب | لا يوجد ربط في بياناتنا | لا يوجد متطلب Cyber Essentials مُطابَق مع هذا الموضوع في بياناتنا. |
تعريف الموضوع نتائج CSF 2.0 التي تحدد هذا الموضوع · جدول المطابقة اختيار واحد على الأقل مدعوم بجدول مطابقة منشور · تحريري حكم ControlMapping، مع ذكر السبب · غير مربوط، يشترك فقط في نتائج CSF لهذا الموضوع · لا يوجد ربط في بياناتنا لا يوجد ربط في بياناتنا؛ غالباً عمل جديد، لكن راجع ملاحظات التغطية. المنهجية.
تُعرض معرّفات المتطلبات وعناوينها كما تنشرها كل جهة معيارية، باللغة الإنجليزية.
ربط خاطئ أو مفقود؟ أبلغ عنه
حول أمن واجهات برمجة التطبيقات
يحمي أمن واجهات برمجة التطبيقات (APIs) هذه الواجهات من إساءة الاستخدام والوصول غير المصرح به وكشف البيانات، في ظل اعتماد المؤسسات المتزايد على واجهات برمجة التطبيقات في تكامل الأنظمة وتطبيقات الأجهزة المحمولة والربط مع الشركاء. وتشمل الضوابط الرئيسية تطبيق OAuth 2.0 أو مصادقة مفاتيح واجهات برمجة التطبيقات، وفرض تحديد معدل الطلبات والتقييد لمنع إساءة الاستخدام، والتحقق من جميع المدخلات لمنع هجمات الحقن، وتسجيل استدعاءات واجهات برمجة التطبيقات لأغراض المراقبة والتحقيقات الجنائية الرقمية. ينبغي للمؤسسات الاحتفاظ بجرد كامل لجميع واجهات برمجة التطبيقات، وإجراء اختبارات دورية لأمن واجهات برمجة التطبيقات تتوافق مع قائمة OWASP API Security Top 10، وتطبيق بوابات واجهات برمجة التطبيقات التي تُمركز المصادقة والتفويض وإدارة حركة المرور.