【 5-5 】
接口数据采集行为分析
第5.5章 接口数据采集行为分析
本章内容依据《数据安全工程技术人员（初级）第5模块零基础详细学习教材》整理，系统讲解接口数据采集行为分析。
5.1 接口为什么是评估重点
接口连接多个系统和第三方，数据能够自动、持续、批量传输。页面只显示部分字段时，接口仍可能返回完整数据，因此需要单独分析请求字段、返回字段、鉴权、加密、频率和日志。
5.2 接口分析九项
| 核查项 | 检查问题 | 证据 |
|---|---|---|
| 主体 | 调用方、提供方、运维方和负责人是谁？ | 接口清单、责任表 |
| 目的 | 接口用于什么业务功能？ | 需求、合同、流程 |
| 字段 | 请求和返回是否最小必要？ | 接口文档、流量样本 |
| 认证 | 令牌、证书、签名或密钥如何使用？ | 配置、密钥管理记录 |
| 传输 | 是否使用有效加密协议和证书？ | 配置截图、测试结果 |
| 访问控制 | 是否限制来源、角色、环境和数据范围？ | 安全组、白名单、权限 |
| 频率 | 是否有限流、并发和批量阈值？ | 网关策略、监控 |
| 日志 | 是否记录调用方、时间、接口、结果和异常？ | 接口日志、审计 |
| 异常处置 | 是否支持阻断、轮换、撤销和告警？ | 预案、工单、演练 |
5.3 请求字段与返回字段
| 接口 | 请求 | 返回 | 问题 |
|---|---|---|---|
| 短信发送 | 手机号、模板编号 | 发送状态 | 字段基本匹配目的 |
| CRM客户查询 | 用户ID | 姓名、手机号、邮箱、身份证号、学习进度 | 身份证号可能超出客服需要 |
| 成绩查询 | 考生ID、考试ID | 成绩、证书状态 | 需核验调用方权限 |
| 统计接口 | 日期、课程ID | 包含完整用户明细 | 可改为汇总或去标识化结果 |
5.4 认证与密钥
- 确认每个调用方使用独立身份，避免多人或多系统共享令牌。
- 密钥和令牌不应写入公开代码仓库、普通文档和聊天工具。
- 设置有效期、轮换、吊销和泄露应急机制。
- 高风险接口可使用多重机制，例如证书、签名、来源限制和令牌。
- 评估日志是否记录密钥标识，禁止记录完整密钥。
5.5 接口最小化测试
1. 根据业务目的列出真正需要的请求和返回字段。
2. 使用不同角色和调用方执行接口测试。
3. 检查接口是否返回页面未显示的敏感字段。
4. 检查批量查询、分页上限和调用频率。
5. 检查错误响应是否泄露系统结构或敏感数据。
6. 核对接口日志与实际调用是否一致。
5.6 接口分析表示例
| 接口 | 调用/提供方 | 字段 | 认证加密 | 频率 | 审计 | 问题建议 |
|---|---|---|---|---|---|---|
| CRM用户查询 | 境外CRM / 用户中心 | 姓名、邮箱、手机号、学习进度 | OAuth令牌 + HTTPS | 每分钟200次 | 记录调用方和结果 | 缩减学习进度字段，设置用途审批 |
| 邮件通知 | 课程系统 / 邮件服务 | 邮箱、模板、课程名 | API密钥 + HTTPS | 按事件触发 | 记录发送状态 | 核对境外存储和删除期限 |
| 成绩查询 | 证书系统 / 考试系统 | 考生ID、成绩、证书状态 | 证书 + 签名 | 每分钟50次 | 完整审计 | 限制来源和批量返回 |
本节自测
1. 为什么页面脱敏不能证明接口也安全？
2. 接口评估中为什么要检查调用频率？
3. 密钥和令牌的生命周期包括哪些环节？