近日，在為某國企單位進行網(wǎng)絡安全保障期間，盛邦安全RayAPI產(chǎn)品監(jiān)測到智慧食堂管理系統(tǒng)信息查詢接口存在未鑒權風險，可導致大量敏感信息泄露，包括賬號信息、身份照片及系統(tǒng)運行日志等，隨后，安全研究人員對該風險進行了詳細的驗證。

5、進行主動驗證測試，發(fā)現(xiàn)通過該接口可以直接批量獲取敏感信息。

近年來，隨著企業(yè)信息化、數(shù)字化的轉型與升級，智慧園區(qū)建設當中也不斷引入各類新型系統(tǒng)來打通管理流程，例如智慧食堂管理系統(tǒng)，此類系統(tǒng)往往涉及大量員工個人信息，并與其他企業(yè)管理系統(tǒng)通過API接口互通，同時又容易被安全運維人員所忽視。對此，我們從系統(tǒng)建設與安全治理兩方面給出如下建議：

1、系統(tǒng)建設層面

（1）加強API接口權限控制，尤其針對涉敏類接口，除必要的認證手段之外，還應設定合理的訪問頻率限制，防止接口被惡意爬??；

（2）加強敏感數(shù)據(jù)管控措施，尤其針對個人隱私信息，一方面需建立必要的加密傳輸手段，另一方面需減少非必要的數(shù)據(jù)內容傳輸，防止數(shù)據(jù)過度暴露。

2、安全治理層面

（1）做好接口暴露風險檢測。以RayAPI為例，通過對接口類型、調用內容與訪問軌跡等條件的關聯(lián)檢測，識別敏感接口的誤暴露風險情況；

（2）做好接口異常行為檢測。以RayAPI為例，通過對接口訪問頻次、數(shù)據(jù)調用規(guī)模的趨勢分析，識別可能存在的接口攻擊行為，并配合安全基線要求設定訪問控制策略。