組織階層構造における組織階層構造の再考

这篇文章的 “一个版本” 现在出来了 黑暗阅读。它已在此处更新新内容并发布。

‍

在职业生涯的某个时刻，每一个人都能看过其中一张业务报告或层次结构图，这些图片定义了谁向组织中的谁汇报。有时候只需要给你打个招呼 组织结构图，这是一个有用的工具，可以让人们知道他们是谁在工作，他们的老板是谁。例如，在典型的构造结构图中，编程小组的负责人可能会向产品开发总监汇报，而产品开发总监又向创新的总裁汇报。然而之后，权利限制在公司结构中继续下移动。谁没有看过其中一张图表，试试你在里面的某个地方找到自己的小方块？

Hermageal对等级制片度和结构如此着迷也就不足为奇了。这是历史上使我们作为一个物种存活了这个长时间的原因，即使在我们面前是一个非常危险的世界的远古时代也是如此。我们从来都不是最强或最快的生物，但我们在团队中合作得很好，每个人都知道自己的位置和责备主任，让我们的家族、部落或群团结起来，活下来并蓬勃发展。现代组织结构图实际上是那个时代和古老成人的延伸延伸。

但是，无论是业务规模还是其他原因，比如说，几乎每个组织结构图都有一个共同的同点。在大多数情况下，这些图表上面的所有构件都代表着人类或人类群体。我们还没有到机器人监控人类的地步，所以就目前而言，组织结构完全是人为的事件。但是我们的软件还需要组织层次结构吗？

当然，我并不建议我们在公司组织结构图中添加软件。没有人愿意为老板开发一款应用程序。你怎么会他们加薪？但是，当今我们的应用程序和程序所属的危险环境没有什么不同之处。通过帮助在深密的层次结构中定义我们的应用程序和软件，并以最小的权限执行这些政策，我们可以确认保护我们的应用程序和软件在面前 caniPrisomitory 的威严环境中也能存活和发展。

对应用程序和软件的攻击攻击到历史新高

要了解一下软件创建更好的 “层次结构” 的必需性，首先要了解威格局。如今，攻击者以为他们运行的机器人和自动化驱动的软件一直在扫描任何防御漏洞以供利用。尽管在发起网络钓鱼和其他针对人类的攻击，但最成熟的Recs的黑客已将大部份精力转化到攻击软件上。

尽管所有软件都成了攻击目标，但最终成功的攻击是针对应用程序编程接口或 API 的。这些不起眼的 API 是开发者以其应用程序和程序执行各种小而重要的任务的微小软件。它们通常是独一无二的灵魂，有时候在软件开发过程中，根据需要即时创建。

API 现在是灵活的，但它们通常也很灵活 权限过高 因为他们的职能。例如开发，往返的人会给他们很多权限限制，这样，即使他们帮助管理的程序没有开发和变化，他们也可以继续运行。但这意味着，如果攻击者进入他们，那么他们获得的不仅仅是权限，例如访问特定数据库中的一个群体的权利。他们可以获得整个网络的几乎所有管理者的权限限制。

难怪有几家安全研究公司表示，当今绝大多数人取消攻击都是针对 API 等软件进行的。Akamai 将这个数字字体定为 占总人数的 75%，而 Gartner 也是这样说的 所涉和 API 的漏洞 已成为最常见的攻击载体。Salt Labs 的最新报告显示了针对性的 API 的攻击 上涨了近 700% 与去年相比。

为软件创建组织结构图

组织反击证书取消威的方针是其网络内强制执行最低权利限额至零信任。这个限定了用户获得的权限几乎无法完成其工作或任务。这种种类往年受众到时间和地点等因素的进一步限制。这样，即使据说取消攻击成功了，也不会给攻击者带来太大的好处，因为他们只能在短时间内执行有限的功能。

最低权限是一种很好的防御措施，但通常仅适用于人类用户。我们往常会忘记，API 还有更高的权限限制，而且通常不会有受众管道。这是原因一 访问控制失效 根据追踪网络攻击的开放网络应用程序安全项目（OWASP），现在是头号公民。

很容易我说，这个关键问题的解决方法就是简单的地对软件应用最低权限限制。但要实现起来很困难。首先，必须让开发者员工意识到危险。然而之后，展望未来，API和其他软件应该作为组织结构图中的一部分正式放置在其所在的计算机网络中，或者至少是设想的。例如，如果一个应用程序应该在预订的应用程序中获取实时航行数据，那它就没有理智的连接资质或财务系统。在软件组织结构图上，连接这些系统不会有直接接入的直通线。

对于开发人员来说，实际创建组织结构图来显示其组织结构中运行的数千到数百万个 API 可能不是现实的。但是，意思到他们构成的危险，将他们的权利限制在工作所需的范围内，将大有助手阻止当今PersonaFenciancian的获胜证书取消攻击。它起源于意识，最后以和人类用户的相似之处的审核方程式对待API和软件结束了。
‍

你想提一下你的开发团队吗？使用我们的 API 安全问题及更多内容进行探索 敏捷学习 以及开发者优点的安全工具。