Api security Checklist

 Don’t rely on rate limiting and traffic management to stop attacks: 
organizations that attempt to operationalize rate limits inevitably hit a wall, 
particularly for customer APIs that are Internet-facing. Proxying all traffic 
and examining each transaction in isolation, it’s impossible for the 
network-based controls that implement rate limits to understand behaviors 
and intent of the API consumer and provide context. Attackers regularly 
throttle their attack requests to evade rate limits, and rate limiting is a 
relatively low bar to API security. Like “the club” that was one marketed 
heavily as a theft deterrent device, they might slow down a less-skilled 
attacker, but such approaches only delay the inevitable. If you are 
depending on rate limiting, make sure that you are pairing it with traffic 
analysis and anomaly detection so that rate limits can be set much more 
dynamically and adjusted per requester. 
Salt I API Security Best Practices I 24 

---

 4. 
 Plan for denial of service DoS attacks against exposed APIs: 
attackers 
will use DoS and distributed DoS DDoS attack techniques to reduce 
availability in your APIs. Traditionally, protections are sought for volumetric, 
protocol, or application-layer attacks. DDoS mitigation services and cloud 
scrubbing services might address volumetric and protocol forms of DoS but 
can leave application-layer exposed. For vendors that claim to cover 
application-layer, ensure that they are able to parse API context. API 
parameters are highly unique per organization, based on the business logic 
they create and how they integrate other services. Parameters within API 
requests vary greatly from one organization’s architecture to the next, 
making application-layer DoS for APIs very nuanced.
5.