查核重點要看的 API 治理
用實際流量說話
Financial Services
Open Banking 與內部服務 API 化讓暴露面擴大，但封閉內網又不能把流量送上雲。UTDS 在本地完成盤點、PII 辨識、未知威脅偵測與自動化報表。
114 年金融檢查
對應 API 安全管理查核重點
金管會檢查局已將 API 安全管理列為銀／證／保強化查核方向。UTDS 提供盤點證據與風險分級材料，協助單位準備應答，不承諾、不保證檢查結果。
-
盤點
內部 API 不當外放
盤點實際暴露於 Internet 的端點，作為「對外不當開放」統計依據。
-
個資
API Response 含 PII
識別中文姓名、地址、身分證、信用卡等敏感欄位，不必先寫 REGEX。
-
認證
認證授權完整性
JWT 過期、Basic 含帳密、Session、多種 Token 機制一次盤查。
-
治理
Shadow／Cold API
Swagger 與實際流量交叉比對，列出未列管與長期閒置服務。
文件有、流量沒有是 Cold 流量有、文件沒有是 Shadow
Real Screens
Shadow／Cold API
實機畫面
實機畫面
Six Scenarios
金融業六個落地場景
-
以流量為準，清出真正對 Internet 開放的 Host／Path／Method。
-
文件有、流量沒有是 Cold；流量有、文件沒有是 Shadow。
-
Request／Response 雙向標記，輸出可下鑽的原始佐證。
-
過期 JWT、弱 Token、未認證端點分級處理。
-
補 WAF 盲區：OWASP API Top 10、注入、WebShell、應擋未擋。
-
日／週／月自動化報表，OWASP 對應與 CVSS 分級可匯出。
Why local
為什麼金融內網選 UTDS
- 預訓練完成，上線即用，不必在客戶環境跑學習期
- 不把交易流量送出封閉網路
- 授權按頻寬、不按 API 支數，避免業務擴張被授權綁住
- 旁接分析，不串進交易路徑
FAQ
金融業常見問題
滿足哪些金檢要求？
UTDS 對應金檢關注的 API 盤點、PII、認證與威脅監測，並產出報表作為應答材料。
會不會影響核心交易效能？
採旁接架構，分析的是複製後流量，不在交易路徑上做 inline 攔截。
沒有完整 Swagger 能不能盤點？
可以。系統先依實際流量建立資產，有 Swagger／YAML 再做註冊比對，落差會標成 Shadow 或 Cold。
