用途：Microsoft Defender for APIs 是 Microsoft Defender for Cloud 中的一项计划，为 Azure API Management（APIM）中发布的 API 提供安全态势可见性，按风险排序并检测活动威胁与滥用。它属于检测与态势评估，不是 WAF 或 API 网关。适用于已通过 APIM 发布的 API，需要基于风险的优先级排序与运行时威胁检测；不适用于从零设计 API 安全、未经 APIM 前置的 Application Gateway/Front Door API，或 WAF 调优与限流设计。
主要能力：默认纳管 APIM 中全部 API；通过风险信号（如外部暴露且未认证、外部暴露且处理敏感数据、内部且敏感数据、90 天以上未使用等）对 API 清单排序；检测运行时威胁与滥用；告警流入 Defender for Cloud、Defender XDR，并通过连接器进入 Sentinel。
使用方式：在包含 APIM 实例的订阅范围启用该计划（按每百万次 API 调用计费，前 30 天可免费评估）。在 Defender for Cloud → 工作负载保护 → Defender for APIs → Onboard 中选择 APIM 实例，无需重新部署 API，清单约 1 小时内填充。按风险表筛选外部且未认证、外部且敏感数据为 P0。修复在 APIM 层完成，例如对未认证添加 <validate-jwt> 或订阅密钥策略、对敏感数据检查 set-body/response-mask 策略、对过度枚举添加 <rate-limit-by-key> 策略、对不活跃 API 弃用或撤销产品可见性。将检测接入 SOC 并每月迭代分诊。
限制：仅覆盖 APIM 前置的 API；检测并非防护，修复依赖 APIM 策略；费用随调用量增长，高流量 API 成本可能显著；敏感数据检测为抽样，不能当作完整 DLP；启用不改变 API 代码或性能。
文档链接：https://learn.microsoft.com/azure/defender-for-cloud/defender-for-apis-introduction