Bezpečnostní rizika a doporučení pro API

1. září 2020 | Blog

Odborníci varují bezpečnostní profesionály před další velkou hrozbou, která postihuje kybernetický svět: útoky přes rozhraní pro programování aplikací (API) . API zlepšují výkon systémů integrací služeb jiných webových stránek do vašich vlastních. Mezi oblíbená API patří Mapy Google, YouTube a Twitter, což tvůrcům webových stránek umožňuje vkládat Mapy, klipy z YouTube nebo tweety na své vlastní webové stránky. S rozvojem těchto nástrojů hackeři našli způsoby, jak je zneužít k páchání podvodů a krádeži dat.

Deset největších rizik OWASP API

Vzhledem k tomu, že hackeři obracejí svou pozornost k hackování API, představují riziko pro firmy, které je používají na svých webových stránkách. Naši spolehliví přátelé z OWASP kodifikovali největší bezpečnostní rizika spojená s API:

Autorizace na úrovni poškozeného objektu. Jediným účelem API je poskytovat vzdálený přístup k datům. V některých API musí být nastavena oprávnění, která zabrání jednomu uživateli v přístupu k datům jiného uživatele. To se provádí pomocí autorizace na úrovni objektů. Ujistěte se, že vaše API omezují přístup na příslušné uživatele, abyste toto riziko snížili. Například jednoduché API pro elektronické obchodování může uvádět prodeje z vašeho obchodu. Správně provedená autorizace na úrovni objektů zabraňuje ostatním majitelům obchodů v dotazování se na prodeje z vašeho obchodu.
Porušené ověřování uživatele. Autentizační mechanismy jsou často implementovány nesprávně, což útočníkům umožňuje kompromitovat autentizační tokeny nebo zneužívat implementační chyby k dočasnému či trvalému převzetí identity jiných uživatelů. Ohrožení schopnosti systému identifikovat klienta/uživatele ohrožuje celkové zabezpečení API.
Nadměrná expozice dat. Vývojáři často neúmyslně zpřístupňují datové sady API. Použijte princip nejnižších oprávnění, abyste snížili riziko vystavení důvěrných dat. V našem příkladu elektronického obchodování povolte obchodu A přístup pouze k datům obchodu A a obchodu B přístup pouze k datům obchodu B.
Absence omezení dotazů a omezení rychlosti. API neomezují velikost ani počet zdrojů, které může klient/uživatel vyžádat. To může nejen ovlivnit výkon API serveru, což vede k… Odmítnutí služby (DoS), ale také umožňuje ověřovací útoky, jako například útok hrubou silou na základě pověřovacích listin.
Autorizace na úrovni přerušené funkce. Složité zásady řízení přístupu s různými skupinami a rolemi a neschopnost správně oddělit administrativní a běžné funkce. Tyto chyby API představují nedostatky v autorizaci. Zneužitím těchto problémů útočníci získají přístup k prostředkům a/nebo administrativním funkcím jiných uživatelů.
Hromadné přiřazení. Rozhraní API jsou navržena tak, aby uživatelům zpřístupňovala základní funkce pro přístup k datům. Rozhraní API musí omezit všechny požadavky na data na specifickou sadu volání funkcí. To snižuje riziko nevhodné úpravy objektů nebo přístupu k nim pouhým hádáním vlastností objektů, prozkoumáváním jiných koncových bodů API, čtením dokumentace nebo poskytnutím dalších vlastností objektů v datových částech požadavků.
Nesprávná konfigurace zabezpečení. Nesprávná konfigurace zabezpečení je obvykle důsledkem nezabezpečeného výchozího nastavení, neúplných nebo ad-hoc konfigurací, otevřeného cloudového úložiště, nesprávně nakonfigurovaných HTTP hlaviček, zbytečných HTTP metod, permisivního sdílení zdrojů mezi různými zdroji (CORS) a podrobných chybových zpráv obsahujících citlivé informace. Například selhání přihlášení k webu nesmí odhalit, zda se uživatelské jméno na webu nachází.
Injekce. Chyby typu injection, jako je SQL, NoSQL, injection příkazů atd., se vyskytují, když jsou interpretu jako součást příkazu nebo dotazu odeslána nedůvěryhodná data. Útočníkova škodlivá data mohou interpret oklamat a přimět ho k provedení nezamýšlených příkazů nebo k přístupu k datům bez řádného oprávnění.
Nesprávná správa aktiv. Rozhraní API obvykle zpřístupňují více koncových bodů než tradiční webové aplikace, takže je velmi důležité mít řádnou a aktualizovanou dokumentaci. Důkladná dokumentace všech nasazení a verzí rozhraní API vede k platným inventářům. Když jsou ve vašem rozhraní API nalezeny a opraveny chyby nebo zranitelnosti, váš inventář pomáhá zajistit, aby vše bylo aktuální.
Nedostatečné protokolování a monitorování. Nedostatečné protokolování a monitorování spolu s chybějící nebo neefektivní integrací s reakcí na incidenty vede k mnoha problémům. To umožňuje útočníkům zneužívat systémy, nastavovat a udržovat perzistenci, útočit na další systémy a extrahovat nebo ničit data. Většina studií o narušení bezpečnosti ukazuje, že doba potřebná k odhalení narušení je více než 200 dní, obvykle detekováno externími stranami, nikoli interními procesy nebo monitorováním.

Bezpečnostní požadavky

S rostoucím počtem uživatelů API přichází i nárůst hackerských útoků zaměřených na tato API. Odborníci doporučují, aby návrháři a vývojáři při práci s aplikacemi, které zahrnují API, dodržovali následující bezpečnostní požadavky:

Viditelnost

Pokud jde o viditelnost API, je vhodné se zaměřit na princip „znalost je síla“. Vývojáři aplikací a uživatelé potřebují vědět, která API jsou publikována, jak a kdy jsou aktualizována, kdo k nim přistupuje a jak k nim ostatní přistupují. Pochopení rozsahu používání vlastního API je prvním krokem k jeho zabezpečení.

Řízení přístupu

Přístup k API je často volně kontrolován, což vede k nežádoucímu odhalení. Zajištění, aby správná skupina uživatelů měla pro každé API odpovídající přístupová oprávnění, je kritickým bezpečnostním požadavkem, který musí být koordinován se systémy správy identit a přístupu (IAM).

Zmírňování botů

V některých prostředích je až 90 % provozu dané aplikace (přihlášení/registrace k účtu, pokladna v nákupním košíku) generováno automatizovanými boty. Pochopení a správa profilů provozu, včetně rozlišování dobrých botů od špatných, je nezbytná pro prevenci automatizovaných útoků bez blokování legitimního provozu. Mezi účinná doplňková opatření patří implementace whitelistů, blacklistů, politik omezujících rychlost, CAPTCHA a také geofencing specifický pro případy užití a odpovídající koncové body API.

Prevence zneužití zranitelností

Rozhraní API zjednodušují procesy útoku tím, že eliminují webový formulář nebo mobilní aplikaci, což umožňuje útočníkovi snadněji zneužít cílenou zranitelnost. Ochrana koncových bodů API před zneužitím obchodní logiky a dalšími zneužitími zranitelností je klíčovým požadavkem na zmírnění bezpečnostních rizik API.

Prevence ztráty dat

Zabránění ztrátě dat přes exponovaná API pro uživatele s odpovídajícími privilegii nebo z jiných důvodů, ať už v důsledku programovacích chyb nebo mezer v bezpečnostních kontrolách, je také kritickým bezpečnostním požadavkem. Mnoho útoků na API je navrženo speciálně pro získání přístupu ke kritickým datům zpřístupněným ze serverů a systémů back-endu.

Stěhování vpřed

Je důležité držet krok s nástroji a softwarem, které často používáte, a ujistit se, že jste si vědomi všech nových zranitelností spojených se systémy. Přihlášení k odběru newsletteru o kybernetické bezpečnosti vám může pomoci udržet si přehled o těchto vznikajících bezpečnostních hrozbách. Sledujte newslettery CyberHoot a zaregistrujte se k odběru bezplatných měsíčních aktualizací. Uvědomění si bezpečnostních hrozeb, kterým čelíte, je prvním krokem k zabezpečení vašich systémů.

CyberHoot je skvělá společnost, se kterou se dá spolupracovat, protože nabízíme stovky školicích programů včetně základů kybernetické bezpečnosti. CyberHoot dokáže proškolit uživatele v čemkoli od základů kybernetické bezpečnosti přes aplikační rizika OWASP až po pokročilé školení v Microsoft Excelu. Kontaktujte nás. sales@cyberhoot.comnebo si domluvte schůzku na https://Calendly.com/CyberHoot.