API-sikkerhedsrisici og anbefalinger

Eksperter advarer sikkerhedsfolk om den næste store trussel, der rammer cyberverdenen: API- angreb (Application Programming Interface). API'er fungerer for at forbedre systemer ved at integrere andre websteders tjenester i dine egne. Populære API'er omfatter Google Maps, YouTube og Twitter; hvilket giver en webstedsudvikler mulighed for at integrere Maps, YouTube-klip eller Tweets på deres egne websider. Efterhånden som disse værktøjer er vokset, har hackere fundet måder at udnytte dem til at begå svindel og stjæle data.

De ti største OWASP API-risici

Efterhånden som hackere vender deres opmærksomhed mod API-hacking, udgør de en risiko for virksomheder, der bruger dem på deres websteder. Vores pålidelige venner hos OWASP har kodificeret de største sikkerhedsrisici forbundet med API'er:

1. Autorisation på niveau med ødelagt objekt. En API's eneste formål er at give fjernadgang til data. I nogle API'er skal tilladelser indstilles for at forhindre en bruger i at få adgang til en anden brugers data. Dette gøres via objektniveaugodkendelse. Sørg for, at dine API'er begrænser adgangen til de relevante brugere for at reducere denne risiko. For eksempel kan en simpel e-handels-API vise butikssalg for din butik. Korrekt udført objektniveaugodkendelse forhindrer andre butiksejere i at forespørge på dit butikssalg. 
2. Ødelagt brugergodkendelse. Godkendelsesmekanismer implementeres ofte forkert, hvilket giver angribere mulighed for at kompromittere godkendelsestokens eller udnytte implementeringsfejl til midlertidigt eller permanent at antage andre brugeres identiteter. At kompromittere et systems evne til at identificere klienten/brugeren kompromitterer den samlede API-sikkerhed.
3. Overdreven dataeksponering. Udviklere eksponerer ofte utilsigtet API-datasæt. Anvend princippet om mindst mulig privilegium for at reducere risikoen for eksponering af fortrolige data. I vores e-handelseksempel skal du kun give butik A adgang til butik A's data og butik B adgang til kun butik B's data. 
4. Manglende forespørgselsbegrænsninger og hastighedsbegrænsning. API'er pålægger ingen begrænsninger på størrelsen eller antallet af ressourcer, som klienten/brugeren kan anmode om. Dette kan ikke blot påvirke API-serverens ydeevne, hvilket fører til Denial of Service (DoS), men muliggør også autentificeringsangreb såsom en brute force attack på legitimationsoplysninger. 
5. Defekt funktionsniveauautorisation. Komplekse adgangskontrolpolitikker med forskellige grupper og roller, og manglende korrekt adskillelse af administrative og almindelige funktioner. Disse API-fejl er autorisationsfejl. Ved at udnytte disse problemer får angribere adgang til andre brugeres ressourcer og/eller administrative funktioner.
6. Masseopgave. API'er er designet til at eksponere de underliggende dataadgangsfunktioner for brugerne. API'er skal begrænse alle dataanmodninger til et specifikt sæt funktionskald. Dette reducerer risikoen for upassende objektændring eller -adgang ved blot at gætte objektegenskaber, udforske andre API-slutpunkter, læse dokumentationen eller angive yderligere objektegenskaber i anmodningsnyttelaster.
7. Fejlkonfiguration af sikkerhed. Fejlkonfiguration af sikkerhed skyldes ofte usikker standardkonfiguration, ufuldstændige eller ad hoc-konfigurationer, åben cloud-lagring, forkert konfigurerede HTTP-headere, unødvendige HTTP-metoder, tilladt Cross-Origin Resource Sharing (CORS) og detaljerede fejlmeddelelser, der indeholder følsomme oplysninger. For eksempel må en webloginfejl ikke afsløre, om brugernavnet findes på webstedet.
8. Indsprøjtning. Injektionsfejl, såsom SQL, NoSQL, kommandoinjektion osv., opstår, når upålidelige data sendes til en fortolker som en del af en kommando eller forespørgsel. Angriberens skadelige data kan narre fortolkeren til at udføre utilsigtede kommandoer eller tilgå data uden korrekt autorisation.
9. Forkert aktivforvaltning. API'er har en tendens til at eksponere flere endpoints end traditionelle webapplikationer, hvilket gør korrekt og opdateret dokumentation yderst vigtig. Stærk dokumentation af alle API-implementeringer og -versioner fører til gyldige inventarer. Når der findes fejl eller sårbarheder i din API og rettes, hjælper din inventar med at sikre, at alt holdes opdateret. 
10. Utilstrækkelig logføring og overvågning. Utilstrækkelig logning og overvågning kombineret med manglende eller ineffektiv integration med hændelsesrespons fører til mange problemer. Dette giver angribere mulighed for at udnytte systemer, opsætte og vedligeholde persistens, omstille sig for at angribe flere systemer og udtrække eller ødelægge data. De fleste brudstudier viser, at tiden til at opdage et brud er over 200 dage, typisk opdaget af eksterne parter snarere end interne processer eller overvågning.

Sikkerhedskrav

Med en stigning i API-adoption følger en stigning i hackerangreb rettet mod disse API'er. Eksperter anbefaler, at designere og udviklere anvender følgende sikkerhedskrav, når de håndterer applikationer, der involverer API'er: 

Synlighed

Viden er magt, når det kommer til API-synlighed. Applikationsudviklere og brugere skal vide, hvilke API'er der udgives, hvordan og hvornår de opdateres, hvem der tilgår dem, og hvordan de tilgås. At forstå omfanget af ens API-brug er det første skridt mod at sikre dem.

Adgangskontrol

API-adgang er ofte løst kontrolleret, hvilket fører til uønsket eksponering. At sikre, at det korrekte sæt brugere har de nødvendige adgangstilladelser til hver API, er et kritisk sikkerhedskrav, der skal koordineres med identitets- og adgangsstyringssystemer (IAM).

Bot-afbødning

I nogle miljøer genereres så meget som 90 % af den respektive applikationstrafik (kontologin/registrering, betaling ved indkøbskurv) af automatiserede bots. Forståelse og styring af trafikprofiler, herunder at skelne gode bots fra dårlige, er nødvendigt for at forhindre automatiserede angreb uden at blokere legitim trafik. Effektive supplerende foranstaltninger omfatter implementering af hvidliste-, sortliste- og hastighedsbegrænsende politikker, CAPTCHA samt geofencing specifikt for use-cases og tilsvarende API-slutpunkter.

Forebyggelse af sårbarhedsudnyttelse

API'er forenkler angrebsprocesser ved at eliminere webformularen eller mobilappen, hvilket gør det lettere for en ondsindet aktør at udnytte en målrettet sårbarhed. Beskyttelse af API-slutpunkter mod misbrug af forretningslogik og andre sårbarhedsudnyttelser er et centralt krav til API-sikkerhedsreduktion.

Forebyggelse af datatab

Det er også et kritisk sikkerhedskrav at forhindre datatab over eksponerede API'er for brugere med tilstrækkelige rettigheder eller på anden måde, enten på grund af programmeringsfejl eller huller i sikkerhedskontrollen. Mange API-angreb er specifikt designet til at få adgang til kritiske data, der stilles til rådighed fra backend-servere og -systemer.

Moving Forward

Det er vigtigt at holde sig opdateret med de værktøjer og den software, du bruger ofte, og sørge for at være opmærksom på alle nye sårbarheder i systemerne. At abonnere på et nyhedsbrev om cybersikkerhed kan hjælpe dig med at holde dig opdateret på disse nye sikkerhedstrusler. Tjek CyberHoots nyhedsbreve , og tilmeld dig gratis månedlige opdateringer. At være opmærksom på de sikkerhedstrusler, du står over for, er det første skridt i at sikre dine systemer.

CyberHoot er en fantastisk virksomhed at samarbejde med, da vi har hundredvis af træningsprogrammer, herunder grundlæggende cybersikkerhed. CyberHoot kan træne brugere i alt fra grundlæggende cybersikkerhed til OWASP-applikationsrisici og avanceret Microsoft Excel-træning. Kontakt os ved at kontakte sales@cyberhoot.comeller aftal et møde kl. https://Calendly.com/CyberHoot.

For at lære mere om API-sikkerhed, se denne korte 2-minutters video:

kilder: 

ThreatPost

HelpNetSecurity

Yderligere læsning: 

OWASPs ti største sikkerhedsrisici

Apple opfordrer udviklere til at bruge iOS 14's nye App Attest API til at beskytte mod sikkerhedstrusler