Risiko dan Syor Keselamatan API

1 September 2020 | Blog

Pakar-pakar memberi amaran kepada profesional keselamatan tentang ancaman besar seterusnya yang melanda dunia siber: serangan Antara Muka Pengaturcaraan Aplikasi (API) . API berfungsi untuk menjadikan sistem berfungsi lebih baik dengan mengintegrasikan perkhidmatan laman web lain ke dalam perkhidmatan laman web anda sendiri. API popular termasuk Peta Google, YouTube dan Twitter; membolehkan pencipta laman web membenamkan Peta, klip YouTube atau Tweet ke halaman web mereka sendiri. Seiring dengan perkembangan alat ini, penggodam telah menemui cara untuk mengeksploitasi mereka bagi melakukan penipuan dan mencuri data.

Sepuluh Teratas Risiko API OWASP

Apabila penggodam mengalihkan perhatian mereka kepada penggodaman API, mereka mewakili risiko kepada perniagaan yang menggunakannya dalam tapak web mereka. Rakan kami yang boleh dipercayai di OWASP telah mengkodifikasikan risiko keselamatan teratas yang terlibat dengan API:

Keizinan Tahap Objek Patah. Tujuan API adalah untuk membekalkan akses jauh kepada data. Diakses dalam sesetengah API kebenaran mesti ditetapkan untuk menghalang seorang pengguna daripada mengakses data pengguna lain. Ini dilakukan melalui Keizinan Tahap Objek. Pastikan API anda mengehadkan akses kepada pengguna yang sesuai untuk mengurangkan risiko ini. Sebagai contoh, API e-dagang mudah boleh menyenaraikan jualan kedai untuk kedai anda. Keizinan Tahap Objek dilakukan dengan betul menghalang pemilik kedai lain daripada menyoal jualan kedai anda.
Pengesahan Pengguna Rusak. Mekanisme pengesahan sering dilaksanakan secara tidak betul, membenarkan penyerang menjejaskan token pengesahan atau mengeksploitasi kelemahan pelaksanaan untuk menganggap identiti pengguna lain buat sementara atau kekal. Mengkompromi keupayaan sistem untuk mengenal pasti klien/pengguna menjejaskan keselamatan API secara keseluruhan.
Pendedahan Data Berlebihan. Pembangun selalunya mendedahkan set data API secara tidak sengaja. Gunakan prinsip keistimewaan paling rendah untuk mengurangkan peluang pendedahan data sulit. Dalam contoh e-dagang kami, benarkan akses kedai A sahaja untuk menyimpan data A dan simpan akses B untuk menyimpan data B sahaja.
Kekurangan Sekatan Pertanyaan & Had Kadar. API tidak mengenakan sebarang sekatan pada saiz atau bilangan sumber yang boleh diminta oleh pelanggan/pengguna. Ini bukan sahaja boleh memberi kesan kepada prestasi pelayan API, yang membawa kepada Penafian Perkhidmatan (DoS), tetapi juga membolehkan serangan pengesahan seperti a serangan kekerasan pada kelayakan.
Keizinan Tahap Fungsi Patah. Dasar kawalan akses yang kompleks dengan kumpulan dan peranan yang berbeza, dan kegagalan untuk memisahkan fungsi pentadbiran dan tetap dengan betul. Kesilapan API ini adalah kecacatan kebenaran. Dengan mengeksploitasi isu ini, penyerang mendapat akses kepada sumber dan/atau fungsi pentadbiran pengguna lain.
Tugasan Massa. API mengikut reka bentuk mendedahkan fungsi akses data asas kepada pengguna. API mesti mengehadkan semua permintaan data kepada set panggilan fungsi tertentu. Ini mengurangkan risiko pengubahsuaian objek atau akses yang tidak sesuai hanya dengan meneka sifat objek, meneroka titik akhir API lain, membaca dokumentasi atau menyediakan sifat objek tambahan dalam muatan permintaan.
Salah konfigurasi Keselamatan. Salah konfigurasi keselamatan biasanya disebabkan oleh konfigurasi lalai, tidak lengkap atau ad-hoc yang tidak selamat, storan awan terbuka, pengepala HTTP yang salah konfigurasi, kaedah HTTP yang tidak perlu, Perkongsian Sumber Silang Asal (CORS) yang permisif dan mesej ralat yang mengandungi maklumat sensitif. Sebagai contoh, kegagalan log masuk web tidak boleh mendedahkan sama ada nama pengguna terdapat dalam tapak web.
Suntikan. Kelemahan suntikan, seperti SQL, NoSQL, suntikan arahan, dll., berlaku apabila data yang tidak dipercayai dihantar kepada jurubahasa sebagai sebahagian daripada arahan atau pertanyaan. Data hasad penyerang boleh menipu jurubahasa untuk melaksanakan arahan yang tidak diingini atau mengakses data tanpa kebenaran yang sewajarnya.
Pengurusan Aset yang Tidak Betul. API cenderung untuk mendedahkan lebih banyak titik akhir daripada aplikasi web tradisional, menjadikan dokumentasi yang betul dan dikemas kini sangat penting. Dokumentasi kukuh bagi semua penggunaan dan versi API membawa kepada inventori yang sah. Apabila pepijat atau kelemahan ditemui dalam API anda dan diperbaiki, inventori anda membantu memastikan semuanya sentiasa dikemas kini.
Pembalakan & Pemantauan Tidak Mencukupi. Pembalakan dan pemantauan yang tidak mencukupi, ditambah dengan penyepaduan yang hilang atau tidak berkesan dengan tindak balas insiden membawa kepada banyak masalah. Ini membolehkan penyerang mengeksploitasi sistem, menyediakan dan mengekalkan kegigihan, berputar untuk menyerang lebih banyak sistem dan mengekstrak atau memusnahkan data. Kebanyakan kajian pelanggaran menunjukkan masa untuk mengesan pelanggaran adalah melebihi 200 hari, biasanya dikesan oleh pihak luar dan bukannya proses atau pemantauan dalaman.

Keperluan Keselamatan

Dengan peningkatan dalam penggunaan API, terdapat peningkatan dalam serangan penggodam yang menyasarkan API tersebut. Pakar mengesyorkan bahawa pereka bentuk dan pembangun menggunakan keperluan keselamatan berikut apabila berurusan dengan aplikasi yang melibatkan API:

Keterlihatan

Pengetahuan adalah kuasa adalah sesuai apabila ia berkaitan dengan keterlihatan API. Pembangun aplikasi dan pengguna perlu mengetahui API yang sedang diterbitkan, cara dan bila ia dikemas kini, siapa yang mengaksesnya dan bagaimana ia diakses. Memahami skop penggunaan API seseorang ialah langkah pertama ke arah melindunginya.

Kawalan capaian

Akses API selalunya dikawal secara longgar, membawa kepada pendedahan yang tidak diingini. Memastikan set pengguna yang betul mempunyai kebenaran akses yang sesuai untuk setiap API adalah keperluan keselamatan kritikal yang mesti diselaraskan dengan sistem Pengurusan Identiti dan Akses (IAM).

Pengurangan bot

Dalam sesetengah persekitaran, sebanyak 90% daripada trafik aplikasi masing-masing (log masuk/pendaftaran akaun, pembayaran troli beli-belah) dijana oleh bot automatik. Memahami dan mengurus profil trafik, termasuk membezakan bot yang baik daripada bot yang buruk, adalah perlu untuk mencegah serangan automatik tanpa menyekat trafik yang sah. Langkah pelengkap yang berkesan termasuk melaksanakan senarai putih, senarai hitam, dasar mengehadkan kadar, CAPTCHA, serta geofencing khusus untuk kes penggunaan dan titik akhir API yang sepadan.

Kerentanan mengeksploitasi pencegahan

API memudahkan proses serangan dengan menghapuskan borang web atau apl mudah alih, membolehkan aktor jahat mengeksploitasi kelemahan yang disasarkan dengan lebih mudah. Melindungi titik akhir API daripada penyalahgunaan logik perniagaan dan eksploitasi kerentanan lain ialah keperluan pengurangan keselamatan API utama.

Pencegahan kehilangan data

Mencegah kehilangan data ke atas API terdedah untuk pengguna yang mempunyai keistimewaan yang sewajarnya atau sebaliknya, sama ada disebabkan oleh ralat pengaturcaraan atau jurang kawalan keselamatan, juga merupakan keperluan keselamatan yang kritikal. Banyak serangan API direka khusus untuk mendapatkan akses kepada data kritikal yang disediakan daripada pelayan dan sistem belakang.

Melangkah ke Hadapan

Adalah penting untuk sentiasa mengikuti perkembangan alatan dan perisian yang sering anda gunakan dan memastikan anda mengetahui semua kelemahan baharu yang terlibat dengan sistem tersebut. Melanggan Surat Berita keselamatan siber boleh membantu anda sentiasa mengikuti ancaman keselamatan yang baru muncul ini. Lihat Surat Berita CyberHoot dan daftar untuk kemas kini bulanan percuma. Menyedari ancaman keselamatan yang anda hadapi adalah langkah pertama dalam mengamankan sistem anda.

CyberHoot ialah syarikat yang hebat untuk bekerjasama kerana kami mempunyai ratusan program latihan termasuk asas keselamatan siber. CyberHoot boleh melatih pengguna tentang apa sahaja daripada Asas Keselamatan Siber kepada Risiko Aplikasi OWASP kepada latihan Microsoft Excel Lanjutan. Pautkan dengan kami dengan menghubungi sales@cyberhoot.com, atau sediakan mesyuarat di https://Calendly.com/CyberHoot.