API-beveiligingsrisico's en aanbevelingen

1 september 2020 | Blog

Experts waarschuwen beveiligingsprofessionals voor de volgende grote bedreiging voor de cyberwereld: aanvallen op Application Programming Interfaces (API's) . API's zorgen ervoor dat systemen beter presteren door de services van andere websites in je eigen systeem te integreren. Populaire API's zijn onder andere Google Maps, YouTube en Twitter; hiermee kan een websitebouwer kaarten, YouTube-video's of tweets in zijn eigen webpagina's insluiten. Naarmate deze tools populairder zijn geworden, hebben hackers manieren gevonden om ze te misbruiken voor fraude en datadiefstal.

Top tien OWASP API-risico's

Nu hackers zich richten op API-hacking, vormen ze een risico voor bedrijven die API's op hun websites gebruiken. Onze betrouwbare vrienden bij OWASP hebben de belangrijkste beveiligingsrisico's van API's vastgelegd:

Autorisatie op gebroken objectniveau. Het enige doel van een API is om op afstand toegang tot gegevens te bieden. In sommige API's moeten machtigingen worden ingesteld om te voorkomen dat één gebruiker toegang heeft tot de gegevens van een andere gebruiker. Dit gebeurt via autorisatie op objectniveau. Zorg ervoor dat uw API's de toegang beperken tot de juiste gebruikers om dit risico te beperken. Een eenvoudige e-commerce-API kan bijvoorbeeld de verkoopcijfers van uw winkel weergeven. Een correct uitgevoerde autorisatie op objectniveau voorkomt dat andere winkeleigenaren uw verkoopcijfers opvragen.
Defecte gebruikersauthenticatie. Authenticatiemechanismen worden vaak onjuist geïmplementeerd, waardoor aanvallers authenticatietokens kunnen compromitteren of implementatiefouten kunnen misbruiken om tijdelijk of permanent de identiteit van andere gebruikers aan te nemen. Het compromitteren van het vermogen van een systeem om de client/gebruiker te identificeren, brengt de algehele API-beveiliging in gevaar.
Overmatige blootstelling aan gegevens. Ontwikkelaars stellen API-datasets vaak onbedoeld bloot. Gebruik het principe van minimale privileges om de kans op openbaarmaking van vertrouwelijke gegevens te verkleinen. In ons e-commercevoorbeeld geeft u winkel A alleen toegang tot de gegevens van winkel A en winkel B alleen tot de gegevens van winkel B.
Geen querybeperkingen en snelheidslimieten. API's leggen geen beperkingen op aan de grootte of het aantal bronnen dat door de client/gebruiker kan worden aangevraagd. Dit kan niet alleen de prestaties van de API-server beïnvloeden, wat kan leiden tot Denial of Service (DoS), maar maakt ook authenticatieaanvallen mogelijk zoals een brute aanval op geloofsbrieven.
Autorisatie op kapot functieniveau. Complexe toegangscontroleregels met verschillende groepen en rollen, en een gebrekkige correcte scheiding van administratieve en reguliere functies. Deze API-fouten zijn autorisatiefouten. Door misbruik te maken van deze problemen krijgen aanvallers toegang tot de bronnen en/of administratieve functies van andere gebruikers.
Massatoewijzing. API's zijn zo ontworpen dat ze de onderliggende functies voor gegevenstoegang blootstellen aan gebruikers. API's moeten alle gegevensaanvragen beperken tot een specifieke set functieaanroepen. Dit vermindert het risico op ongepaste objectwijziging of -toegang door simpelweg objecteigenschappen te raden, andere API-eindpunten te verkennen, de documentatie te lezen of aanvullende objecteigenschappen op te geven in aanvraagpayloads.
Beveiligingsfout. Een verkeerde configuratie van de beveiliging is vaak het gevolg van onveilige standaardconfiguraties, onvolledige of ad-hocconfiguraties, open cloudopslag, verkeerd geconfigureerde HTTP-headers, onnodige HTTP-methoden, permissieve Cross-Origin Resource Sharing (CORS) en uitgebreide foutmeldingen met gevoelige informatie. Een web-loginfout mag bijvoorbeeld niet onthullen of de gebruikersnaam op de website aanwezig is.
Injectie. Injectiefouten, zoals SQL, NoSQL, command injection, enz., treden op wanneer onbetrouwbare gegevens naar een interpreter worden verzonden als onderdeel van een opdracht of query. De schadelijke gegevens van de aanvaller kunnen de interpreter ertoe verleiden onbedoelde opdrachten uit te voeren of toegang te krijgen tot gegevens zonder de juiste autorisatie.
Onjuist vermogensbeheer. API's stellen doorgaans meer eindpunten bloot dan traditionele webapplicaties, waardoor goede en bijgewerkte documentatie van groot belang is. Een goede documentatie van alle API-implementaties en -versies leidt tot geldige inventarissen. Wanneer bugs of kwetsbaarheden in uw API worden gevonden en verholpen, zorgt uw inventaris ervoor dat alles up-to-date blijft.
Onvoldoende logging en monitoring. Onvoldoende logging en monitoring, in combinatie met ontbrekende of ineffectieve integratie met incidentrespons, leiden tot veel problemen. Dit stelt aanvallers in staat systemen te misbruiken, persistentie in te stellen en te behouden, zich te richten op aanvallen op meer systemen en data te extraheren of te vernietigen. De meeste onderzoeken naar inbreuken tonen aan dat het meer dan 200 dagen duurt voordat een inbreuk wordt gedetecteerd, meestal door externe partijen in plaats van door interne processen of monitoring.

Beveiligingsvereisten

Naarmate API's steeds populairder worden, neemt ook het aantal hackeraanvallen op deze API's toe. Experts adviseren ontwerpers en ontwikkelaars de volgende beveiligingsvereisten te hanteren bij het werken met applicaties die API's gebruiken:

Zichtbaarheid

Kennis is macht is van toepassing als het gaat om API-zichtbaarheid. Applicatieontwikkelaars en -gebruikers moeten weten welke API's worden gepubliceerd, hoe en wanneer ze worden bijgewerkt, wie er toegang toe heeft en hoe ze worden gebruikt. Inzicht in de reikwijdte van het API-gebruik is de eerste stap naar het beveiligen ervan.

Toegangscontrole

API-toegang wordt vaak losjes gecontroleerd, wat leidt tot ongewenste blootstelling. Ervoor zorgen dat de juiste groep gebruikers de juiste toegangsrechten heeft voor elke API, is een cruciale beveiligingsvereiste die moet worden afgestemd op Identity and Access Management (IAM)-systemen.

Bot-mitigatie

In sommige omgevingen wordt maar liefst 90% van het applicatieverkeer (accountaanmelding/-registratie, afrekenen in de winkelwagen) gegenereerd door geautomatiseerde bots. Het begrijpen en beheren van verkeersprofielen, inclusief het onderscheiden van goede van slechte bots, is noodzakelijk om geautomatiseerde aanvallen te voorkomen zonder legitiem verkeer te blokkeren. Effectieve aanvullende maatregelen zijn onder andere het implementeren van whitelists, blacklists, rate-limiting-beleid, CAPTCHA en geofencing specifiek voor use cases en bijbehorende API-eindpunten.

Preventie van kwetsbaarheidsexploits

API's vereenvoudigen aanvalsprocessen door het webformulier of de mobiele app te elimineren, waardoor kwaadwillenden gemakkelijker misbruik kunnen maken van een gerichte kwetsbaarheid. Het beschermen van API-eindpunten tegen misbruik van bedrijfslogica en andere kwetsbaarheidsexploits is een belangrijke vereiste voor API-beveiliging.

Data verlies voorkomen

Het voorkomen van gegevensverlies via blootgestelde API's voor gebruikers met de juiste rechten of anderszins, hetzij door programmeerfouten of beveiligingslekken, is eveneens een cruciale beveiligingsvereiste. Veel API-aanvallen zijn specifiek ontworpen om toegang te krijgen tot kritieke gegevens die beschikbaar zijn via back-endservers en -systemen.

En verder

Het is belangrijk om op de hoogte te blijven van de tools en software die u vaak gebruikt en ervoor te zorgen dat u zich bewust bent van alle nieuwe kwetsbaarheden in uw systemen. Door u te abonneren op een nieuwsbrief over cybersecurity kunt u op de hoogte blijven van deze opkomende beveiligingsrisico's. Bekijk de nieuwsbrieven van CyberHoot en meld u aan voor gratis maandelijkse updates. Bewust zijn van de beveiligingsrisico's waarmee u te maken krijgt, is de eerste stap naar het beveiligen van uw systemen.

CyberHoot is een geweldig bedrijf om mee samen te werken, omdat we honderden trainingsprogramma's aanbieden, waaronder de basisprincipes van cybersecurity. CyberHoot kan gebruikers trainen in alles van de basisprincipes van cybersecurity tot OWASP-toepassingsrisico's en geavanceerde Microsoft Excel-trainingen. Neem contact met ons op door contact met ons op te nemen. verkoop@cyberhoot.com, of plan een vergadering in op https://Calendly.com/CyberHoot.