API-sikkerhetsrisikoer og anbefalinger

1. september 2020 | Blogg

Eksperter advarer sikkerhetsfagfolk om den neste store trusselen som rammer cyberverdenen: API- angrep (Application Programming Interface). API- er fungerer for å forbedre systemer ved å integrere andre nettsteders tjenester i dine egne. Populære API-er inkluderer Google Maps, YouTube og Twitter, som lar en nettstedskaper legge inn kart, YouTube-klipp eller tweets på sine egne nettsider. Etter hvert som disse verktøyene har vokst, har hackere funnet måter å utnytte dem på til å begå svindel og stjele data.

De ti viktigste OWASP API-risikoene

Etter hvert som hackere retter oppmerksomheten mot API-hacking, representerer de en risiko for bedrifter som bruker dem på nettstedene sine. Våre pålitelige venner hos OWASP har kodifisert de største sikkerhetsrisikoene involvert med API-er:

Autorisasjon på nivå med ødelagt objekt. En API-ers eneste formål er å gi ekstern tilgang til data. I noen API-er må tillatelser angis for å forhindre at én bruker får tilgang til en annen brukers data. Dette gjøres gjennom objektnivåautorisasjon. Sørg for at API-ene dine begrenser tilgangen til de riktige brukerne for å redusere denne risikoen. For eksempel kan et enkelt e-handels-API liste opp butikksalg for butikken din. Riktig objektnivåautorisasjon forhindrer at andre butikkeiere spør om butikksalget ditt.
Brudd brukerautentisering. Autentiseringsmekanismer er ofte implementert feil, slik at angripere kan kompromittere autentiseringstokener eller utnytte implementeringsfeil til å anta andre brukers identiteter midlertidig eller permanent. Å kompromittere et systems evne til å identifisere klienten/brukeren kompromitterer API-sikkerheten totalt sett.
Overdreven dataeksponering. Utviklere eksponerer ofte utilsiktet API-datasett. Bruk prinsippet om minste privilegium for å redusere sjansen for eksponering av konfidensielle data. I vårt e-handelseksempel gir du butikk A kun tilgang til butikk A sine data og butikk B kun tilgang til butikk B sine data.
Mangel på spørrebegrensninger og hastighetsbegrensning. API-er pålegger ingen begrensninger på størrelsen eller antallet ressurser som kan forespørres av klienten/brukeren. Dette kan ikke bare påvirke API-serverens ytelse, noe som fører til Denial of Service (DoS), men muliggjør også autentiseringsangrep som en brutalt styrkeangrep på legitimasjon.
Brudd på autorisasjon på funksjonsnivå. Komplekse tilgangskontrollpolicyer med ulike grupper og roller, og manglende korrekt separasjon av administrative og vanlige funksjoner. Disse API-feilene er autorisasjonsfeil. Ved å utnytte disse problemene får angripere tilgang til andre brukeres ressurser og/eller administrative funksjoner.
Masseoppgave. API-er er utformet slik at de underliggende datatilgangsfunksjonene eksponeres for brukere. API-er må begrense alle dataforespørsler til et bestemt sett med funksjonskall. Dette reduserer risikoen for upassende objektmodifisering eller -tilgang ved ganske enkelt å gjette objektegenskaper, utforske andre API-endepunkter, lese dokumentasjonen eller oppgi ytterligere objektegenskaper i forespørselsnyttelaster.
Feilkonfigurasjon av sikkerhet. Feilkonfigurasjon av sikkerhet er ofte et resultat av usikker standard, ufullstendige eller ad hoc-konfigurasjoner, åpen skylagring, feilkonfigurerte HTTP-overskrifter, unødvendige HTTP-metoder, permissiv Cross-Origin Resource Sharing (CORS) og detaljerte feilmeldinger som inneholder sensitiv informasjon. For eksempel må en feil ved nettpålogging ikke avsløre om brukernavnet finnes på nettstedet.
Injeksjon. Injeksjonsfeil, som SQL, NoSQL, kommandoinjeksjon, osv., oppstår når uklarerte data sendes til en tolk som en del av en kommando eller spørring. Angriperens ondsinnede data kan lure tolken til å utføre utilsiktede kommandoer eller få tilgang til data uten riktig autorisasjon.
Feilaktig kapitalforvaltning. API-er har en tendens til å eksponere flere endepunkter enn tradisjonelle webapplikasjoner, noe som gjør riktig og oppdatert dokumentasjon svært viktig. God dokumentasjon av alle API-distribusjoner og -versjoner fører til gyldige inventarlister. Når feil eller sårbarheter oppdages og fikses i API-et ditt, bidrar inventarlisten din til å sikre at alt holdes oppdatert.
Utilstrekkelig logging og overvåking. Utilstrekkelig logging og overvåking, kombinert med manglende eller ineffektiv integrasjon med hendelsesrespons, fører til mange problemer. Dette gjør at angripere kan utnytte systemer, sette opp og opprettholde persistens, snu for å angripe flere systemer og trekke ut eller ødelegge data. De fleste bruddstudier viser at tiden det tar å oppdage et brudd er over 200 dager, vanligvis oppdaget av eksterne parter snarere enn interne prosesser eller overvåking.

Sikkerhetskrav

Med en økning i API-adopsjon følger en økning i hackerangrep rettet mot disse API-ene. Eksperter anbefaler at designere og utviklere bruker følgende sikkerhetskrav når de håndterer applikasjoner som involverer API-er:

Synlighet

Kunnskap er makt, og det er passende når det gjelder API-synlighet. Applikasjonsutviklere og brukere må vite hvilke API-er som publiseres, hvordan og når de oppdateres, hvem som har tilgang til dem og hvordan de nås. Å forstå omfanget av ens API-bruk er det første skrittet mot å sikre dem.

Adgangskontroll

API-tilgang er ofte løst kontrollert, noe som fører til uønsket eksponering. Å sikre at riktig sett med brukere har riktige tilgangstillatelser for hvert API er et kritisk sikkerhetskrav som må koordineres med identitets- og tilgangsstyringssystemer (IAM).

Bot avbøtende

I noen miljøer genereres så mye som 90 % av den respektive applikasjonstrafikken (kontoinnlogging/registrering, betaling i handlekurv) av automatiserte roboter. Å forstå og administrere trafikkprofiler, inkludert å skille gode roboter fra dårlige, er nødvendig for å forhindre automatiserte angrep uten å blokkere legitim trafikk. Effektive komplementære tiltak inkluderer implementering av hvitelister, svartelister, hastighetsbegrensende policyer, CAPTCHA, samt geofencing spesifikt for brukstilfeller og tilhørende API-endepunkter.

Forebygging av sårbarhetsutnyttelse

API-er forenkler angrepsprosesser ved å eliminere nettskjemaet eller mobilappen, slik at en ondsinnet aktør enklere kan utnytte en målrettet sårbarhet. Å beskytte API-endepunkter mot misbruk av forretningslogikk og andre sårbarhetsutnyttelser er et viktig krav til API-sikkerhetsredusering.

Forebygging av tap av data

Å forhindre tap av data over utsatte API-er for passende privilegerte brukere eller på annen måte, enten på grunn av programmeringsfeil eller sikkerhetskontrollhull, er også et kritisk sikkerhetskrav. Mange API-angrep er designet spesielt for å få tilgang til kritiske data som er tilgjengelig fra back-end-servere og -systemer.

Moving Forward

Det er viktig å holde seg oppdatert på verktøyene og programvaren du bruker ofte, og sørge for at du er klar over alle nye sårbarheter involvert i systemene. Å abonnere på et nyhetsbrev om cybersikkerhet kan hjelpe deg med å holde deg oppdatert på disse nye sikkerhetstruslene. Sjekk ut CyberHoots nyhetsbrev og registrer deg for gratis månedlige oppdateringer. Å være klar over sikkerhetstruslene du står overfor er det første trinnet i å sikre systemene dine.

CyberHoot er et flott selskap å samarbeide med, ettersom vi har hundrevis av opplæringsprogrammer, inkludert grunnleggende nettsikkerhet. CyberHoot kan lære opp brukere i alt fra grunnleggende nettsikkerhet til OWASP-applikasjonsrisikoer og avansert Microsoft Excel-opplæring. Ta kontakt med oss ved å kontakte sales@cyberhoot.com, eller avtal et møte på https://Calendly.com/CyberHoot.