Риски безопасности API и рекомендации

Эксперты предупреждают специалистов по кибербезопасности о следующей серьезной угрозе в кибермире: атаках через интерфейсы прикладного программирования (API) . API помогают повысить производительность систем, интегрируя сервисы других веб-сайтов в ваши собственные. Популярные API включают Google Maps, YouTube и Twitter; они позволяют создателям веб-сайтов встраивать карты, видеоролики YouTube или твиты на свои веб-страницы. По мере развития этих инструментов хакеры находят способы использовать их для совершения мошенничества и кражи данных.

Десять основных рисков API OWASP

Хакеры всё чаще обращают внимание на взлом API, представляя собой риск для компаний, использующих их на своих веб-сайтах. Наши надёжные друзья из OWASP составили список основных рисков безопасности, связанных с API:

1. Авторизация на уровне сломанных объектов. Единственная цель API — предоставлять удалённый доступ к данным. В некоторых API необходимо настроить разрешения, чтобы предотвратить доступ одного пользователя к данным другого. Это осуществляется с помощью авторизации на уровне объектов. Убедитесь, что ваши API ограничивают доступ только соответствующим пользователям, чтобы снизить этот риск. Например, простой API электронной коммерции может выводить данные о продажах вашего магазина. Правильно реализованная авторизация на уровне объектов предотвращает запросы к данным о продажах вашего магазина другими владельцами. 
2. Нарушенная аутентификация пользователя. Механизмы аутентификации часто реализуются неправильно, что позволяет злоумышленникам скомпрометировать токены аутентификации или использовать недостатки реализации для временного или постоянного получения идентификационных данных других пользователей. Компрометация способности системы идентифицировать клиент / пользователя ставит под угрозу безопасность API в целом.
3. Чрезмерное раскрытие данных. Разработчики часто непреднамеренно раскрывают наборы данных API. Используйте принцип наименьших привилегий, чтобы снизить вероятность раскрытия конфиденциальных данных. В нашем примере электронной коммерции разрешите магазину A доступ только к данным магазина A, а магазину B — только к данным магазина B. 
4. Отсутствие ограничений на запросы и скорость. API не накладывают никаких ограничений на размер или количество ресурсов, которые может запросить клиент/пользователь. Это может не только повлиять на производительность сервера API, но и привести к Отказ в обслуживании (DoS), но также позволяет проводить атаки аутентификации, такие как атака грубой силой по учетным данным. 
5. Неисправная функция авторизации на уровне функций. Сложные политики контроля доступа с различными группами и ролями, а также некорректное разделение административных и обычных функций. Эти ошибки API представляют собой недостатки авторизации. Эксплуатируя эти уязвимости, злоумышленники получают доступ к ресурсам и/или административным функциям других пользователей.
6. Массовое назначение. API по умолчанию предоставляют пользователям доступ к базовым функциям доступа к данным. API должны ограничивать все запросы к данным определённым набором вызовов функций. Это снижает риск несанкционированного изменения или доступа к объектам, просто угадывая их свойства, исследуя другие конечные точки API, читая документацию или предоставляя дополнительные свойства объекта в полезных данных запроса.
7. Неправильная конфигурация безопасности. Ошибки в настройках безопасности обычно возникают из-за небезопасных, неполных или произвольных настроек по умолчанию, открытого облачного хранилища, неправильно настроенных HTTP-заголовков, ненужных HTTP-методов, разрешительного обмена ресурсами между источниками (CORS) и подробных сообщений об ошибках, содержащих конфиденциальную информацию. Например, ошибка входа в систему не должна раскрывать, присутствует ли имя пользователя на сайте.
8. Инъекция. Недостатки внедрения, такие как SQL, NoSQL, внедрение команд и т. Д., Возникают, когда ненадежные данные отправляются интерпретатору как часть команды или запроса. Вредоносные данные злоумышленника могут заставить интерпретатора выполнять непреднамеренные команды или получать доступ к данным без надлежащей авторизации.
9. Неправильное управление активами. API, как правило, предоставляют больше конечных точек, чем традиционные веб-приложения, поэтому наличие правильной и актуальной документации крайне важно. Подробная документация всех развертываний и версий API способствует созданию достоверных инвентаризаций. При обнаружении и устранении ошибок или уязвимостей в вашем API инвентаризация помогает поддерживать всё в актуальном состоянии. 
10. Недостаточное ведение журнала и мониторинг. Недостаточное ведение журнала и мониторинг в сочетании с отсутствием или неэффективной интеграцией с системами реагирования на инциденты приводит к множеству проблем. Это позволяет злоумышленникам эксплуатировать системы, создавать и поддерживать их, перенаправлять атаки на другие системы и извлекать или уничтожать данные. Большинство исследований нарушений показывают, что время обнаружения нарушения составляет более 200 дней, и обычно это происходит внешними силами, а не с помощью внутренних процессов или мониторинга.

Требования безопасности

С ростом популярности API растёт и число хакерских атак, нацеленных на эти API. Эксперты рекомендуют проектировщикам и разработчикам соблюдать следующие требования безопасности при работе с приложениями, использующими API: 

Прозрачность

Принцип «знание — сила» уместен, когда речь идёт о прозрачности API. Разработчикам и пользователям приложений необходимо знать, какие API публикуются, как и когда они обновляются, кто к ним обращается и каким образом. Понимание области использования API — первый шаг к их защите.

Контроль доступа

Доступ к API часто слабо контролируется, что приводит к нежелательной утечке данных. Обеспечение надлежащих прав доступа к каждому API для нужного набора пользователей — важнейшее требование безопасности, которое должно быть согласовано с системами управления идентификацией и доступом (IAM).

Бот смягчение

В некоторых средах до 90% трафика соответствующих приложений (вход/регистрация учётной записи, оформление заказа в корзине) генерируется автоматизированными ботами. Понимание и управление профилями трафика, включая дифференциацию «хороших» и «плохих» ботов, необходимо для предотвращения автоматизированных атак без блокировки легитимного трафика. Эффективные дополнительные меры включают внедрение белых и чёрных списков, политик ограничения скорости, CAPTCHA, а также геозонирование для конкретных сценариев использования и соответствующих конечных точек API.

Предотвращение использования уязвимостей

API-интерфейсы упрощают процессы атак, исключая необходимость в веб-форме или мобильном приложении, что позволяет злоумышленнику с большей лёгкостью эксплуатировать целевую уязвимость. Защита конечных точек API от злоупотреблений бизнес-логикой и других эксплойтов уязвимостей является ключевым требованием по снижению уровня безопасности API.

Предотвращение потери данных

Предотвращение потери данных через открытые API для пользователей с соответствующими привилегиями или иным образом, либо из-за ошибок программирования, либо из-за пробелов в управлении безопасностью, также является критически важным требованием безопасности. Многие атаки API разработаны специально для получения доступа к критически важным данным, доступным с внутренних серверов и систем.

Движение вперед

Важно быть в курсе последних изменений в используемых инструментах и ​​программном обеспечении и знать обо всех новых уязвимостях в системах. Подписка на новостную рассылку по кибербезопасности поможет вам быть в курсе этих новых угроз безопасности. Ознакомьтесь с новостными рассылками CyberHoot и подпишитесь на бесплатные ежемесячные обновления. Осведомленность об угрозах безопасности, с которыми вы сталкиваетесь, — это первый шаг к защите ваших систем.

CyberHoot — отличная компания для сотрудничества, поскольку у нас есть сотни обучающих программ, включая основы кибербезопасности. CyberHoot предлагает обучение пользователей по любым темам: от основ кибербезопасности до рисков приложений OWASP и углубленного изучения Microsoft Excel. Свяжитесь с нами, связавшись с нами. sales@cyberhoot.comили назначьте встречу в https://Calendly.com/CyberHoot.

Чтобы узнать больше о безопасности API, посмотрите это короткое двухминутное видео:

источники: 

ThreatPost

ХелпНетБезопасность

Дополнительная литература: 

Десять основных рисков безопасности по версии OWASP

Apple призывает разработчиков использовать новый API App Attest в iOS 14 для защиты от угроз безопасности