Mga Panganib at Rekomendasyon sa Seguridad ng API

ika-1 ng Setyembre 2020 | Blog

Nagbabala ang mga eksperto sa mga propesyonal sa seguridad tungkol sa susunod na malaking banta na tatama sa mundo ng cyber: ang mga pag-atake ng Application Programming Interface (API) . Gumagana ang mga API upang mas mahusay na gumana ang mga sistema sa pamamagitan ng pagsasama ng mga serbisyo ng ibang website sa iyong sarili. Kabilang sa mga sikat na API ang Google Maps, YouTube, at Twitter; na nagbibigay-daan sa isang tagalikha ng website na mag-embed ng Maps, mga clip sa YouTube, o mga Tweet sa kanilang sariling mga webpage. Habang lumalaki ang mga tool na ito, nakahanap ang mga hacker ng mga paraan upang samantalahin ang mga ito upang makagawa ng pandaraya at magnakaw ng data.

Nangungunang Sampung Panganib sa OWASP API

Habang binabaling ng mga hacker ang kanilang atensyon sa pag-hack ng API, kinakatawan nila ang panganib sa mga negosyong gumagamit sa kanila sa kanilang mga website. Ang aming maaasahang mga kaibigan sa OWASP ay nag-codify ng mga nangungunang panganib sa seguridad na kasangkot sa mga API:

Sirang Object Level Authorization. Ang nag-iisang layunin ng mga API ay magbigay ng malayuang pag-access sa data. Na-access sa ilang mga API ang mga pahintulot ay dapat itakda upang pigilan ang isang user na ma-access ang data ng isa pang user. Ginagawa ito sa pamamagitan ng Object Level Authorization. Tiyaking pinaghihigpitan ng iyong mga API ang pag-access sa mga naaangkop na user upang mabawasan ang panganib na ito. Halimbawa, ang isang simpleng e-commerce API ay maaaring maglista ng mga benta ng tindahan para sa iyong tindahan. Ang Object Level Authorization na ginawa nang maayos ay humahadlang sa ibang mga may-ari ng tindahan na i-query ang iyong mga benta ng tindahan.
Sirang User Authentication. Ang mga mekanismo ng pagpapatotoo ay madalas na ipinapatupad nang hindi tama, na nagbibigay-daan sa mga umaatake na ikompromiso ang mga token ng pagpapatotoo o upang pagsamantalahan ang mga bahid ng pagpapatupad upang ipagpalagay ang mga pagkakakilanlan ng ibang user nang pansamantala o permanente. Ang pagkompromiso sa kakayahan ng isang system na kilalanin ang kliyente/user ay nakompromiso sa pangkalahatang seguridad ng API.
Sobrang Exposure ng Data. Madalas na hindi sinasadyang ilantad ng mga developer ang mga dataset ng API. Gamitin ang prinsipyo ng hindi bababa sa pribilehiyo upang bawasan ang pagkakataon ng pagkakalantad ng kumpidensyal na data. Sa aming halimbawa ng e-commerce, payagan ang store A lang na access sa store A's data at store B access sa store B lang na data.
Kakulangan ng Mga Paghihigpit sa Query at Paglilimita sa Rate. Ang mga API ay hindi nagpapataw ng anumang mga paghihigpit sa laki o bilang ng mga mapagkukunan na maaaring hilingin ng kliyente/user. Hindi lamang ito makakaapekto sa pagganap ng server ng API, na humahantong sa Pagtanggi sa Serbisyo (DoS), ngunit pinapagana din ang mga pag-atake sa pagpapatunay tulad ng a malupit na puwersang pag-atake sa mga kredensyal.
Awtorisasyon sa Antas ng Sirang Function. Mga kumplikadong patakaran sa pagkontrol sa pag-access na may iba't ibang grupo at tungkulin, at isang pagkabigo na paghiwalayin nang tama ang mga administratibo at regular na paggana. Ang mga pagkakamali sa API na ito ay mga depekto sa pahintulot. Sa pamamagitan ng pagsasamantala sa mga isyung ito, nagkakaroon ng access ang mga attacker sa mga mapagkukunan at/o administratibong function ng ibang mga user.
Pagtatalaga sa Misa. Inilalantad ng mga API ayon sa disenyo ang pinagbabatayan na mga function ng pag-access ng data sa mga user. Dapat paghigpitan ng mga API ang lahat ng kahilingan sa data sa isang partikular na hanay ng mga function call. Binabawasan nito ang panganib ng hindi naaangkop na pagbabago o pag-access ng bagay sa pamamagitan lamang ng paghula sa mga property ng object, paggalugad sa iba pang mga endpoint ng API, pagbabasa ng dokumentasyon, o pagbibigay ng karagdagang mga property ng object sa mga payload ng kahilingan.
Maling configuration sa Seguridad. Ang maling configuration sa seguridad ay karaniwang resulta ng hindi secure na default, hindi kumpleto o ad-hoc na mga configuration, open cloud storage, misconfigured HTTP header, hindi kinakailangang HTTP na pamamaraan, permissive Cross-Origin Resource Sharing (CORS), at verbose error messages na naglalaman ng sensitibong impormasyon. Halimbawa, ang isang pagkabigo sa pag-login sa web ay hindi dapat magbunyag kung ang username ay naroroon sa website.
Pag-iniksyon Ang mga bahid ng injection, gaya ng SQL, NoSQL, command injection, atbp., ay nangyayari kapag ang hindi pinagkakatiwalaang data ay ipinadala sa isang interpreter bilang bahagi ng isang command o query. Maaaring linlangin ng malisyosong data ng attacker ang interpreter sa pagsasagawa ng mga hindi sinasadyang command o pag-access ng data nang walang wastong pahintulot.
Maling Pamamahala ng Asset. Ang mga API ay may posibilidad na maglantad ng higit pang mga endpoint kaysa sa tradisyonal na mga web application, na ginagawang lubos na mahalaga ang wasto at na-update na dokumentasyon. Ang matibay na dokumentasyon ng lahat ng deployment at bersyon ng API ay humahantong sa mga wastong imbentaryo. Kapag may nakitang mga bug o kahinaan sa iyong API at naayos, nakakatulong ang iyong imbentaryo na matiyak na napanatiling napapanahon ang lahat.
Hindi Sapat na Pag-log at Pagsubaybay. Ang hindi sapat na pag-log at pagsubaybay, kasama ng nawawala o hindi epektibong pagsasama sa pagtugon sa insidente ay humahantong sa maraming problema. Nagbibigay-daan ito sa mga umaatake na samantalahin ang mga system, i-setup at mapanatili ang pagtitiyaga, mag-pivot para atakehin ang higit pang mga system, at kunin o sirain ang data. Karamihan sa mga pag-aaral ng paglabag ay nagpapakita na ang oras upang matukoy ang isang paglabag ay higit sa 200 araw, kadalasang nakikita ng mga panlabas na partido sa halip na mga panloob na proseso o pagsubaybay.

Mga Kinakailangan sa Seguridad

Sa pagtaas ng pag-ampon ng API, dumarami ang mga pag-atake ng hacker na nagta-target sa mga API na iyon. Inirerekomenda ng mga eksperto na gamitin ng mga designer at developer ang mga sumusunod na kinakailangan sa seguridad kapag nakikitungo sa mga application na may kinalaman sa mga API:

visibility

Ang kaalaman ay kapangyarihan ay angkop pagdating sa visibility ng API. Kailangang malaman ng mga developer at user ng application kung aling mga API ang ini-publish, paano at kailan sila ina-update, sino ang nag-a-access sa kanila, at paano sila ina-access. Ang pag-unawa sa saklaw ng paggamit ng API ng isang tao ay ang unang hakbang patungo sa pag-secure ng mga ito.

Ma-access ang control

Ang pag-access sa API ay madalas na maluwag na kinokontrol, na humahantong sa hindi kanais-nais na pagkakalantad. Ang pagtiyak na ang tamang hanay ng mga user ay may naaangkop na mga pahintulot sa pag-access para sa bawat API ay isang kritikal na kinakailangan sa seguridad na dapat iugnay sa Identity and Access Management (IAM) system.

Pagbawas ng bot

Sa ilang kapaligiran, hanggang 90% ng kaukulang trapiko ng application (pag-login/pagpaparehistro ng account, pag-checkout ng shopping cart) ay nabuo ng mga automated na bot. Ang pag-unawa at pamamahala sa mga profile ng trapiko, kabilang ang pagkakaiba-iba ng mga mabubuting bot mula sa mga masasama, ay kinakailangan upang maiwasan ang mga awtomatikong pag-atake nang hindi hinaharangan ang lehitimong trapiko. Kabilang sa mga epektibong pantulong na hakbang ang pagpapatupad ng whitelist, blacklist, mga patakaran sa paglilimita sa rate, CAPTCHA, pati na rin ang geofencing na partikular sa mga use-case at kaukulang mga endpoint ng API.

Pag-iwas sa pagsasamantala ng kahinaan

Pinapasimple ng mga API ang mga proseso ng pag-atake sa pamamagitan ng pag-aalis sa web form o sa mobile app, na nagbibigay-daan sa isang masamang aktor na mas madaling pagsamantalahan ang isang naka-target na kahinaan. Ang pagprotekta sa mga endpoint ng API mula sa pang-aabuso sa lohika ng negosyo at iba pang mga pagsasamantala sa kahinaan ay isang pangunahing kinakailangan sa pagpapagaan ng seguridad ng API.

Pag-iwas sa pagkawala ng data

Ang pag-iwas sa pagkawala ng data sa mga nakalantad na API para sa mga naaangkop na may pribilehiyong user o kung hindi man, dahil sa mga error sa programming o mga gaps sa pagkontrol sa seguridad, ay isa ring kritikal na kinakailangan sa seguridad. Maraming pag-atake sa API ang partikular na idinisenyo upang makakuha ng access sa kritikal na data na ginawang available mula sa mga back-end na server at system.

Paglilipat Ipasa

Mahalagang manatiling updated sa mga tool at software na madalas mong ginagamit at tiyaking alam mo ang lahat ng mga bagong kahinaan na kaugnay ng mga sistema. Ang pag-subscribe sa isang cybersecurity Newsletter ay makakatulong sa iyong manatiling updated sa mga umuusbong na banta sa seguridad. Tingnan ang mga Newsletter ng CyberHoot at mag-sign up para sa libreng buwanang mga update. Ang pagiging mulat sa mga banta sa seguridad na iyong kinakaharap ay ang unang hakbang sa pag-secure ng iyong mga sistema.

Ang CyberHoot ay isang mahusay na kumpanya na kasosyo dahil mayroon kaming daan-daang mga programa sa pagsasanay kabilang ang mga pangunahing kaalaman sa cybersecurity. Maaaring sanayin ng CyberHoot ang mga user sa anumang bagay mula sa Cybersecurity Basics hanggang sa OWASP Application Risks hanggang sa Advanced na pagsasanay sa Microsoft Excel. I-link up sa amin sa pamamagitan ng pakikipag-ugnayan sales@cyberhoot.com, o mag-set up ng pulong sa https://Calendly.com/CyberHoot.