API Güvenlik Riskleri ve Önerileri

1 Eylül 2020 | Blog

Uzmanlar, siber dünyayı vuracak bir sonraki büyük tehdit konusunda güvenlik profesyonellerini uyarıyor: Uygulama Programlama Arayüzü (API) saldırıları. API'ler, diğer web sitelerinin hizmetlerini kendi sisteminize entegre ederek sistemlerin daha iyi performans göstermesini sağlar. Popüler API'ler arasında Google Haritalar, YouTube ve Twitter bulunur; bu sayede web sitesi oluşturucuları haritaları, YouTube videolarını veya tweet'leri kendi web sayfalarına yerleştirebilir. Bu araçlar geliştikçe, bilgisayar korsanları da dolandırıcılık yapmak ve veri çalmak için bunları istismar etmenin yollarını buldu.

En Önemli On OWASP API Riski

Bilgisayar korsanları API saldırılarına odaklandıkça, web sitelerinde API kullanan işletmeler için bir risk oluşturmaktadırlar. OWASP'taki güvenilir dostlarımız, API'lerle ilgili en önemli güvenlik risklerini listeledi:

Kırık Nesne Düzeyinde Yetkilendirme. Bir API'nin tek amacı verilere uzaktan erişim sağlamaktır. Bazı API'lerde erişim izinleri, bir kullanıcının başka bir kullanıcının verilerine erişmesini engelleyecek şekilde ayarlanmalıdır. Bu, Nesne Düzeyinde Yetkilendirme ile yapılır. Bu riski azaltmak için API'lerinizin erişimi uygun kullanıcılarla sınırladığından emin olun. Örneğin, basit bir e-ticaret API'si mağazanızın mağaza satışlarını listeleyebilir. Nesne Düzeyinde Yetkilendirme doğru şekilde yapıldığında, diğer mağaza sahiplerinin mağaza satışlarınızı sorgulaması engellenir.
Bozuk Kullanıcı Kimlik Doğrulaması. Kimlik doğrulama mekanizmaları genellikle yanlış uygulanır ve saldırganların kimlik doğrulama belirteçlerinden ödün vermesine veya diğer kullanıcıların kimliklerini geçici veya kalıcı olarak varsaymak için uygulama kusurlarından yararlanmasına olanak tanır. Bir sistemin istemciyi / kullanıcıyı tanımlama yeteneğinden ödün vermek, genel olarak API güvenliğinden ödün verir.
Aşırı Veri Açığa Çıkarılması. Geliştiriciler genellikle istemeden API veri kümelerini ifşa ederler. Gizli verilerin ifşa olma olasılığını azaltmak için en az ayrıcalık ilkesini kullanın. E-ticaret örneğimizde, A mağazasının yalnızca A mağazasının verilerine, B mağazasının da yalnızca B mağazasının verilerine erişmesine izin verin.
Sorgu Kısıtlamaları ve Oran Sınırlamaları Yoktur. API'ler, istemci/kullanıcı tarafından talep edilebilecek kaynakların boyutu veya sayısı konusunda herhangi bir kısıtlama getirmez. Bu durum yalnızca API sunucusunun performansını etkilemekle kalmaz, aynı zamanda Hizmet Reddi (DoS), ancak aynı zamanda kimlik doğrulama saldırılarına da olanak tanır kaba kuvvet saldırısı kimlik bilgilerine göre.
Bozuk Fonksiyon Seviyesi Yetkilendirmesi. Farklı gruplar ve roller içeren karmaşık erişim kontrol politikaları ve idari ve normal işlevlerin doğru şekilde ayrılmaması. Bu API hataları yetkilendirme kusurlarıdır. Saldırganlar bu sorunlardan yararlanarak diğer kullanıcıların kaynaklarına ve/veya idari işlevlerine erişim sağlar.
Toplu Görevlendirme. API'ler, tasarımları gereği temel veri erişim işlevlerini kullanıcılara sunar. API'ler, tüm veri isteklerini belirli bir işlev çağrıları kümesiyle sınırlamalıdır. Bu, yalnızca nesne özelliklerini tahmin ederek, diğer API uç noktalarını keşfederek, belgeleri okuyarak veya istek yüklerinde ek nesne özellikleri sağlayarak uygunsuz nesne değişikliği veya erişimi riskini azaltır.
Güvenlik Yanlış Yapılandırması. Güvenlik yanlış yapılandırması genellikle güvenli olmayan varsayılan, eksik veya özel yapılandırmalar, açık bulut depolama, yanlış yapılandırılmış HTTP başlıkları, gereksiz HTTP yöntemleri, izin verilen Çapraz Kaynak Paylaşımı (CORS) ve hassas bilgiler içeren ayrıntılı hata mesajlarının bir sonucudur. Örneğin, bir web oturum açma hatası, kullanıcı adının web sitesinde mevcut olup olmadığını göstermemelidir.
Enjeksiyon. SQL, NoSQL, komut enjeksiyonu vb. Gibi enjeksiyon kusurları, güvenilmeyen veriler bir komutun veya sorgunun parçası olarak bir yorumlayıcıya gönderildiğinde ortaya çıkar. Saldırganın kötü amaçlı verileri, yorumlayıcıyı istenmeyen komutlar yürütmeye veya uygun yetkilendirme olmadan verilere erişmeye kandırabilir.
Uygunsuz Varlık Yönetimi. API'ler, geleneksel web uygulamalarına kıyasla daha fazla uç noktayı açığa çıkarma eğilimindedir, bu da doğru ve güncel dokümantasyonu son derece önemli hale getirir. Tüm API dağıtımlarının ve sürümlerinin güçlü bir şekilde dokümante edilmesi, geçerli envanterlerin oluşturulmasını sağlar. API'nizde hatalar veya güvenlik açıkları bulunup düzeltildiğinde, envanteriniz her şeyin güncel tutulmasını sağlar.
Yetersiz Kayıt ve İzleme. Yetersiz kayıt ve izleme, olay müdahalesiyle eksik veya etkisiz entegrasyonla bir araya geldiğinde birçok soruna yol açar. Bu durum, saldırganların sistemleri istismar etmesine, kalıcılık oluşturup sürdürmesine, daha fazla sisteme saldırmak için geçiş yapmasına ve verileri çıkarmasına veya yok etmesine olanak tanır. Çoğu ihlal çalışması, bir ihlali tespit etme süresinin 200 günden fazla olduğunu ve genellikle dahili süreçler veya izleme sistemleri yerine harici taraflarca tespit edildiğini göstermektedir.

Güvenlik gereksinimleri

API kullanımının artmasıyla birlikte, bu API'leri hedef alan bilgisayar korsanı saldırıları da artıyor. Uzmanlar, tasarımcıların ve geliştiricilerin API içeren uygulamalarla çalışırken aşağıdaki güvenlik gerekliliklerini uygulamalarını öneriyor:

Görünürlük

Bilgi güçtür, API görünürlüğü söz konusu olduğunda uygundur. Uygulama geliştiricileri ve kullanıcılarının hangi API'lerin yayınlandığını, nasıl ve ne zaman güncellendiğini, bunlara kimin ve nasıl eriştiğini bilmeleri gerekir. API kullanım kapsamını anlamak, bunları güvence altına almanın ilk adımıdır.

Erişim kontrolü

API erişimi genellikle gevşek bir şekilde kontrol edilir ve bu da istenmeyen risklere yol açar. Her API için doğru kullanıcı grubunun uygun erişim izinlerine sahip olmasını sağlamak, Kimlik ve Erişim Yönetimi (IAM) sistemleriyle koordine edilmesi gereken kritik bir güvenlik gereksinimidir.

Bot azaltma

Bazı ortamlarda, ilgili uygulama trafiğinin (hesap girişi/kayıt, alışveriş sepeti ödeme) %90'a varan kısmı otomatik botlar tarafından oluşturulur. Meşru trafiği engellemeden otomatik saldırıları önlemek için, iyi botları kötü olanlardan ayırt etmek de dahil olmak üzere trafik profillerini anlamak ve yönetmek gerekir. Etkili tamamlayıcı önlemler arasında beyaz liste, kara liste, hız sınırlama politikaları, CAPTCHA ve kullanım durumlarına ve ilgili API uç noktalarına özgü coğrafi sınırlamaların uygulanması yer alır.

Güvenlik açığından yararlanma önleme

API'ler, web formunu veya mobil uygulamayı ortadan kaldırarak saldırı süreçlerini basitleştirir ve kötü niyetli kişilerin hedeflenen bir güvenlik açığından daha kolay yararlanmasını sağlar. API uç noktalarını iş mantığı kötüye kullanımından ve diğer güvenlik açığı istismarlarından korumak, API güvenliğini azaltmanın temel bir gereksinimidir.

Veri kaybı önleme

Uygun ayrıcalıklı kullanıcılar için veya programlama hataları veya güvenlik kontrol boşlukları nedeniyle başka bir şekilde maruz kalan API'lere göre veri kaybını önlemek de kritik bir güvenlik gereksinimidir. Birçok API saldırısı, arka uç sunucularından ve sistemlerinden sağlanan kritik verilere erişmek için özel olarak tasarlanmıştır.

İleri Hareketli

Sık kullandığınız araç ve yazılımlarla ilgili güncel kalmak ve sistemlerle ilgili tüm yeni güvenlik açıklarının farkında olmak önemlidir. Siber güvenlik bültenlerine abone olmak, ortaya çıkan bu güvenlik tehditlerinin önüne geçmenize yardımcı olabilir. CyberHoot'un bültenlerine göz atın ve ücretsiz aylık güncellemeler için kaydolun. Karşı karşıya olduğunuz güvenlik tehditlerinin farkında olmak, sistemlerinizi güvence altına almanın ilk adımıdır.

CyberHoot, siber güvenlik temelleri de dahil olmak üzere yüzlerce eğitim programımızla iş ortaklığı yapmak için harika bir şirkettir. CyberHoot, kullanıcılarına Siber Güvenlik Temellerinden OWASP Uygulama Risklerine ve Gelişmiş Microsoft Excel eğitimlerine kadar her konuda eğitim verebilir. Bizimle iletişime geçmek için bizimle iletişime geçin. satış@cyberhoot.comveya bir toplantı ayarlayın https://Calendly.com/CyberHoot.