Réduire la cyber-pile grâce à la sécurité des API

Des défis uniques

La sécurisation des API présente des défis uniques. Ces mécanismes sont généralement exploités par l’attaquant qui sonde et utilise les propres caractéristiques de l’API contre elle, de sorte que toute défense doit se concentrer sur l’analyse du comportement et rechercher une activité anormale. Cela ne peut être réalisé qu’en surveillant à l’aide d’empreintes digitales comportementales prédéfinies et en appliquant des règles, en utilisant l’apprentissage automatique et les renseignements sur les menaces.

Prenons, par exemple, l’attaque contre MailChimp en avril. Cela a vu les pirates obtenir des clés API qui ont permis à ses clients de gérer eux-mêmes leurs comptes et d’effectuer des campagnes marketing de manière autonome. Armés de ceux-ci, les attaquants ont pu envoyer des e-mails de phishing aux clients de Trezor, un client de crypto-monnaie de Mailchimp.

Ses clients ont été informés que leur portefeuille avait été compromis et ont été invités à télécharger une fausse application et à configurer un nouveau code PIN. La compromission de ces clés API aurait pu être détectée à l’aide de la surveillance comportementale, mais aurait été manquée par une solution basée sur les signatures.

En outre, la prolifération des API, qui dépassent rapidement les applications Web en tant que mécanisme de connectivité de choix, suggère qu’une approche encore plus globale est nécessaire. De manière réaliste, les entreprises ont déployé des centaines d’API, dont certaines auront été développées et oubliées et présenteront un risque de sécurité continu. D’autres API seront ensuite développées et ajoutées, et si la sécurité ne fait pas partie du processus de production, cela peut encore augmenter les risques.

Tous ceux qui sont ensuite déployés doivent rester visibles, afin qu’ils puissent être mis à jour ou reconfigurés correctement et surveillés en permanence.

Du berceau à la tombe

Cela signifie que la sécurité des API ne concerne plus simplement la protection de l’API, mais l’ensemble du cycle de vie de la découverte, de la détection et de la défense, de la réalisation d’un audit d’API à la création d’un inventaire d’exécution, en passant par la garantie que les API restent conformes. avec des spécifications et conformément aux réglementations spécifiques à l’industrie; non seulement en détectant les menaces, mais en les empêchant grâce à une analyse active de l’infrastructure API et en détectant et en résolvant les problèmes avant le déploiement lorsque les API sont en pré-production.

L’adoption d’une approche unifiée qui couvre tous ces angles évite d’avoir à utiliser le WAF, le NGFW, l’IPS pour la protection des API ou même une passerelle API, ce qui signifie que le RSSI peut réduire la charge sur certains de ces outils et en désactiver d’autres, réduisant ainsi la pile. Il garantit également un délai de rentabilisation rapide en réduisant les exploits d’API, en éliminant les violations de conformité et en protégeant les utilisateurs finaux contre les attaques.

Il est probable que les budgets de sécurité seront comprimés à mesure que les entreprises lutteront contre l’inflation et la hausse des coûts, en mettant l’accent sur le maintien des lumières allumées. Forrester préconise que l’argent soit dépensé là où il est important, mais aussi que les entreprises réduisent les coûts et la complexité. Il n’y a maintenant aucune raison pour que les RSSI ne puissent pas faire les deux, s’ils sont assez avertis pour capitaliser sur les progrès récents réalisés dans l’industrie des API.

Jason Kent est hacker en résidence à Sécurité De cequence.