Sécurité des API : Meilleures pratiques pour l'acquisition de données sur l'activité des API
La collecte de données sur les API est la base de la sécurité des API. La collecte de données a deux objectifs principaux : la détection des API et l'analyse du trafic des API.
La détection des API est cruciale pour tout programme de sécurité des API efficace. Plus important encore, la détection continue des API est nécessaire pour trouver les API factices et zombies.
L'analyse du trafic d'API pour détecter les vulnérabilités et les menaces, comme indiqué dans la Liste des 10 principaux risques pour la sécurité des API de l'OWASP, est également essentielle. Comme pour toute entreprise de sécurité réseau, le produit de sécurité doit voir les bonnes données pour les analyser et rechercher des menaces.
4 recommandations pour une collecte efficace des données d'API
Nos quatre recommandations pour une collecte efficace des données d'API comprennent les suivantes :
Commencez avec le point de vue le plus large possible
Ajoutez de la profondeur à votre pile de surveillance d'API principale
Assainissez vos données d'activité d'API
Faites le premier pas vers une meilleure détection des API et une détection avancée des menaces
Commencez avec le point de vue le plus large possible
L'étendue de la visibilité est essentielle lors de la conception de votre approche de sécurité des API. Si vous disposez d'un processus de déploiement et de gestion d'API généralement standardisé, vous orienterez probablement la collecte de données d'API en fonction de ce processus standard. La détection de l'inattendu est toutefois un élément plus critique de votre stratégie de sécurité des API.
Après tout, les API indésirables implémentées en dehors de votre processus sanctionné (et les API fantômes oubliées créées sur les piles d'API héritées) sont susceptibles de poser des risques plus importants que les nouvelles API sur votre pile principale. Assurez-vous que vos mécanismes de collecte de données d'API vous permettent de trouver vos API avec une détection continue.
Il s'agit d'un domaine dans lequel la surveillance du trafic et la collecte des journaux ont un avantage par rapport aux capteurs basés sur l'hôte. La mise en miroir du trafic à partir de points clés du réseau et l'utilisation des journaux (par exemple, depuis des passerelles d'API) fournissent, par définition, une large couverture qui est plus susceptible de détecter l'activité d'API non approuvée, tant que votre système de sécurité des API est conçu pour les détecter. En revanche, la plupart des types de capteurs basés sur l'hôte, en particulier l'instrumentation de code, ne verront l'activité que pour les hôtes d'API spécifiques équipés de capteurs.
Même lorsque vous tirez parti de la visibilité plus large qu'offrent les journaux et la surveillance du trafic, il est toujours important de rechercher et d'éliminer les angles morts. Les environnements cloud hybride et multicloud ont souvent un trafic d'API circulant dans de nombreux emplacements différents, chacun d'entre eux devant être accédé de manière distincte. (Découvrez comment convaincre l'équipe de conformité que les données sensibles dans les journaux détaillés sont protégées dans la section sur l'assainissement des données plus loin dans cet article.)
Ajoutez de la profondeur à votre pile de surveillance d'API principale
Les données de journal et de trafic peuvent provenir de nombreuses sources différentes. Du point de vue de la couverture, il est utile de collecter ces données à partir de sources d'infrastructure, telles que les courtiers en paquets, les plateformes cloud, les passerelles d'API, les outils d'orchestration de conteneurs et maillés, les proxys, les réseaux de diffusion de contenu, les pare-feux d'applications Webet les plateformes de journalisation centralisées.
La couverture fournie par ces plateformes est excellente pour la découverte des API de base. Mais il est également important de tenir compte de la profondeur et de la fidélité des données lors de la conception de votre approche de collecte de données d'API.
Par exemple, supposons que vous collectez des données d'activité directement à partir de votre passerelle d'API. Il n'est pas garanti que les journaux de votre passerelle d'API incluent suffisamment de détails pour effectuer les types d'analyse comportementale les plus avancés. Par exemple, même si toute l'activité HTTP apparaît dans les journaux, les en-têtes de requête et de réponse peuvent avoir des quantités variables de détails. Et des données utiles, telles que les charges utiles des messages, peuvent manquer entièrement, selon le fournisseur.
Pour les plateformes comme Akamai API Security qui identifient les entités impliquées dans l'activité des API, rassemblent le contexte métier et surveillent les anomalies comportementales, la fidélité supplémentaire des données fournie par les technologies de mise en miroir du trafic des API peut être inestimable.
Assainissez vos données d'activité d'API
La majeure partie de ce que nous avons couvert jusqu'à présent est axée sur la collecte de l'ensemble de données d'activité des API le plus large et le plus profond possible. Cela garantit que vos analyses de sécurité et de détection des API sont aussi complètes que possible et que vous disposez des bases nécessaires pour les types d'analyses comportementales dont vous avez besoin pour garder une longueur d'avance sur les menaces avancées liées aux API.
Ainsi, avant d'autoriser un fournisseur de sécurité à analyser votre activité d'API, il est important de le mettre au défi de démontrer qu'il peut assainir les données avant qu'elles ne quittent vos environnements de cloud privé virtuel ou local.
Adopter ce type de modèle de sécurité dans le cloud vous donnera la confiance nécessaire pour permettre aux capteurs de votre fournisseur d'envoyer des détails hautement granulaires vers le cloud pour analyse tout en protégeant vos données utilisateur sensibles et votre propriété intellectuelle.
Faites le premier pas vers une meilleure détection des API et une détection avancée des menaces
Identifier les techniques les plus efficaces de collecte de données sur les API pour votre organisation, et décider comment évaluer au mieux les échanges entre elles, peut être intimidant. Pourtant, ce n'est pas une fatalité.
Notre équipe Akamai vous guidera dans cette démarche et veillera à ce que votre approche intègre les meilleures pratiques les plus récentes. Découvrez comment nous avons aidé un autre client d'Akamai dans cette aventure.
