API Security

Toute stratégie de sécurité efficace des API passe par un inventaire complet et continuellement mis à jour de toutes les API de l'entreprise. La recherche à la demande ou quotidienne est insuffisante en raison de la gravité des risques associés aux attaques d'API. De plus, la visualisation du comportement réel des API (appels API) est nécessaire pour permettre aux membres clés de l'équipe de sécurité, de développement et des opérations de comprendre comment les API sont utilisées ou mal utilisées. Cela facilite la communication et l'enquête au sein des équipes de votre entreprise. 

API Security permet une recherche automatisée et continue des API à travers différentes technologies et infrastructures. Il identifie également les API nouvellement déployées et compare leurs propriétés à la documentation existante. API Security détecte les API fantômes souvent manquées et les vulnérabilités connues des API, telles que celles décrites dans les 10 principaux risques pour la sécurité des API selon l'OWASP. 

La découverte des API est un processus permanent, et notre surveillance continue détecte les nouvelles API et les modifications apportées aux API existantes 24 heures sur 24. Les équipes de sécurité gagnent une visibilité inégalée et sont les premières à savoir quand les développeurs déploient une nouvelle API ou un nouveau service.

Les API alimentent les produits et services digitaux déployés par une entreprise. Il n'est donc pas surprenant que les API gagnent en ampleur. Toutefois, cette prolifération des API refaçonne votre surface d'attaque.

Les attaquants d'aujourd'hui recherchent des vulnérabilités d'API, notamment des bogues logiciels ou des erreurs de configuration, qu'ils peuvent exploiter aux fins suivantes :

• Accéder aux fonctionnalités sensibles des applications
• Trouver, compromettre et/ou voler des données sensibles
• Utiliser l'API de manière malveillante 

Grâce aux 10 principaux risques pour la sécurité des API selon l'OWASP, vous bénéficiez d'un résumé utile de certaines des vulnérabilités et menaces d'API les plus couramment exploitées que les entreprises devraient essayer d'identifier et de résoudre.

Avec API Security, vous pouvez empêcher les API vulnérables et mal configurées d'exposer votre entreprise à des attaques d'API. Comment ? En informant rapidement les équipes de sécurité, de développeurs et d'API des risques potentiels, des erreurs de configuration et des vulnérabilités. Vous pouvez également facilement établir si un partenaire a mal configuré votre API ou s'il y a des vulnérabilités dans le code. 

Les alertes contextuelles et conditionnelles fonctionnent en toute fluidité au sein de vos flux de travail existants, comme la création automatique d'un ticket Jira, afin que vous puissiez résoudre promptement tout problème.

Les API étant conçues pour être utilisées par programmation, il est extrêmement difficile de différencier l'utilisation légitime des attaques et des exploitations.

Bien que l'approche des attaques par menaces API varie, voici quelques-unes des méthodes les plus courantes :

• L'exploitation de logique métier. Il y a exploitation de logique lorsqu'un acteur malveillant exploite les failles de conception ou d'implémentation d'une application pour provoquer un comportement inattendu et non approuvé profitant aux attaquants. Les contrôles de sécurité hérités ne peuvent empêcher ce type d'exploitation, ce qui entraîne un stress et une pression considérables pour les RSSI et leurs équipes.
• L'accès non autorisé aux données. Une autre forme courante d'exploitation d'API est l'utilisation de mécanismes d'autorisation brisés pour accéder aux données auxquelles les pirates ne devraient pas être autorisés à accéder. Ces vulnérabilités portent de nombreux noms, tels que BOLA (défaillance de l'autorisation au niveau de l'objet) et IDOR (accès direct non sécurisé à un objet), ainsi que BFLA (défaillance de l'autorisation au niveau de la fonction).
• Le piratage de comptes. Après un vol d'informations d'identification ou même une attaque de script cross-site, un compte peut être piraté. Une fois que cela se produit, il est possible d'exploiter même l'API la mieux écrite et la mieux sécurisée. Après tout, si vous n'effectuez pas d'analyse comportementale, toute activité authentifiée est considérée comme légitime.
• Extraction de données. À mesure que les entreprises mettent des ensembles de données à disposition via des API publiques, des acteurs malveillants peuvent interroger ces ressources de manière agressive pour effectuer une capture élargie d'ensembles de données volumineux et précieux.
• Déni de service (DoS). En demandant au back-end d'effectuer des tâches lourdes, les attaquants ou les utilisateurs d'API peuvent provoquer une « érosion du service » ou un déni de service complet au niveau de la couche applicative (une vulnérabilité très courante dans GraphQL, mais qui peut arriver avec toute implémentation de point de terminaison d'API gourmande en ressources). Cela peut se produire par le biais d'une attaque intentionnelle ou d'une utilisation excessive par un partenaire qui provoque l'inaccessibilité de l'API pour d'autres partenaires. 
• L'exploitation de vulnérabilités. Les vulnérabilités techniques de l'infrastructure sous-jacente peuvent compromettre le serveur. Les exemples de ces types de vulnérabilités vont des vulnérabilités Apache Struts (CVE-2017-9791, CVE-2018-11776, et associées) aux vulnérabilités Log4j (CVE-2021-44228 et associées).

L'identification et l'atténuation de ces risques de sécurité et d'autres risques liés aux API nécessitent des contrôles de sécurité suffisamment sophistiqués pour faire face à cet écosystème des menaces complexe et en évolution rapide. 

La solution API Security fournit un contexte opérationnel qui ne peut pas être obtenu en analysant uniquement des éléments techniques tels que les adresses IP et les jetons API. Grâce à l'analyse du trafic en temps réel informée par l'IA/ML, API Security génère des données métier contextuelles qui vous permettent de faire une analyse approfondie de ce qui s'est passé avant et après une alerte pour identifier sa cause profonde. API Security vous permet également de rechercher des API par entités spécifiques, telles que vos utilisateurs ou partenaires, ou même des entités de processus métier (facture, paiement, commande, etc.), pour vous permettre de trouver des anomalies qui, autrement, ne seraient pas détectées.