Sicurezza delle API: le best practice per l'acquisizione dei dati sulle attività delle API
La raccolta dei dati sulle API è basilare per la sicurezza delle API. La raccolta dei dati ha due scopi principali: il rilevamento delle API e l'analisi del traffico delle API.
Il rilevamento delle API è fondamentale per qualsiasi programma di sicurezza delle API. Inoltre, soprattutto, il rilevamento continuo delle API è necessario per individuare le API non autorizzate e "zombie".
Anche l'analisi del traffico delle API per individuare eventuali vulnerabilità e minacce è di importanza cruciale, come riportato nell'elenco OWASP (Open Web Application Security Project) con i 10 principali rischi per la sicurezza delle API. Come con qualsiasi soluzione per la sicurezza della rete, il prodotto di sicurezza deve visualizzare i dati giusti per analizzarli alla ricerca di eventuali minacce.
4 consigli per un'efficace raccolta dei dati sulle API
Ecco i nostri quattro consigli per un'efficace raccolta dei dati sulle API:
Iniziare con il punto di vista più ampio possibile
Aggiungere profondità alla soluzione per il monitoraggio delle API principale
Ripulire i dati sulle attività delle API
Fare il primo passo per migliorare il rilevamento delle API e l'individuazione delle minacce
Iniziare con il punto di vista più ampio possibile
Un'ampia visibilità è essenziale durante la progettazione di un approccio alla sicurezza delle API. Se il vostro processo di implementazione e gestione delle API è generalmente standardizzato, dovrete probabilmente focalizzarvi sulla raccolta dei dati sulle API in base a questo processo standard. Rilevare gli imprevisti, tuttavia, è senza dubbio un elemento di maggiore importanza nella vostra strategia di sicurezza delle API.
Dopo tutto, le API non autorizzate che vengono implementate al di fuori del processo autorizzato (e le API ombra dimenticate, che sono state create nelle soluzioni tradizionali) probabilmente pongono rischi più significativi rispetto alle nuove API delle soluzioni principali. Assicuratevi che i meccanismi di raccolta dei dati sulle API vi consentano di individuare le API con il rilevamento continuo.
Si tratta di un'area in cui il monitoraggio del traffico e la raccolta dei registri hanno un vantaggio rispetto ai sensori basati sugli host. Il mirroring del traffico da punti chiave nella rete e l'utilizzo dei registri (ad esempio, dai gateway API) forniscono, per definizione, un'ampia copertura in grado di acquisire, con maggiore probabilità, le attività delle API non autorizzate, purché il sistema di sicurezza delle API sia progettato per rilevarle. Al contrario, la maggior parte dei tipi di sensori basati sugli host, specialmente la strumentazione dei codici, potrà vedere solo specifici host delle API dotati di sensori.
Anche usufruendo della maggiore visibilità fornita dal monitoraggio dei registri e del traffico, è comunque importante cercare ed eliminare i punti ciechi. Gli ambienti di cloud ibrido e multicloud spesso fanno fluire il traffico delle API in molte località diverse, ciascuna delle quali è accessibile separatamente. (Scoprite come sono protetti i dati sensibili riportati nei registri dettagliati da parte del team addetto alla conformità nella sezione sulla sanificazione dei dati più avanti in questo post.)
Aggiungere profondità alla soluzione per il monitoraggio delle API principale
I dati sui registri e sul traffico provengono da fonti diverse. Dal punto di vista della copertura, è utile raccogliere questi dati da fonti dell'infrastruttura, come broker di pacchetti, piattaforme cloud, gateway API, container e strumenti di coordinamento mesh, proxy e reti per la distribuzione dei contenuti, soluzioni WAF (Web Application Firewall)e piattaforme di registrazione centralizzate.
La copertura fornita da queste piattaforme è eccellente per il rilevamento delle API standard. Tuttavia, è anche importante considerare la profondità e la fedeltà dei dati durante la concezione dell'approccio per la raccolta dei dati sulle API.
Supponiamo, ad esempio, che la raccolta dei dati sulle attività venga effettuata direttamente dal gateway API. Non è detto che le informazioni contenute nei registri del gateway API siano sufficienti per eseguire i più avanzati tipi di analisi comportamentale. Ad esempio, anche se tutte le attività HTTP compaiono nei registri, le intestazioni di richiesta e risposta possono includere un numero di informazioni variabile. Inoltre, dati utili come i payload dei messaggi potrebbero non essere inclusi, a seconda del vendor.
Per piattaforme come Akamai API Security che identificano le entità coinvolte nelle attività delle API, mettono insieme il contesto aziendale e monitorano alla ricerca di eventuali comportamenti anomali, l'ulteriore fedeltà dei dati fornita dalle tecnologie di mirroring del traffico delle API può risultare preziosa.
Ripulire i dati sulle attività delle API
La maggior parte dei contenuti trattati finora è focalizzata sulla raccolta dei dati sulle attività delle API nel modo più ampio e accurato possibile. Questa operazione garantisce che l'analisi di rilevamento e sicurezza delle API sia il più possibile completa e vi offre la base necessaria per eseguire i tipi di analisi comportamentale richiesti per tenervi al passo con le avanzate minacce alle API.
Pertanto, prima di consentire ad un vendor di soluzioni per la sicurezza di analizzare le attività delle vostre API, è importante avere la certezza che sia in grado di ripulire i dati prima di farli uscire dai vostri ambienti on-premise o dal vostro cloud privato virtuale.
L'adozione di questo tipo di modello per la sicurezza nel cloud vi offre la massima tranquillità nel consentire ai sensori del vendor di inviare informazioni altamente granulari al cloud a scopo di analisi, proteggendo, al contempo, i dati sensibili dei vostri utenti e la vostra proprietà intellettuale.
Fare il primo passo per migliorare il rilevamento delle API e l'individuazione delle minacce
Identificare le migliori tecniche di raccolta dei dati API per la vostra organizzazione, e decidere come valutare al meglio i compromessi tra le varie opzioni, può sembrare difficile. Ma non è necessariamente così.
Il team di Akamai vi guiderà in questo percorso, assicurando che il vostro approccio includa le ultime best practice. Leggete come abbiamo aiutato un altro cliente Akamai in questo percorso.
