Come l'individuazione delle API può ridurne la proliferazione
Gli addetti alla sicurezza hanno probabilmente dimestichezza con il concetto di proliferazione. Ogni volta che la proliferazione del vettore di un potenziale attacco diventa fuori controllo, si parla di proliferazione, dalle autorizzazioni alle password.
Non è un fenomeno molto diverso da quanto raccontato nel film sui Gremlins degli anni '80: all'inizio, potrebbero sembrare delle piccole cosine pelose, ma, poi man mano che la storia va avanti, ci si rende conto di essere circondati da una folla di creature dispettose che se ne vanno in giro a strillare e a rompere di tutto.
A parte l'analogia con il film, molte organizzazioni hanno dimestichezza con una proliferazione che sta diventando un vettore di attacco molto popolare: la proliferazione delle API.
La gestione dei Gremlins (o della proliferazione delle API)
Dietro ogni applicazione realizzata, ogni carico di lavoro migrato nel cloud e ogni strumento utilizzato dai dipendenti per collaborare, ci sono delle API che si occupano dello scambio dei dati. Il ritmo dell'innovazione sta forzando le API ad entrare in modalità Gremlins.
La proliferazione delle API è un problema comune per le organizzazioni che dispongono di più team di sviluppo e un'ampia gamma di applicazioni e servizi. Poiché è richiesto un livello sempre maggiore di innovazione, vengono create sempre più API e diventa sempre più difficile tenere traccia del numero di API, di come vengono utilizzate e di quali tipi di dati restituiscono quando vengono chiamate.
La proliferazione delle API può ridurre l'efficienza dello sviluppo, incrementare i costi, creare problemi di performance e sprecare risorse. Inoltre, può risultare confusionario stabilire lo scopo e l'utilizzo di alcune API, il che rende difficile per gli sviluppatori trovare le API più appropriate per le loro esigenze o capire come interagiscono le une con le altre. Poiché le aziende diventano sempre più dipendenti dalle API, è importante capire come avviene la proliferazione delle API e come poter prevenire o gestire in modo efficace questo fenomeno.
In questo blog, andremo ad esaminare come avviene la proliferazione delle API e cosa possono fare le organizzazioni per impedire il verificarsi di questo fenomeno. Capire queste strategie può aiutarvi a gestire meglio le vostre API e a garantire che le vostre applicazioni rimangano efficienti e sostenibili per il futuro.
Come avviene la proliferazione delle API
La proliferazione delle API può avvenire per vari motivi, come una scarsa gestione delle API, la mancanza di governance o di visibilità sulle API esistenti e una documentazione inadeguata. Senza un appropriato livello di governance e visibilità, le organizzazioni possono trovarsi con un numero eccessivo di API da dover utilizzare o gestire correttamente.
Anche il tasso di abbandono dei dipendenti contribuisce ad incrementare notevolmente il numero di API inattive, nascoste e zombie. Consideriamo la velocità con cui gli sviluppatori vanno e vengono dalle organizzazioni: con quale probabilità avranno il tempo di trasferire le loro conoscenze o finire i progetti iniziati prima del loro ultimo giorno di lavoro? Anche gli sviluppatori animati dalle migliori intenzioni tenderanno a trascurare le cose da finire sapendo di dover lasciare presto il proprio posto di lavoro.
Inoltre, le API che sono state "ereditate" in seguito ad una fusione o un'acquisizione aziendale vengono frequentemente dimenticate. Durante la complessa e impegnativa operazione di integrazione dei sistemi, spesso si perdono gli inventari (se originariamente esistenti). Se le API di un'azienda acquisita non sono correttamente documentate, si possono creare rischi significativi, ad esempio per la mancanza di un'adeguata conoscenza.
Spesso, una vecchia versione di un'API con un livello di sicurezza inferiore o una vulnerabilità nota viene lasciata intatta. Anche se il software viene aggiornato, la vecchia versione potrebbe coesistere con la nuova versione per un certo periodo di tempo. Nello stesso tempo, la persona addetta alla gestione delle versioni e alla disattivazione delle API potrebbe aver lasciato l'azienda, potrebbe occuparsi di un nuovo incarico o potrebbe essersi dimenticata di rimuovere la versione precedente.
Le conseguenze derivanti dalla proliferazione delle API
Per quanto riguarda la sicurezza, la proliferazione delle API offre ai criminali maggiori opportunità di sfruttare eventuali vulnerabilità se le API di un'organizzazione non sono protette e configurate correttamente. Se le API proliferano in modo incontrollato, le organizzazioni perdono visibilità sul modo con cui applicazioni, sistemi e risorse, come i dati sensibili, sono connessi tra loro, non riuscendo quindi a prendere decisioni oculate sulla loro architettura e sulla loro infrastruttura. È praticamente impossibile monitorare l'utilizzo delle API senza conoscere di preciso il numero di API di cui si dispone
ed è impossibile proteggersi da ciò che non si vede.
In termini di impatto aziendale, la proliferazione delle API può condurre ad un peggioramento delle performance. L'aggiunta e il mantenimento di più API aumentano la complessità della loro gestione, rallentando i tempi di risposta e aumentando la latenza quando si effettuano le richieste. Inoltre, la proliferazione delle API può aumentare i costi poiché le organizzazioni devono investire più risorse nella gestione delle API.
Che cos'è l'individuazione delle API e come ne riduce la proliferazione?
L'individuazione delle API consiste in un processo e un insieme di funzionalità che aiutano le organizzazioni a identificare, catalogare e gestire le API, oltre a valutarne i rischi associati. Se condotta correttamente, l'individuazione delle API può aiutare a ridurne la proliferazione e a migliorare il sistema di sicurezza.
L'individuazione delle API aiuta anche le organizzazioni a comprendere meglio il loro attuale scenario delle API e a prendere decisioni informate sullo sviluppo futuro. Inoltre, questa operazione semplifica il monitoraggio e il controllo dell'accesso alle API, garantendo che solo gli utenti autorizzati possano accedervi.
Perché l'individuazione manuale delle API non è un'opzione
L'esecuzione manuale di una verificare delle API può richiedere anche 40 ore per ogni API per documentare in modo accurato tutti gli input richiesti. Inoltre, può richiedere ancora molto più tempo esaminare le occorrenze, valutare i danni, intraprendere le azioni correttive ed esaminare le cause principali.
I team addetti alla sicurezza con risorse estremamente impegnate possono trarre vantaggio dall'utilizzo di procedure automatizzate per individuare tutte le API utilizzate in modo da proteggere il proprio patrimonio delle API. È cruciale trovare e inventariare tutte le API presenti nelle attività digitali, incluse le API e i relativi domini non controllati da un gateway API.
Come Akamai può aiutarvi ad eliminare la proliferazione delle API
Mentre ci avviciniamo alla fine di questo blog, vale la pena soffermarsi un attimo a guardarsi intorno: i vostri Gremlins-API si sono proliferati ancora di più durante la vostra lettura?
La proliferazione delle API può diventare molto complessa. La domanda più importante da porre è: state cercando di migliorare le funzionalità di individuazione delle API della vostra organizzazione? Se la risposta è affermativa, saremo lieti di aiutarvi.
Akamai API Security è progettata per aiutarvi a mantenere un inventario accurato di tutte le vostre API, incluse le API ombra più elusive. Ecco alcune funzionalità che possono aiutarvi a ridurre i rischi e a stilare un inventario delle API più accurato:
Il nostro modulo di individuazione consente ai team addetti alla sicurezza di ottenere una visibilità completa da miriadi di fonti di dati in ambienti cloud e on-premise tramite user experience semplificate.
Akamai API Security può gestire da centinaia a migliaia di componenti di infrastrutture, monitorando sistemi di bilanciamento del carico, gateway API e WAF (Web Application Firewall) per aiutarvi a individuare e catalogare tutti i tipi di API, tra cui HTTP, RESTful, GraphQL, SOAP, XML-RPC, JSON-RPC e gRPC.
Le nostre funzionalità di classificazione dei dati sono in grado di monitorare il traffico delle API e fornire visibilità sui tipi di dati che attraversano le API per consentire di vedere rapidamente quante API possono accedere ad informazioni sensibili, come dati delle carte di credito, numeri di telefono e codici fiscali.