API Security

Mantenere un inventario completo e sempre aggiornato di tutte le API utilizzate nella vostra organizzazione è cruciale per un'efficace strategia di sicurezza delle API. I rilevamenti on-demand o giorno per giorno non bastano, a causa della gravità dei rischi legati agli attacchi alle API. Inoltre, la capacità di poter effettivamente vedere il reale comportamento delle API (chiamate API) è necessaria per consentire ai membri principali dei team addetti alla sicurezza, allo sviluppo e alle operazioni di comprendere le modalità di utilizzo o abuso delle API, così da garantire la comunicazione e le analisi dei vari casi ai team dell'organizzazione. 

API Security offre un rilevamento automatizzato e costante delle API mediante l'uso di varie tecnologie e infrastrutture. Rileva anche le API appena distribuite e confronta le loro proprietà con la documentazione esistente. API Security rileva le API ombra spesso ignorate e i casi noti di vulnerabilità delle API, proprio come quelli riportati nell'elenco OWASP con le 10 principali vulnerabilità per la sicurezza delle API. 

Il rilevamento delle API è un processo continuo e il nostro monitoraggio costante individua nuove API, oltre alle eventuali modifiche apportate a quelle esistenti. I team addetti alla sicurezza hanno a disposizione una visibilità impareggiabile e sono i primi a sapere quando gli sviluppatori distribuiscono un'API o un servizio nuovi.

Le API sono alla base di tutti i servizi e i prodotti digitali implementati da un'azienda. Pertanto, non sorprende che le API stiano crescendo in termini di ambito e portata. Tuttavia, questa proliferazione conduce ad una diffusione delle API che sta riplasmando la superficie di attacco delle aziende.

Oggi, i criminali cercano eventuali vulnerabilità delle API, tra cui errori di configurazione o bug nei software, da poter sfruttare per:

• Ottenere accesso alle funzionalità delle applicazioni sensibili
• Individuare, violare e/o rubare dati sensibili
• Abusare delle API per scopi illeciti 

L'elenco OWASP con le 10 principali vulnerabilità per la sicurezza delle API offre un'utile riepilogo delle minacce e delle vulnerabilità delle API maggiormente sfruttate, che le organizzazioni dovrebbero tentare di identificare e correggere.

Con API Security, potrete evitare di esporre la vostra azienda ad attacchi sferrati da API vulnerabili e configurate in maniera errata, allertando immediatamente i team addetti alla sicurezza, allo sviluppo e alle API della presenza di potenziali rischi, configurazioni errate e vulnerabilità. Potrete anche stabilire facilmente se un partner ha configurato in maniera errata una vostra API o se ci sono vulnerabilità nel codice. 

Gli avvisi legati al contesto e alle condizioni si integrano perfettamente nell'ambito dei vostri workflow esistenti, ad esempio mediante la creazione automatica di un ticket Jira, rendendo, perciò, rapida la risoluzione di qualunque problema.

Le API sono progettate per essere utilizzate in modo programmatico, pertanto, è estremamente difficile distinguere gli utilizzi legittimi dagli attacchi e dalle violazioni.

Anche se gli attacchi alle API vengono sferrati in diversi modi, alcuni di quelli più comuni sono:

• Abuso della logica aziendale. Si verifica un abuso della logica aziendale quando un criminale sfrutta i difetti di progettazione o implementazione delle applicazioni per dare origine a un comportamento imprevisto e non autorizzato a suo vantaggio. I controlli della sicurezza tradizionali non possono impedire questo tipo di abuso, il che causa un enorme livello di stress e pressione sui CISO e sui loro team.
• Accesso non autorizzato ai dati. Un'altra forma comune di abuso di API è lo sfruttamento di meccanismi di autorizzazione non funzionanti per accedere a dati ai quali i criminali non dovrebbero essere autorizzati ad accedere. Queste vulnerabilità hanno molti nomi diversi, come BOLA (Broken Object Level Authorization), IDOR (Insecure Direct Object Reference) e BFLA (Broken Function Level Authorization).
• Controllo degli account. Dopo un furto di credenziali o persino un attacco XSS (Cross-Site Scripting), è possibile assumere il controllo di un account. Quando questo accade, è possibile abusare persino delle API meglio scritte e accuratamente protette. Dopotutto, se non si effettua un'analisi comportamentale, qualunque attività svolta dopo l'autenticazione può essere considerata legittima.
• Scraping dei dati. Quando le organizzazioni rendono disponibili i loro dataset tramite le API pubbliche, i criminali possono interrogare queste risorse in maniera aggressiva per acquisire in modo indiscriminato enormi dataset preziosi.
• Attacco DoS (Denial-of-Service) alle aziende. Chiedendo al back-end di svolgere le attività gravose, gli autori di attacchi API o gli utenti possono causare danni o un'interruzione completa dei servizi a livello di applicazione (una vulnerabilità molto comune in GraphQL, ma può verificarsi con qualunque implementazione in endpoint API dispendiosa in termini di risorse). Ciò può verificarsi in caso di attacco non voluto o eccessivo utilizzo da parte di un partner, caso, quest'ultimo, che comporta guasti all'API per gli altri partner. 
• Sfruttamento delle vulnerabilità. Le vulnerabilità tecniche dell'infrastruttura sottostante possono causare la compromissione del server. Esempi di questo tipo di vulnerabilità spaziano da vulnerabilità Apache Struts (CVE-2017-9791, CVE-2018-11776 e simili) a vulnerabilità Log4j (CVE-2021-44228 e simili).

Per identificare e mitigare questi ed altri rischi per la sicurezza delle API, occorrono controlli di sicurezza abbastanza sofisticati da risolvere questo panorama di minacce complesso e in rapida evoluzione. 

La soluzione API Security offre a un'azienda un quadro altrimenti non ottenibile analizzando soltanto elementi tecnici come indirizzi IP e token API. Utilizzando l'analisi del traffico in tempo reale con le informazioni dell'AI/ML, API Security vi consente di conoscere il vostro contesto aziendale per effettuare un'analisi approfondita su ciò che è successo prima e dopo un avviso, al fine di identificarne la causa di fondo. API Security vi consente anche di ricercare le API in base a entità specifiche, come i vostri utenti o partner, oppure persino i processi aziendali (ad es. fatture, pagamenti, ordini, ecc.), per permettervi di rilevare anomalie che altrimenti passerebbero inosservate.