Аналіз захищеності інтерфейсу взаємодії з додатками (API)

API (Application Programming Interfaces – програмний інтерфейс додатку) є ключовим елементом стратегій цифрової трансформації та інновацій у сучасному світі, де взаємодія без додатків неможлива. Згідно з визначенням OWASP API Security Project, «API є важливою складовою сучасних мобільних, SaaS і веб-додатків, яка використовується в клієнтських, партнерських і внутрішніх додатках. За своєю природою API розкривають логіку додатку та конфіденційну інформацію, наприклад, персональні дані, і з цієї причини саме API все частіше стають мішенню для зловмисників. Стрімкі інновації неможливі без безпечних API».

Проблематика

Очевидно, що захист API – це серйозний виклик. API є швидкозростаючою поверхнею атак, яка маловідома, через що розробники та адміністратори безпеки додатків можуть на це не зважати.

Компанія Salt Security опублікувала результати звіту з безпеки API «Стан безпеки API, перший квартал 2021 року». Згідно цього звіту,  91% організацій мали інциденти безпеки API в 2020 році. Понад половину (54%) повідомили про виявлення вразливостей в своїх API, 46% вказали на проблеми аутентифікації, а 20% описали проблеми, викликані ботами й інструментами для очищення даних.

На думку Gartner, до 2022 року кібератаки на API-інтерфейси стануть найбільш поширеним типом атак.

Безпека API – це не що інше, як захист кінцевих точок API-інтерфейсів від зловмисників.

Незахищений API – це:

• Некоректна авторизація
• Некоректна аутентифікація
• Витік конфіденційної інформації
• Відсутність лімітів на ресурси і запити
• Некоректна авторизація функцій
• Перепризначення параметрів
• Помилки налаштувань безпеки
• Уразливості виду «ін’єкція» – SQL, NoSQL, впровадження коду/команд, і т.д.
• Некоректне управління ресурсами
• Недостатнє логування й моніторинг

Для чого потрібен аналіз захищеності API?

• Для запобігання витоку даних клієнтів. Ці дані потім продаються в дарквебі.
• Щоб запобігти зламу вашого веб-сайту і бізнесу. Це може серйозно вплинути на репутацію вашого бренду.
• Для запобігання судових позовів через розкриття даних клієнтів (в разі недбалості з вашого боку).
• Це дозволяє вам відповідати вимогам.
• Допомагає підготувати вашу команду до реальної кібератаки.

Безпека API фокусується на стратегіях і рішеннях для розуміння й зниження рівня унікальних вразливостей і ризиків безпеки інтерфейсів взаємодії з додатками (API).

Чому ми рекомендуємо ручне тестування на проникнення?

Для API процес тестування на проникнення як і раніше виконується вручну. Даний процес включає роботу людей, які зрозуміють ваш код, розробляють тести для виявлення вразливостей, проводять ці тести і потім інтерпретують отримані результати.

Коли справа доходить до використання автоматизованих інструментів, результат не обов’язково призведе до висновків. Потрібно розуміти, що автоматизовані інструменти можуть знаходити тільки певні типи вразливостей. Неможливо знайти логічні уразливості, такі як порушення контролю доступу за допомогою автоматичного сканування вразливостей.

Для підтвердження всіх типів вразливостей часто потрібен ручний аналіз. Ми можемо використовувати автоматизовані інструменти тестування безпеки, щоб завершити роботу швидше, але при цьому приділити достатньо часу для перевірки додатку на предмет логічних вразливостей. Отже, в таких випадках можна використовувати автоматизовані інструменти для пошуку чіткої цілі, після чого можна експлуатувати уразливість вручну.