API na celowniku cyberprzestępców

Przeczytaj także: Luki w Javie: jak się chronić?

Analitycy bezpieczeństwa przekonują, że do 2020 roku luki w API staną się jednym z najbardziej skutecznych wektorów ataków wymierzonych w aplikacje przedsiębiorstw.

Warto zdawać sobie sprawę, że środowiska programistyczne zawierają wiele bibliotek API stanowiących potencjalne zagrożenie bezpieczeństwa. Z tego też powodu rozsądnym krokiem jest ich klasyfikowanie i nieustanne monitorowanie, co o tyle nie jest problematyczne, że stworzono już specjalne służące temu narzędzia. Dobrym pomysłem jest również kontrola deweloperów w celu identyfikowania użytych bibliotek API.

Zdarza się, że w strategii bezpieczeństwa interfejsy API są pomijane, często słyszane jest „chcemy udostępnić nasze dane…”. Takie podejście jest bardzo niebezpieczne zwłaszcza, gdy nie idzie w parze z zastanawianiem się nad zabezpieczeniem procesu udostępniania danych.

API niesamowicie upraszcza korzystanie z usług firm trzecich we własnych rozwiązaniach. Często są to mapy, bazy wiarygodności kredytowej czy kursy walut. Należy jednak zastanowić się na tym co się stanie, kiedy podmiot trzeci odmówi dostępu albo nastąpi u niego naruszenie infrastruktury. Często brakuje w organizacjach scenariuszy postępowania w takich przypadkach.

Interfejsy API wykorzystywane są często do komunikacji pomiędzy systemami IT wyłącznie wewnątrz przedsiębiorstwa. Może się to wiązać z lekceważeniem stosowania wobec nich restrykcyjnej polityki bezpieczeństwa. Pomimo braku dostępu z zewnątrz, nadal powinny być monitorowane pod kątem bezpieczeństwa.

Bardzo poważnym zagrożeniem są luki w usługach oferujących dostęp do danych za pośrednictwem API. Cyberprzestępcy zamiast atakować bezpośrednio infrastrukturę, włamują się na serwery strony internetowej lub aplikacji posiadającej autoryzowany dostęp, w celu kradzieży tożsamości (podszycia się pod nią) lub pozyskania kluczy dostępu.

Przedsiębiorstwa powinny być świadome obecności w ich infrastrukturze IT interfejsów API oraz związanego z nimi ryzyka. Należy stale je monitorować, wykrywając wszelkie anomalie, ponieważ nie uda się zabezpieczyć przed problemami, o których się nie wie. Wiele naruszeń z wykorzystaniem API dotyczy przedsiębiorstw, które nie zdają sobie sprawy z tego, że interfejsy te są obecne w ich infrastrukturze IT - mówi Wszebor Kowalski, inżynier techniczny Bitdefender z firmy Marken.