约66%的公司企业表示,由于API安全问题,已延缓在生产环境中部署应用。
近几个月来,研究人员第二次警示不安全应用编程接口(API)对企业安全造成的威胁。
去年11月,咨询公司佛瑞斯特研究就警告称,公司企业未能像对付应用程序漏洞一样处理API漏洞,并因此造成自身越来越暴露在API相关安全漏洞的威胁之下。
今年3月初,安全公司Salt Security发布API安全报告,报告综合了该公司针对200名IT及安全人员的调查反馈和来自该公司客户的实证数据。
结果显示,91%的受访公司企业去年经历过API相关问题。超过半数(54%)的受访企业在其API中发现了漏洞,46%的受访企业出现了身份验证问题,而20%指出了爬虫和数据抓取工具引发的问题。
Salt Security副总裁Michelle McLean称:“2020年最普遍的API安全事件就是在生产环境API中发现漏洞。”
调查结果显示,尽管公司企业开始应用安全左移原则,尽量在开发生命周期早期阶段就集成安全控制措施,但这项工作仍未做到位。
“公司企业需补强在构建和部署运行时安全的过程中所用的安全战术。”
普遍程度仅次于生产环境API漏洞的安全事件主要围绕身份验证问题,攻击者能够以某种方式玩弄身份验证机制,获取敏感数据。其他常见问题还包括账户滥用和拒绝服务攻击,也就是攻击者发起足量受控API流量中断API背后应用的正常运行。
McLean指出:“API是公司企业的一大风险来源。攻击者目前正大肆利用API,而现有策略和技术并不足以提供充分的保护。”
应用和应用组件能够借助API在内部网络上相互通信,且照目前趋势看来,应用和应用组件之间的通信将更多依赖API在互联网上进行。最初,API一般用在安全私有网络和信道上。如今,越来越多的公司企业利用API将内部应用和原有系统及服务通过互联网共享给客户、合作伙伴、供应商和其他第三方。公司企业用于内部应用互联和连接外部世界的API可能多达成百上千个。安全分析师曾经指出,如果防护不周,API相当于为外部人员访问公司关键数据和应用提供了直接通道。
攻击者最常用的API漏洞利用手法,是篡改用户身份标识(ID)号等API可能有权访问的对象。
McLean举例称:“攻击者通过身份验证登录应用,用他们自己的ID发起通信,然后在一系列后续API调用中将此用户ID对象改成另一个用户ID。然后他们就能访问与此另一ID相关联的敏感信息了。”
▶ API安全阴霾笼罩
Salt Security的调查发现,由于API安全相关的顾虑,三分之二的公司企业放缓了往生产环境推出新应用的脚步。该公司的客户数据显示,从去年6月到12月,每月每客户遭遇的API攻击数量从50次骤增到80次。另外,Salt Security客户的月度平均API调用规模增长51%的同时,恶意流量却暴增了211%。
McLean表示,攻击者利用这些恶意API流量来染指API连接的数据,或者中断API赋能的服务。举个例子,攻击者会在API调用期间修改账户号,或者操纵API调用插入成百上千个可能的凭证,以期匹配几个已有真实凭证。
Salt Security的调查还反映出,即使趋势明显,很多公司企业对待此类问题的态度还是相对无动于衷:超过四分之一(27%)的受访企业承认根本没有应对API安全问题的策略,54%的受访企业认为自己的策略最多达到基础水平。83%的受访企业坦陈不了解自身API使用情况,82%不确定自己是否清楚那些暴露PII、持卡人信息和其他敏感信息的API。
超过20%的受访企业承认无法了解到底哪些API暴露了个人可识别信息,还有很多企业表示自身最大的顾虑是网络上普遍存在过时僵尸API。
McLean认为,解决这些问题需要一套完备的API安全策略。这意味着建立起保护整个API生命周期的机制。公司企业需设置在构建阶段、部署阶段和生产环境运行阶段验证API的控制措施。
此外,还应考虑培育API编写团队和API所连数据与服务的安全防护团队之间的协作。
“开发人员不具备安全团队那种‘攻击者思维’,而安全团队并不天天编程,不像开发人员那么熟悉API结构。”
只有确保两个团队相互协作,才能充分保护好企业API。
Salt Security调查报告:https://salt.security/api-security-trends
声明:本文来自数世咨询,版权归作者所有。文章内容仅代表作者独立观点,不代表士冗科技立场,转载目的在于传递更多信息。如有侵权,请联系 service@expshell.com。