Sécurisation des API : mission impossible ?

Les cyberattaques sont, sans aucun doute, en augmentation. Selon le rapport d'enquête sur les violations de données 2021 de Verizon, le paysage des menaces est plus dangereux aujourd'hui plus que jamais. Les organisations de toutes tailles sont confrontées à un volume d'attaques de plus en plus important et à un niveau de sophistication accru de la part des acteurs malveillants qui les ciblent. Et les taux de réussite des attaquants montent également en flèche.

L'analyse des attaques les plus récentes permet de révéler certaines des vulnérabilités et techniques les plus courantes utilisées par les pirates informatiques lors de cette campagne sans précédent contre les cyberdéfenses. Certaines des attaques les plus populaires, telles que celles qui ont permis à l'Open Web Application Security Project (OWASP) Les 10 principaux risques et vulnérabilités de sécurité pour 2021, impliquait le vol ou la compromission d'informations d'identification. Et selon des recherches sur la sécurité menée par Akamai, l'écrasante majorité (près de 75 %) ciblait directement les informations d'identification détenues par les API.

L'essor et la possible ruine des API

Il n'est pas étonnant que les interfaces de programmation d'applications, pour la plupart simplement appelées API, soient en plein essor au sein des réseaux de presque toutes les organisations. Ils constituent un élément essentiel de la plupart des services basés sur le cloud, qui prennent rapidement en charge les fonctions des actifs sur site dans la plupart des entreprises, organisations et agences gouvernementales. De nos jours, il est quasiment impossible de gérer une activité ou une tâche sans le cloud, en particulier celles qui sont destinées au public. Cela signifie que les API seront certainement le ciment qui permettra à de nombreux services de fonctionner ensemble sur chaque réseau.

L'avantage des API est qu'elles sont pour la plupart petites et discrètes en termes d'allocation des ressources réseau. Et ils sont totalement flexibles, de sorte qu'ils peuvent être chargés d'effectuer presque tous les travaux. À la base, les API sont des logiciels individuels conçus pour contrôler ou gérer un programme particulier. Ils peuvent être utilisés pour exécuter des fonctions très spécifiques, telles que l'accès à des données à partir d'un système d'exploitation, d'une application ou d'un service hôte.

Malheureusement, c'est cette même flexibilité et le fait qu'elles soient souvent petites et négligées par les équipes de sécurité qui font des API des cibles attrayantes. La plupart des API sont conçues par les développeurs pour une flexibilité totale afin qu'elles puissent, par exemple, continuer à fonctionner même si le programme principal qu'ils gèrent est modifié ou modifié. Et il existe peu de normes. Presque comme les flocons de neige, de nombreuses API sont uniques en ce sens qu'elles sont créées pour remplir une fonction particulière avec un seul programme sur un réseau spécifique. S'ils sont codés par des développeurs qui ne sont pas très attentifs à la sécurité ou qui ne se concentrent pas spécifiquement sur la sécurité, ils peuvent et auront probablement un certain nombre de vulnérabilités que les attaquants peuvent trouver et exploiter.

Malheureusement, le problème devient rapidement incontrôlable. Selon Gartner, d'ici 2022, vulnérabilités impliquant des API deviendra le vecteur d'attaque le plus fréquent dans toutes les catégories de cybersécurité.

La principale raison pour laquelle les attaquants veulent compromettre les API n'est pas pour s'emparer d'une fonction spécifique exécutée par l'API, mais pour voler les informations d'identification qui y sont associées. L'un des plus gros problèmes des API, en plus d'être truffées de vulnérabilités, est qu'elles sont souvent manière trop autorisée en ce qui concerne leurs fonctionnalités de base. Par souci de simplicité, la plupart des API disposent d'un accès proche du niveau administrateur sur un réseau. Si un attaquant prend le contrôle d'un réseau, il peut souvent utiliser ses autorisations pour lancer des incursions plus profondes et plus importantes dans un réseau. Et comme l'API est autorisée à effectuer toutes les tâches vers lesquelles l'attaquant le redirige, ses actions peuvent souvent contourner la surveillance traditionnelle de la cybersécurité, car l'API n'enfreint aucune règle grâce à son pass VIP d'accès aux coulisses.

Si les entreprises ne font pas attention, la montée en puissance des API au sein de leur réseau et de leurs clouds peut également poser de gros problèmes si elles sont la cible d'attaquants.

Défendre les API

Aussi dangereuse que soit la situation en matière d'API, elle est loin d'être désespérée. Il y a un gros effort à travers les mouvements comme DevSecOps pour sensibiliser les développeurs à la sécurité et pour intégrer la sécurité et les meilleures pratiques à tous les aspects de la création de logiciels, du développement aux tests et au déploiement. L'inclusion de la sécurité des API dans cette formation sera essentielle pour toute organisation qui souhaite inverser la tendance de l'exploitation des API d'ici 2022 et au-delà.

Cela dit, il existe quelques bonnes pratiques qui peuvent être mises en œuvre dès maintenant en termes de sécurité des API.

La première chose à faire est d'inclure des contrôles d'identité stricts pour toutes les API. Vous devriez presque les considérer comme des utilisateurs humains lorsque vous attribuez des autorisations. Tout simplement parce qu'une API est conçue uniquement pour exécuter une fonction spécifique, vous devez réfléchir à ce qui pourrait se passer si un attaquant parvenait à la compromettre. Envisagez d'utiliser un contrôle d'accès basé sur les rôles. Idéalement, vous devriez au final appliquer les principes de confiance zéro à vos API et à vos utilisateurs, mais le chemin est souvent long. Une bonne gestion des identités est un bon point de départ. Assurez-vous simplement d'inclure des API dans ce programme.

Vous devez également contrôler étroitement les différents appels effectués par vos API autant que possible. Si vous limitez ces appels à des requêtes très contextuelles, il sera beaucoup plus difficile pour un attaquant de les modifier à des fins malveillantes. Vous pouvez même superposer vos API, une API initiale effectuant un appel hautement contextuel à une autre API qui sait exactement ce qu'il faut rechercher et ce qu'il faut ignorer. Cela peut être un moyen efficace de limiter les fonctionnalités disponibles pour un acteur de la menace, même s'il est capable d'exploiter et de compromettre une API au sein de cette chaîne.

Les menaces qui pèsent sur les API peuvent certainement sembler insurmontables. Mais en mettant en œuvre les meilleures pratiques tout en aidant et en récompensant les développeurs qui deviennent des champions de la sécurité, la situation peut sembler bien moins désespérée. Avec une bonne formation et de l'entraînement, vous pouvez mettre en place un programme de sécurité robuste qui laisse peu de marge de manœuvre aux attaquants, même s'ils devaient d'une manière ou d'une autre compromettre l'un de vos outils d'API, minuscules mais essentiels.