API是数据泄露的隐性原因
2023-11-21 09:57:2 Author: 黑白之道(查看原文) 阅读量:5 收藏

在数据泄露上,用户对API漏洞以及API安全事件可能产生的影响常常缺乏了解,因为API通常不是用户最终直接交互的技术,并且会在某种程度上隐藏起来,用户看不到它们的日常活动。

对于许多数据泄露来说,薄弱环节往往是API和围绕这些API的不适当的安全机制。

比如说,最近的MoveIT黑客活动在攻击的第二阶段有一个API组件,涉及对MoveIT API的反序列化滥用。这导致成千上万家公司被入侵,但API几乎只字未提,只以为SQL注入是导致数据泄露的主要原因。还有Twitter、Peloton、Optus和Medi Bank等其他同样引人注目的数据泄露事件都是由API安全事件造成的。

事实上,仅仅基于公开披露的内容,我们无法真正了解API安全问题的真实程度,但API安全事件在升级。

第二届年度API安全脱节研究表明,报告API安全事件的企业数量从2022年的76%上升到2023年的78%。由于方兴未艾的数字化转型趋势,加上API成为促进许多曾经不同的系统集成的粘合剂,API安全事件频发,以至于不能再忽视它们。

API安全是防止和应对源自API层面的攻击的一种实践,它是任何组织的整体安全策略中的一个关键支柱。API不仅使用户能够与应用程序交互,还便于其底层内部服务之间相互联系,为许多服务传输或存储敏感数据。因此,不安全的API为攻击者提供了入口点,会严重危及应用程序的安全状态。

最常见的API安全漏洞发生在开发过程中,这就是为什么“左移”测试理念是API安全的核心,因为它将API测试推向了软件开发的早期阶段。通过尽早测试且经常测试API漏洞,项目就可以减少代码缺陷的数量,并提高代码的质量。以下是几个会造成API安全漏洞的

•当请求可以访问或修改请求者不应该访问的数据时,如通过篡改请求中的标识符来访问另一个用户的帐户,就会发生对象层授权出问题的情况。

•如果没有实施最小权限原则,通常是由于访问控制策略过于复杂,就会发生函数层授权出问题的情况。它导致攻击者能够执行敏感命令或访问面向特权帐户的端点。

•如果身份验证过程被破坏,就会发生用户身份验证出问题的情况;攻击者可以一次性冒充甚至永久性冒充另一个用户。

•数据暴露过多。API对请求的响应通常返回过多的不必要数据,尽管数据可能不会显示给用户,但它可能很容易受到检查,可能导致敏感信息的潜在暴露。

•资产管理不当。API的开发和部署通常是快节奏的,在组织急于发布新的或更新的API时,通常会忽略完整的说明文档。这将导致数据暴露和幽灵端点,以及对旧的API如何工作缺乏了解。

•缺乏资源和利率限制。API端点通常对互联网开放,如果对请求的数量或大小没有限制,就很容易受到DoS和蛮力攻击。

•注入漏洞。如果没有正确解析和验证请求数据,攻击者可能会发起命令或SQL注入攻击来访问它,或者在未经授权的情况下执行恶意命令。

不幸的是,许多企业仍然没有重视API安全,它们认为,从API安全的角度来看,Web应用防火墙(WAF)已经绰绰有余了。

然而研究表明,WAF是主要的攻击途径之一。调查对象提到的主要原因或主要攻击途径是Web应用防火墙、网络防火墙和API网关。

WAF擅长过滤容易识别的威胁,但在检测不具备典型网络安全威胁属性的漏洞方面就不那么可靠了。从本质上讲,WAF缺乏威胁的真实性和背景。

许多企业还缺乏可见性,也没有完整的API清单,或者不知道哪些API返回敏感数据。许多公司常常不对其API进行实时或持续的测试,这意味着一周前发现安全的代码现在可能还存在漏洞。那么,企业应该做些什么来更好地保护其API呢?

企业应确保针对API库存拥有良好的加密、验证和可见性,定期审计、记录和保持警惕也很重要,这包括持续监控API,同时主动保护其环境,远离API安全漏洞、错误配置和设计缺陷的影响。

OWASP(开放Web应用程序安全项目)根据这些漏洞的可利用性和影响进行排名,列出了10个最严重的漏洞。OWAS Top 10刚发布最新的2023年版,企业应积极检查其API系统,以确保自己防住了所有的OWASP漏洞,可以使用静态验证和行为验证来评估每个类别的漏洞。

在我们的现代基础设施中,API变得愈加重要。开发人员知道敏捷性是企业成长和生存的关键,而API又是获得实现这一目标所需的速度和灵活性的关键。因此,确保API安全至关重要。

文章来源:嘶吼专业版

黑白之道发布、转载的文章中所涉及的技术、思路和工具仅供以安全为目的的学习交流使用,任何人不得将其用于非法用途及盈利等目的,否则后果自行承担!

如侵权请私聊我们删文

END


文章来源: http://mp.weixin.qq.com/s?__biz=MzAxMjE3ODU3MQ==&mid=2650582412&idx=2&sn=4c9828c7f977d4ad7508e4fd928c3603&chksm=83bdc868b4ca417e8b5756f10583f0e6de3263e30d4ba6b40c8dfb23da1239d6f97a5f16d59b&scene=0&xtrack=1#rd
如有侵权请联系:admin#unsafe.sh