约66%的公司企业表示,由于API安全问题,已延缓在生产环境中部署应用。

近几个月来,研究人员第二次警示不安全应用编程接口(API)对企业安全造成的威胁。

去年11月,咨询公司佛瑞斯特研究就警告称,公司企业未能像对付应用程序漏洞一样处理API漏洞,并因此造成自身越来越暴露在API相关安全漏洞的威胁之下。

今年3月初,安全公司Salt Security发布API安全报告,报告综合了该公司针对200名IT及安全人员的调查反馈和来自该公司客户的实证数据。

结果显示,91%的受访公司企业去年经历过API相关问题。超过半数(54%)的受访企业在其API中发现了漏洞,46%的受访企业出现了身份验证问题,而20%指出了爬虫和数据抓取工具引发的问题。

Salt Security副总裁Michelle McLean称:“2020年最普遍的API安全事件就是在生产环境API中发现漏洞。”

调查结果显示,尽管公司企业开始应用安全左移原则,尽量在开发生命周期早期阶段就集成安全控制措施,但这项工作仍未做到位。

“公司企业需补强在构建和部署运行时安全的过程中所用的安全战术。”

普遍程度仅次于生产环境API漏洞的安全事件主要围绕身份验证问题,攻击者能够以某种方式玩弄身份验证机制,获取敏感数据。其他常见问题还包括账户滥用和拒绝服务攻击,也就是攻击者发起足量受控API流量中断API背后应用的正常运行。

McLean指出:“API是公司企业的一大风险来源。攻击者目前正大肆利用API,而现有策略和技术并不足以提供充分的保护。”

应用和应用组件能够借助API在内部网络上相互通信,且照目前趋势看来,应用和应用组件之间的通信将更多依赖API在互联网上进行。最初,API一般用在安全私有网络和信道上。如今,越来越多的公司企业利用API将内部应用和原有系统及服务通过互联网共享给客户、合作伙伴、供应商和其他第三方。公司企业用于内部应用互联和连接外部世界的API可能多达成百上千个。安全分析师曾经指出,如果防护不周,API相当于为外部人员访问公司关键数据和应用提供了直接通道。

攻击者最常用的API漏洞利用手法,是篡改用户身份标识(ID)号等API可能有权访问的对象。

McLean举例称:“攻击者通过身份验证登录应用,用他们自己的ID发起通信,然后在一系列后续API调用中将此用户ID对象改成另一个用户ID。然后他们就能访问与此另一ID相关联的敏感信息了。”

▶ API安全阴霾笼罩

Salt Security的调查发现,由于API安全相关的顾虑,三分之二的公司企业放缓了往生产环境推出新应用的脚步。该公司的客户数据显示,从去年6月到12月,每月每客户遭遇的API攻击数量从50次骤增到80次。另外,Salt Security客户的月度平均API调用规模增长51%的同时,恶意流量却暴增了211%。

McLean表示,攻击者利用这些恶意API流量来染指API连接的数据,或者中断API赋能的服务。举个例子,攻击者会在API调用期间修改账户号,或者操纵API调用插入成百上千个可能的凭证,以期匹配几个已有真实凭证。

Salt Security的调查还反映出,即使趋势明显,很多公司企业对待此类问题的态度还是相对无动于衷:超过四分之一(27%)的受访企业承认根本没有应对API安全问题的策略,54%的受访企业认为自己的策略最多达到基础水平。83%的受访企业坦陈不了解自身API使用情况,82%不确定自己是否清楚那些暴露PII、持卡人信息和其他敏感信息的API。

超过20%的受访企业承认无法了解到底哪些API暴露了个人可识别信息,还有很多企业表示自身最大的顾虑是网络上普遍存在过时僵尸API。

McLean认为,解决这些问题需要一套完备的API安全策略。这意味着建立起保护整个API生命周期的机制。公司企业需设置在构建阶段、部署阶段和生产环境运行阶段验证API的控制措施。

此外,还应考虑培育API编写团队和API所连数据与服务的安全防护团队之间的协作。

“开发人员不具备安全团队那种‘攻击者思维’,而安全团队并不天天编程,不像开发人员那么熟悉API结构。”

只有确保两个团队相互协作,才能充分保护好企业API。

Salt Security调查报告:https://salt.security/api-security-trends

来源:数世咨询