Selon un récent rapport d’étude de Google Cloud, la moitié des organisations interrogées ont subi un incident de sécurité lié aux API au cours des 12 derniers mois.1 L’augmentation des attaques par prise de contrôle de comptes via les API accroît les risques pour l’entreprise, pouvant entraîner une perte de chiffre d’affaires et de confiance des clients, et accentue la pression sur les équipes applicatives chargées des mises en production en perturbant les processus de livraison, de déploiement et de maintenance.
Abordez les enjeux urgents de sécurité des API pour mieux appréhender le paysage des menaces
Alors que les organisations sont confrontées à la réalité des incidents de sécurité liés aux API, nombre d’entre elles recherchent des approches simples et concrètes pour anticiper les menaces sans perturber leurs processus opérationnels. Elles se demandent : « Quelles mesures prenons-nous pour analyser le trafic des API, détecter les bots et les abus, et empêcher les accès non autorisés susceptibles d’entraîner une fraude ou un vol de données ? »
Récemment, plusieurs développeurs d’applications et experts en sécurité ont participé à une discussion avec F5 et Google Cloud, consacrée aux moyens de contrer la menace de prise de contrôle de comptes, susceptible de faire des ravages par l’intermédiaire des nombreuses API de leurs applications.
Ce webinaire, intitulé « Contrecarrer la menace de prise de contrôle des comptes : participez à la discussion sur la sécurité des API », avait pour objectif d’aider les équipes DevOps et InfoSec à unir leurs forces pour relever efficacement ces défis liés à la sécurité des API. Les sujets abordés comprenaient :
- Le paysage actuel des menaces ciblant les API
- Pourquoi les anciennes techniques de détection des bots sont devenues inefficaces
- Moyens d’atténuer les risques d’atteinte à la marque et à la réputation
Si vous n’avez pas pu assister à la session en direct, pas d’inquiétude : vous pouvez en découvrir les temps forts dans cet article de blog et également accéder à l’enregistrement à la demande.
Se préparer, se protéger et réagir
Au fil de la discussion, nos intervenants ont expliqué comment les API peuvent engendrer des risques de sécurité et ce que les organisations peuvent faire pour prévenir les prises de contrôle de comptes via les API. Ils ont souligné que la surface d’attaque numérique s’est étendue de manière exponentielle en raison du très grand nombre d’API désormais utilisées, et que de nombreuses organisations ne disposent tout simplement pas de la visibilité nécessaire pour assurer une protection efficace. Pour obtenir une visibilité suffisante, nos experts ont invité les organisations à répondre aux questions suivantes :
- Quelles API existent dans notre environnement ?
- À quelles ressources ces API peuvent-elles accéder ?
- Qui utilise les API ?
- Quelles vulnérabilités métier spécifiques ces API exposent-elles ?
Pour lutter efficacement contre les cybermenaces exploitant les API, les organisations doivent déterminer comment permettre à leurs équipes DevOps, de sécurité de l’information et métier de collaborer au mieux afin de mettre en place des protections avant que les acteurs malveillants ne parviennent à prendre le contrôle des comptes utilisateurs. Un programme de cybersécurité efficace nécessite une stratégie globale comprenant les outils et les renseignements appropriés, un plan transversal solide, une collaboration efficace entre les équipes, la capacité à évaluer et à mesurer les progrès et le niveau de sécurité, ainsi que l’assurance nécessaire pour rendre compte en toute transparence à la direction et à l’ensemble de l’organisation de l’efficacité de la stratégie.
Pour renforcer les défenses, nos experts recommandent d’ajouter des protections lors du développement et de la livraison des applications, ainsi que d’intégrer une surveillance en temps réel après leur livraison. Les équipes peuvent ainsi réagir rapidement avant qu’un incident grave ne se produise. Cette approche globale et multicouche permet de collecter à grande échelle un ensemble de données issues du trafic réseau multicloud, des applications distribuées et des API, tout en distinguant automatiquement les comportements et activités légitimes de ceux qui sont malveillants.
En définitive, la sécurité des API repose sur une visibilité optimale et sur des renseignements en temps réel sur leur fonctionnement afin de gérer correctement chaque scénario.
Développez et protégez la croissance portée par les API
Les échanges qui ont eu lieu pendant le webinaire ont montré que de nombreux experts DevOps et InfoSec comprennent déjà l’importance de la sécurité des API et reconnaissent la nécessité de concilier une expérience client fluide avec une protection avancée contre la prise de contrôle de comptes automatisée à l’aide de bots. Toutefois, malgré cette prise de conscience, beaucoup peinent encore à trouver des moyens efficaces et évolutifs de relever ces défis.
Pour répondre à ces difficultés, les intervenants ont présenté plusieurs cas d’usage et études de cas mettant en lumière les bonnes pratiques de communication avec les principales parties prenantes chargées de protéger la croissance portée par les applications sur laquelle comptent leurs organisations. Ces tactiques consistent notamment à poser des questions stratégiques et ciblées, telles que :
Développement d’applications : Comment protégez-vous actuellement les API contre les attaques par prise de contrôle de comptes ? Comment vous assurez-vous que les API n’exposent pas les données des clients et ne créent pas de risques de non-conformité ?
Opérations de sécurité : Disposez-vous d’une visibilité complète sur les comptes susceptibles d’être vulnérables ? Êtes-vous en mesure de surveiller le trafic des API afin de détecter tout signe d’utilisation abusive ou de compromission ?
Opérations réseau : Comment sécurisez-vous le trafic des API sur l’ensemble de votre infrastructure réseau ? Êtes-vous préoccupé par des bots ou des scripts malveillants qui exploiteraient abusivement les API ?
Gestion de l’entreprise : La sécurité des comptes est essentielle pour préserver la confiance des clients et éviter les pertes de revenus liées aux transactions frauduleuses. Quels indicateurs suivez-vous concernant les failles de sécurité ?
Google et F5 donnent vie à la protection des API en temps réel lors de leur exécution
La plupart des menaces ciblant les API sont désormais automatisées. Elles s’adaptent rapidement aux changements dynamiques de l’environnement et évoluent pour contourner les protections et échapper à la détection avec toujours plus d’ingéniosité. Une sécurité des API efficace repose sur la capacité d’une organisation à intégrer des protections avancées et automatisées à son pipeline d’intégration et de livraison continues (CI/CD), à ses opérations, à son infrastructure et à ses workflows, sans nuire au processus de livraison ni à l’expérience utilisateur.
Google Cloud et F5 disposent des solutions et de l’expertise nécessaires pour aider les organisations à lutter de manière unifiée contre la fraude par prise de contrôle de comptes dans tous les environnements : centres de données, clouds et architectures. Les protections des API en temps réel lors de l’exécution permettent aux équipes DevOps et InfoSec de collaborer plus facilement afin de :
- Découvrir automatiquement les points de terminaison associés aux applications
- Définir et appliquer des listes d’autorisation ou de refus pour les connexions indésirables
- Analyser les données de télémétrie du réseau, des appareils et de l’environnement
- Détecter les comportements anormaux en temps réel
Nous vous invitons à découvrir les défis liés à la sécurité des API auxquels d’autres ont été confrontés, ainsi que les solutions qu’ils ont mises en œuvre, en accédant à l’enregistrement intégral à la demande du webinaire « Contrez la menace de prise de contrôle des comptes – Participez à la discussion sur la sécurité des API ». Nous sommes convaincus que vous y trouverez des réponses à bon nombre de vos questions concernant vos propres mesures de protection contre la prise de contrôle des comptes, tandis que vous cherchez à définir et à mettre en œuvre un programme de sécurité des API plus efficace.
Si vous avez d’autres questions, nous serons ravis d’en discuter avec vous. Contactez l’un des experts en protection des API de notre équipe F5 Distributed Cloud, et n’oubliez pas d’essayer le simulateur Web App and API Protection (WAAP) de F5 Distributed Cloud ici : https://simulator.f5.com/s/waap
Référence :
1 Google Cloud, Rapport de recherche 2022 sur la sécurité des API : dernières analyses et tendances clés, 2022
À propos de l’auteur
Articles de blog associés
F5 NGINXaaS pour Google Cloud : des applications résilientes et évolutives
Découvrez comment NGINXaaS s’intègre à Google Cloud pour renforcer les performances et la sécurité, et préparer vos applications critiques à un avenir propulsé par l’IA.
L’intégration de F5 Web Application Firewall (WAF) à AWS est disponible dès aujourd’hui
En faisant appel à un partenaire de déploiement AWS WAF tel que F5, vous pouvez renforcer la sécurité de vos applications web grâce à des règles personnalisées qui bloquent les schémas d’attaque courants, comme les injections SQL ou les attaques par scripts intersites (XSS).
Appliquer le principe de Peter Parker à l’inspection TLS
« Un grand pouvoir implique de grandes responsabilités. » Si l’on en trouve des échos chez Voltaire et Churchill, cette citation est surtout connue grâce aux bandes dessinées Spider-Man, où elle est attribuée à l’oncle Ben. Bien entendu, si cette phrase est si répandue dans la culture populaire, c’est notamment parce qu’elle peut s’appliquer à une multitude de situations et de sujets, y compris à l’inspection TLS.
Le NetOps a besoin de défenseurs, pas d’adversaires
Il est important de reconnaître que les équipes NetOps ne sont pas toujours celles qui font obstacle au déploiement de la dernière nouveauté, application ou service. Les freins à la rapidité sont souvent dus au fait que les organisations n’adoptent pas tous les principes du DevOps lorsqu’elles cherchent à transformer leurs opérations informatiques.
Mise à jour des services applicatifs : sécurité, rapidité et visiteurs suspects
Il est de nouveau temps de nous pencher sur les services applicatifs que les entreprises utilisent réellement pour rendre leurs applications plus rapides et plus sûres. On constate notamment une hausse du recours aux services de protection contre les bots, ainsi que la progression lente mais régulière de HTTP/2. Bien qu’il ne s’agisse pas d’une application…
Les templates prennent le contrôle du cloud
Les modèles s’imposent dans le cloud. Lisez le blog de F5 pour découvrir comment l’infrastructure en tant que code et les API déclaratives automatisent la mise à disposition des applications.