Le paysage numérique évolue constamment, tout comme les menaces qui pèsent sur le secteur public et les infrastructures critiques nationales. Des attaques récentes et bien documentées, telles que la violation de sécurité du département du Trésor des États-Unis à la fin de l’année dernière et le piratage de l’opérateur de réseau T-Mobile révélé en 2023, nous rappellent brutalement l’ampleur des vulnérabilités.
Et de plus en plus, ces vulnérabilités se trouvent au sein des interfaces de programmation d’applications, ou API. Gartner a d’ailleurs récemment prédit que les API deviennent le principal vecteur d’attaque pour les applications web, et mon expérience confirme cette tendance.
Lors de l’AppWorld Public Sector Symposium de cette semaine, qui débutera demain à Tysons Corner, en Virginie, nous aborderons la protection des API, ainsi que d’autres tendances émergentes en matière de mise à disposition et de sécurité des applications. Cet événement constitue une occasion essentielle d’examiner ces enjeux et d’explorer des solutions efficaces.
Révéler la menace des API fantômes
L’un des plus grands défis que je constate régulièrement est le manque de visibilité sur les vulnérabilités du réseau. De nombreuses organisations ignorent tout simplement combien d’API elles utilisent. Nous avons mené des opérations de recensement des API pour des clients qui pensaient en avoir une centaine, pour finalement en découvrir près de 30 000 ! Cette situation n’a rien d’inhabituel et présente un risque majeur pour la sécurité.
Les API évoluent dans des écosystèmes complexes, dissimulées au sein d’un assemblage hétéroclite d’architectures, de composants, de types et de protocoles. En moyenne, les organisations utilisent plus de 20 000 API. D’ici 2030, le nombre total d’API utilisées dans les secteurs public et privé devrait dépasser les 2 milliards. Les difficultés liées à leur gestion et à leur sécurisation découlent le plus souvent d’un manque de documentation ou de problèmes de détection.
“La complexité de la gestion des API dans plusieurs clouds peut facilement submerger les équipes de sécurité qui ne disposent pas d’une vue d’ensemble de toutes les API et de leur niveau de sécurité.”
Ce phénomène de « shadow IT », caractérisé par la prolifération d’API inconnues ou non gérées, crée un terrain propice aux vulnérabilités. Ces API sont souvent dépourvues de contrôles de sécurité adéquats, ce qui en fait des cibles faciles pour les acteurs malveillants. C’est comme si vous laissiez les portes et les fenêtres de votre maison déverrouillées : une invitation ouverte à tous ceux qui souhaitent s’y introduire.
Comprendre l’exploitation des API et les vecteurs d’attaque
Les API sont de plus en plus souvent prises pour cible par des acteurs étatiques comme par des organisations cybercriminelles. Les API gouvernementales et liées à la défense sont tout aussi vulnérables que celles accessibles au public. Elles constituent même sans doute des cibles encore plus attrayantes en raison des données sensibles qu’elles traitent.
Les API peuvent servir de points d’entrée pour mener des attaques plus profondes au sein des réseaux. Une API compromise peut donner accès aux systèmes internes, aux bases de données et à d’autres ressources critiques. C’est comme découvrir un passage secret menant au cœur de votre organisation. Comme l’a montré le cas de T-Mobile, l’opérateur de télécommunications américain, les acteurs malveillants peuvent exploiter les vulnérabilités des API pour accéder sans autorisation à des données confidentielles ayant de la valeur sur le dark web. Dans cette affaire, les attaquants ont dérobé les informations personnelles associées à 37 millions de comptes clients actifs.
Pour compliquer encore les choses, une organisation peut ne pas maîtriser pleinement toutes les API qui interagissent avec ses systèmes.
Les pirates qui ont ciblé le département du Trésor des États-Unis ont réussi à s’introduire dans ses systèmes en exploitant une vulnérabilité dans un composant logiciel tiers — ironiquement, un logiciel qui faisait partie de son dispositif de cyberdéfense. Ces attaques contre la chaîne d’approvisionnement peuvent toucher des organisations de toute taille et de tout statut, comme l’illustrent de nombreux exemples très médiatisés, tels que l’attaque Solar Winds et les opérations du groupe Volt Typhoon.
Des mesures robustes de sécurité des API exigent de ne négliger aucun aspect. Notre rapport « État des stratégies applicatives 2024 : sécurité des API » révèle quelles API semblent les plus exposées aux risques, lesquelles échappent souvent aux dispositifs de protection, et comment les modèles et les responsabilités en matière de sécurité des API devront peut-être évoluer pour garantir leur sécurité à l’ère de l’IA. Attention, divulgâchage : la sécurité Zero Trust a elle aussi un angle mort, à moins d’intégrer également les API.
L’IA peut-elle devenir votre alliée pour sécuriser vos API ? Exploitez une défense optimisée par l’IA
L’IA aggrave les risques liés à la sécurité des API, mais contribue également à les atténuer. Gartner estime que l’adoption de l’IA sera à l’origine de plus de 30 % de l’augmentation de la demande d’API d’ici 2026, en raison du nombre d’API dont les grands modèles de langage ont besoin pour collecter et échanger des données. Chaque API nécessite une documentation et des mesures de sécurité, ce qui crée une multitude d’opportunités pour les acteurs malveillants.
Heureusement, les organisations ne sont pas sans défense, et l’IA s’impose comme un puissant outil de protection. L’IA et l’apprentissage automatique peuvent analyser le trafic des API en temps réel afin de détecter des anomalies et des comportements suspects qu’il serait impossible pour des humains de repérer manuellement.
L’IA peut classifier les API, comprendre les schémas de comportement habituels et signaler les utilisations abusives ou les vulnérabilités de sécurité potentielles. Elle peut également servir à générer dynamiquement des politiques de sécurité, afin de s’adapter à l’évolution des menaces et de garantir la protection permanente de vos API. C’est comme si un agent de sécurité intelligent et infatigable surveillait en permanence le trafic de vos API.
Assurer une protection cohérente dans tous les environnements
Les organismes du secteur public s’appuient aujourd’hui sur des environnements hybrides et multicloud — avec AWS, Azure, Google Cloud et d’autres — pour gagner en évolutivité et en résilience, mais cela complique également la sécurisation des API. Les différences intrinsèques entre les fournisseurs de cloud, qui disposent chacun de leurs propres outils et configurations de sécurité, entraînent une posture de sécurité fragmentée. S’appuyer uniquement sur les mécanismes de sécurité natifs du cloud laisse des failles que les attaquants s’empressent d’exploiter. C’est comme tenter de défendre un château avec différentes armées qui ne se coordonnent pas.
La complexité de la gestion des API dans plusieurs clouds peut facilement submerger les équipes de sécurité qui ne parviennent pas à obtenir une vue d’ensemble de toutes les API et de leur niveau de sécurité. Pour relever ce défi, une approche unifiée est nécessaire, à commencer par un ensemble unique et cohérent de politiques de sécurité applicables à tous les clouds, couvrant notamment l’authentification et les autorisations. Il est également essentiel de standardiser les contrôles de sécurité afin de garantir partout un niveau de protection minimal.
Les tests de sécurité automatisés intégrés au cycle de développement des API permettent également d’identifier rapidement les vulnérabilités. La surveillance en temps réel et la détection des menaces offrent une meilleure visibilité et permettent de réagir rapidement aux incidents, tandis qu’un système robuste de gestion des identités et des accès (IAM) contrôle l’accès aux API et que des politiques claires de gouvernance des API garantissent des pratiques de sécurité cohérentes.
La sécurisation des API dans un environnement multicloud exige une approche proactive, centralisée et standardisée. En appliquant ces principes, les organismes modernes du secteur public et les opérateurs d’infrastructures critiques peuvent atténuer les risques et garantir la sécurité continue de leurs API. En définitive, il s’agit de mettre en place une défense robuste et adaptable face à des menaces en constante évolution.
Vous souhaitez en savoir plus ? Écoutez le récent épisode du Federal Tech Podcast dans lequel je m’entretiens avec John Gilroy. Consultez également la page web F5 Public Sector Solutions.
À propos de l’auteur
Articles de blog associés
F5 NGINXaaS pour Google Cloud : des applications résilientes et évolutives
Découvrez comment NGINXaaS s’intègre à Google Cloud pour renforcer les performances et la sécurité, et préparer vos applications critiques à un avenir propulsé par l’IA.
L’intégration de F5 Web Application Firewall (WAF) à AWS est disponible dès aujourd’hui
En faisant appel à un partenaire de déploiement AWS WAF tel que F5, vous pouvez renforcer la sécurité de vos applications web grâce à des règles personnalisées qui bloquent les schémas d’attaque courants, comme les injections SQL ou les attaques par scripts intersites (XSS).
Appliquer le principe de Peter Parker à l’inspection TLS
« Un grand pouvoir implique de grandes responsabilités. » Si l’on en trouve des échos chez Voltaire et Churchill, cette citation est surtout connue grâce aux bandes dessinées Spider-Man, où elle est attribuée à l’oncle Ben. Bien entendu, si cette phrase est si répandue dans la culture populaire, c’est notamment parce qu’elle peut s’appliquer à une multitude de situations et de sujets, y compris à l’inspection TLS.
Le NetOps a besoin de défenseurs, pas d’adversaires
Il est important de reconnaître que les équipes NetOps ne sont pas toujours celles qui font obstacle au déploiement de la dernière nouveauté, application ou service. Les freins à la rapidité sont souvent dus au fait que les organisations n’adoptent pas tous les principes du DevOps lorsqu’elles cherchent à transformer leurs opérations informatiques.
Mise à jour des services applicatifs : sécurité, rapidité et visiteurs suspects
Il est de nouveau temps de nous pencher sur les services applicatifs que les entreprises utilisent réellement pour rendre leurs applications plus rapides et plus sûres. On constate notamment une hausse du recours aux services de protection contre les bots, ainsi que la progression lente mais régulière de HTTP/2. Bien qu’il ne s’agisse pas d’une application…
Les templates prennent le contrôle du cloud
Les modèles s’imposent dans le cloud. Lisez le blog de F5 pour découvrir comment l’infrastructure en tant que code et les API déclaratives automatisent la mise à disposition des applications.