La récente divulgation par T-Mobile d’une violation de données met en lumière les défis liés au « Far West » en plein essor de la sécurité des applications : les API. Une personne (ou un groupe) a pu recueillir les données personnelles de plus de 30 millions de clients en utilisant (ou en détournant) une API, et ainsi extraire quotidiennement des informations pendant plus d’un mois avant d’être détectée.
À l’heure où nous écrivons ces lignes, peu de détails sont connus sur la manière exacte dont l’API a été détournée dans cette affaire ou sur les raisons de ce détournement (par exemple, utilisation abusive d’une fonctionnalité, défaillance du contrôle des autorisations au niveau des objets, exposition excessive de données), ni sur la façon dont la fuite a finalement été découverte. À en juger uniquement par les chiffres, les données de 902 000 clients ont été extraites en moyenne chaque jour via cette API, sans déclencher de seuils de limitation du débit, d’anomalies comportementales dans les séries temporelles, etc. À moins que ces mécanismes ne se soient déclenchés, mais sans atteindre un niveau de menace suffisant pour permettre une détection rapide et la mise en œuvre de mesures d’atténuation par les équipes opérationnelles : tout porte à croire qu’il s’agissait d’une attaque lente et discrète.
Les violations de données de ce type nous donnent l’occasion de réfléchir à l’omniprésence des API, à leur importance cruciale pour les organisations aujourd’hui et au rôle unique qu’elles peuvent jouer dans la sécurité (ou l’insécurité) de toute application et, par conséquent, de toute une organisation. Dans une analyse des violations de données survenues ces dernières années, F5 Labs a constaté que, dans la plupart des scénarios où les incidents sont liés aux API, la méthode d’intrusion est techniquement très simple et cible des points de terminaison d’API accessibles au public et mal sécurisés.
En matière d’API, la sécurité est plus facile à dire qu’à faire (du moins, à bien faire). Face au flot de données relatives aux événements de sécurité des applications, générées par le nombre croissant d’applications et de points de terminaison que la plupart des organisations surveillent aujourd’hui, il semble impossible de garder le contrôle sur tout.
Cependant, cette attaque met en lumière trois éléments fondamentaux propres à la sécurité des API, dont toutes les organisations peuvent tirer des enseignements afin de privilégier des technologies et des services offrant :
Visibilité et découverte des API. Dans ce cas, il n’est pas certain que cette API spécifique ait été connue ou activement surveillée. La sécurité positive, qui repose sur des API développées de manière sécurisée et bien documentées, avec une fonctionnalité d’application des schémas, est essentielle, mais elle ne représente que la moitié de la solution. Il est probable que la plupart des organisations ne maîtrisent pas l’ensemble des API actives dans leur environnement. Il est donc primordial de pouvoir détecter et cartographier en permanence les API qui ne sont pas encore documentées sur l’ensemble des voies de communication d’une application. Les technologies de découverte permettent aux organisations de cartographier l’intégralité de leur écosystème d’API, en mettant au jour les API inconnues ou fantômes, les API abandonnées ou zombies à bloquer ou supprimer, ainsi que toute API « légitime » inconnue qui devrait être soumise à une gouvernance, afin d’assurer une supervision plus complète.
Savoir qu’une API existe et disposer de fonctionnalités de contrôle d’accès sont deux éléments essentiels de la sécurité des API. Dans notre Rapport 2022 sur l’état de la stratégie applicative, 68 % des personnes interrogées ont classé l’authentification et l’autorisation comme les composantes les plus importantes de la sécurité des API, suivies de près par l’analyse comportementale et la détection des anomalies pour surveiller les API, détecter les comportements anormaux et les abus potentiels, et émettre des alertes, car les acteurs malveillants peuvent facilement contourner l’authentification et l’autorisation de nombreuses façons. Dans ce scénario, les données échangées entre l’API et le client devaient présenter une anomalie. Le suivi du comportement d’une API au fil du temps, une fois celle-ci mise en production, comprend généralement l’analyse des requêtes API et la détection des anomalies dans les séries chronologiques afin d’établir des profils comportementaux de référence permettant de repérer les anomalies dans la fréquence des requêtes, les erreurs, la latence, le débit, etc. Avec cette fonctionnalité, un mécanisme d’alerte est indispensable pour signaler les hausses ou les baisses inattendues, les schémas de trafic inhabituels ou les requêtes API anormales.
Pour compléter une pile moderne de sécurité des API, il est nécessaire de disposer d’un moteur intégré d’application des règles de sécurité des applications et des API, comprenant très probablement un WAF doté de plusieurs couches de fonctionnalités de sécurité applicative, telles que l’application granulaire de politiques de couche 7 avec limitation du débit, réputation des adresses IP, listes d’autorisation et de blocage, ainsi qu’une protection contre les attaques DoS de couche 7, avec des capacités permettant d’analyser plus en détail les points de terminaison, les utilisateurs et les autres activités malveillantes, puis d’agir en conséquence. Les équipes d’exploitation peuvent ainsi identifier rapidement et facilement les abus présumés des API à mesure que des anomalies sont détectées, et créer des politiques pour y mettre fin, afin de mieux protéger les API et les points de terminaison des applications au fil de leur évolution et des changements de comportement.
D’autres informations seront certainement révélées au fil du temps, à mesure que nous comprendrons précisément ce qui s’est passé lors de cette violation particulière. Il est toutefois essentiel que les organisations s’appuient sur ces trois éléments pour évaluer et mieux élaborer un plan visant à protéger leurs applications et leurs points de terminaison d’API contre ce type d’abus.
En savoir plus sur les défis liés à la sécurité des API et découvrir des conseils pour le développement d’applications modernes et la sécurité des API
Ce rapport de Forrester sur l’« insécurité des API » met en lumière les défis croissants liés au développement d’applications modernes et à la sécurité des API, et fournit des conseils pour intégrer la sécurité aux workflows modernes de développement d’applications et d’API.
À propos de l’auteur
Articles de blog associés
F5 NGINXaaS pour Google Cloud : des applications résilientes et évolutives
Découvrez comment NGINXaaS s’intègre à Google Cloud pour renforcer les performances et la sécurité, et préparer vos applications critiques à un avenir propulsé par l’IA.
L’intégration de F5 Web Application Firewall (WAF) à AWS est disponible dès aujourd’hui
En faisant appel à un partenaire de déploiement AWS WAF tel que F5, vous pouvez renforcer la sécurité de vos applications web grâce à des règles personnalisées qui bloquent les schémas d’attaque courants, comme les injections SQL ou les attaques par scripts intersites (XSS).
Appliquer le principe de Peter Parker à l’inspection TLS
« Un grand pouvoir implique de grandes responsabilités. » Si l’on en trouve des échos chez Voltaire et Churchill, cette citation est surtout connue grâce aux bandes dessinées Spider-Man, où elle est attribuée à l’oncle Ben. Bien entendu, si cette phrase est si répandue dans la culture populaire, c’est notamment parce qu’elle peut s’appliquer à une multitude de situations et de sujets, y compris à l’inspection TLS.
Le NetOps a besoin de défenseurs, pas d’adversaires
Il est important de reconnaître que les équipes NetOps ne sont pas toujours celles qui font obstacle au déploiement de la dernière nouveauté, application ou service. Les freins à la rapidité sont souvent dus au fait que les organisations n’adoptent pas tous les principes du DevOps lorsqu’elles cherchent à transformer leurs opérations informatiques.
Mise à jour des services applicatifs : sécurité, rapidité et visiteurs suspects
Il est de nouveau temps de nous pencher sur les services applicatifs que les entreprises utilisent réellement pour rendre leurs applications plus rapides et plus sûres. On constate notamment une hausse du recours aux services de protection contre les bots, ainsi que la progression lente mais régulière de HTTP/2. Bien qu’il ne s’agisse pas d’une application…
Les templates prennent le contrôle du cloud
Les modèles s’imposent dans le cloud. Lisez le blog de F5 pour découvrir comment l’infrastructure en tant que code et les API déclaratives automatisent la mise à disposition des applications.