Les risques et défis de sécurité des API modernes résolus grâce aux solutions de protection des applications Web et des API (WAAP)

Bien que les WAF soient des outils précieux pour la sécurité des API , tous les WAF ne sont pas créés égaux, certains présentant des limites en matière de protection des API. Ces limitations pourraient inclure :

• Gestion des autorisations d'API complexes : Les API utilisent souvent des mécanismes d’autorisation plus complexes au-delà de l’authentification traditionnelle basée sur la session utilisée dans les applications Web. Les WAF peuvent avoir du mal à gérer des schémas d’autorisation complexes tels que OAuth 2.0, JWT (jetons Web JSON) ou l’authentification personnalisée basée sur des jetons.
• Analyse des variations de protocole et de charge utile : Les API peuvent utiliser différents protocoles (REST, GraphQL, SOAP) et formats de charge utile (JSON, XML) avec différentes structures de données et schémas. Les WAF peuvent avoir un support limité pour l’analyse et la validation de ces variations, ce qui peut entraîner une visibilité limitée et davantage de faux positifs (ou de faux négatifs) dans la détection des menaces.
• Limitation du débit : Limiter le débit des API est essentiel pour éviter les abus et l'épuisement des ressources API. Les WAF rencontrent souvent des difficultés à restreindre précisément le trafic API, car les requêtes évoluent constamment et la limitation doit s’appuyer sur des paramètres propres à chaque API.
• Informations sur les attaques spécifiques aux API : Les API sont sensibles à des vecteurs d’attaque spécifiques tels que la pollution des paramètres, les attaques par injection spécifiques aux API ou les scénarios d’abus d’API. Les WAF peuvent ne pas disposer de règles ou d’heuristiques spécialisées pour détecter et atténuer efficacement ces attaques spécifiques aux API.
• Fonctionnalité de gestion des API : Les WAF se concentrent principalement sur les aspects de sécurité et peuvent manquer des capacités complètes de gestion des API requises pour la gouvernance des API, la documentation, le contrôle de version et les fonctionnalités du portail des développeurs.

Il est important de noter que même si les WAF restent la pierre angulaire de la sécurité des applications et constituent une couche fondamentale pour la protection des API, il faut faire plus. Les organisations envisagent et mettent en œuvre diverses approches, pour diverses raisons : coût, complexité, idées fausses et malentendus sur la manière de sécuriser correctement les API , etc. De nombreuses organisations augmentent leurs WAF existants avec des passerelles API pour créer, gérer et publier leurs API tout en appliquant des politiques d'utilisation et en contrôlant l'accès. Il s’agit d’un bon point de départ, mais il reste encore de nombreuses lacunes dans la posture de sécurité des API.

Alors, quelle est la prochaine étape ? Comment gérer les API inconnues/fantômes ? Qu'en est-il du contrôle granulaire des points de terminaison des API ? Qu’en est-il des API tierces que vous ne contrôlez pas nécessairement ? Relevons le défi avec les API inconnues… fantômes. Ces éléments peuvent amener une organisation à rechercher un outil spécialisé de découverte et de vulnérabilité des API à ajouter au mix alors qu'elle s'efforce de couvrir toutes les bases des API.

Vous comprenez où cela mène ? La complexité augmente très rapidement. Certaines organisations disposent de budget, d’expertise et de ressources et privilégient une approche best-of-breed, mais pour la plupart, couvrir la surface des menaces en matière de sécurité des API par un panachage de solutions différentes ne fait que renforcer l’un des plus grands défis : LA COMPLEXITÉ. Ajouter davantage de solutions ponctuelles devient vite ingérable, et complique aussi la surveillance et la visibilité efficaces.

Entrez dans les solutions de protection des applications Web et des API (WAAP) . Pourquoi empileriez-vous davantage de technologies indépendantes, probablement issues de différents fournisseurs, et qui ne corrélent pas de manière cohérente les informations à votre écosystème de sécurité d'applications déjà complexe ? D’où l’évolution vers (et le développement des) offres WAAP. Les solutions WAAP modernes peuvent faire partie de la réponse aux besoins de sécurité des environnements d'applications modernes, basés sur des microservices, multicloud et hybrides, en combinant les capacités des WAF traditionnels avec des fonctions spécialisées essentielles pour la surveillance et la sécurisation des API, le tout dans une solution consolidée (souvent fournie en tant que SaaS).