Maintenant que vous comprenez l’importance de la sécurité des API…

F5

(Pour un aperçu rapide de l’essor de la sécurité des API en tant que sujet d’actualité dans le secteur, consultez ce récent article de blog. Les recommandations ci-dessous s’inscrivent dans sa continuité et présentent les mesures que vous pouvez prendre.)

Complétez votre passerelle API par une passerelle de sécurité

La croissance fulgurante des API stimule l’émergence de nouveaux marchés, tant pour les passerelles d’API que pour la sécurité des API. Bien que ces marchés puissent converger à l’avenir, vous pouvez aujourd’hui placer un pare-feu d’applications web (WAF) performant devant votre passerelle d’API afin de limiter les menaces. Les WAF peuvent bloquer le trafic malveillant connu avant qu’il n’atteigne votre passerelle d’API grâce à des fonctionnalités prêtes à l’emploi telles que la veille sur les adresses IP, les signatures d’attaque, la détection des bots malveillants et les ensembles de règles de l’OWASP Top 10. Les WAF plus avancés, tels que F5 Advanced WAF, disposent de fonctionnalités dédiées et permettent de personnaliser les politiques de sécurité afin de protéger plusieurs API au sein d’un même domaine, plutôt que d’appliquer un unique ensemble de règles global à l’ensemble du domaine.

Pour répondre aux besoins actuels et émergents, voici trois éléments à retenir :

1. Les passerelles API sont devenues des points de contrôle stratégiques. Alors que les évolutions technologiques génèrent toujours plus de trafic non humain, l’API devient le point névralgique de l’entreprise. Situées en périphérie, les passerelles API constituent le point d’entrée de l’ensemble du trafic API. Pour être efficace, la sécurité des API nécessite davantage de contexte, des analyses plus poussées, l’identification des appelants et des capacités de corrélation.
   
   
2. L’écart entre les offres de passerelles API et celles de sécurité des API est considérable. Les fournisseurs traditionnels de solutions de sécurité des applications ne proposent pas les fonctionnalités minimales d’une passerelle API, telles que la gestion des versions, l’orchestration et la mesure de l’utilisation. La plupart des solutions de passerelle API ne disposent pas des contrôles de sécurité standard proposés par la majorité des solutions WAF. Vous aurez besoin des deux pour bénéficier de fonctionnalités et d’une sécurité adéquates.
   
   
3. Cette lacune peut être comblée grâce à une passerelle de sécurité. L’ajout d’un WAF avancé doté de fonctionnalités de protection des API peut contribuer à pallier les failles de sécurité de la plupart des passerelles API. F5 Advanced WAF a étendu ses fonctionnalités de sécurité aux API et aux microservices. Bien qu’il ne puisse pas remplacer les fonctionnalités étendues d’une passerelle API, il peut améliorer et appliquer les contrôles de sécurité courants. F5 Advanced WAF prend également en charge les API déclaratives, ce qui permet d’orchestrer et d’automatiser les politiques de sécurité des API dans les environnements agiles.
   

Les passerelles de sécurité peuvent compenser les failles de sécurité, mais ne relâchez pas votre vigilance

À mesure que la technologie gagnera en maturité, les passerelles d’API permettront de répondre à d’autres problématiques de sécurité des API, mais nous n’en sommes pas encore tout à fait là. À court terme, une planification rigoureuse et l’application des bonnes pratiques contribueront grandement à assurer une protection adéquate de vos API. Pour protéger efficacement vos API, n’oubliez pas de :

1. Utilisez systématiquement une passerelle de sécurité. N’autorisez pas les clients à accéder directement à votre API sans authentification. Faites transiter tout le trafic par une passerelle de sécurité ou un proxy capable de bloquer le trafic malveillant connu. Utilisez votre WAF existant si vous en avez un. Même un WAF basique peut faire l’affaire en attendant que vous envisagiez une solution plus complète.
   
   
2. Faites simple. Demandez aux équipes DevOps et SecOps de convenir d’un ensemble de normes (par exemple, OpenAPI/Swagger) pour développer des API. Ces normes vous aideront à documenter et à tester vos API. OpenAPI 3.0 comporte des composants de sécurité dédiés qui peuvent être réutilisés pour faciliter la mise en œuvre d’une conception sécurisée. L’utilisation des normes OpenAPI permet également de recourir à des outils d’audit et de vérification de la conformité tels que Crunch42, afin d’automatiser les tests de conception et de sécurité.
   
   
3. Définissez les exigences de sécurité. Le périmètre des exigences d’une API se limite généralement aux fonctionnalités souhaitées, c’est-à-dire à définir ce que l’API doit être capable de faire. Les exigences de l’API doivent également inclure des exigences de sécurité (ce que l’API ne doit PAS être capable de faire). Lorsque la sécurité est intégrée aux spécifications de conception, elle fait partie des tests fonctionnels de l’API.
   
   
4. Créer des modèles de menaces pour les services d’API – clients et serveurs d’API. La modélisation des menaces du système proposé permettra d’identifier les principaux actifs et composants, ainsi que les catégories de menaces. Des exigences de sécurité peuvent ensuite être ajoutées à la conception afin d’atténuer les menaces identifiées. Veillez à ce que les contrôles soient conformes au modèle de risque souhaité pour l’API et l’application.
   
   
5. Déléguer l’authentification et l’autorisation. Utilisez la passerelle d’API pour bénéficier de mécanismes modernes d’authentification et d’autorisation. Toutes les API doivent intégrer une authentification lors de leur déploiement. Il n’est pas nécessaire d’implémenter celle-ci dans l’application elle-même (et ce n’est pas une bonne pratique, car le transfert direct de trafic non authentifié vers l’API peut exposer cette dernière à des attaques). Plusieurs formes d’authentification peuvent être utilisées, et une approche fondée sur les risques peut vous aider à faire votre choix. OAuth 2.0 est généralement considéré comme l’une des meilleures options pour les API REST. F5 BIG-IP APM constitue une bonne solution pour mettre en œuvre ces contrôles.
   
   
6. Chiffrez tout. Il n’y a aucune excuse pour ne pas utiliser le chiffrement. Le taux d’utilisation de SSL/TLS approche les 100 % pour l’ensemble du trafic Internet. Tout le trafic des API publiques doit être chiffré. Si possible, utilisez des clés éphémères pour renforcer la sécurité (vous vous souvenez de Heartbleed ?). Si votre passerelle API ne peut pas gérer la charge de travail cryptographique pour des raisons de performances ou de coût, envisagez de la transférer vers un système dédié tel que F5 SSL Orchestrator.
   
   
7. Découragez la « créativité » des développeurs en matière de sécurité. Il est difficile de mettre correctement en œuvre la sécurité ; la communauté de la sécurité s’y emploie depuis des décennies, et pourtant, nous continuons à découvrir des failles. Même si vos développeurs sont brillants, méfiez-vous tout particulièrement s’ils inventent des contrôles de sécurité personnalisés, comme un nouveau modèle de chiffrement. Pour éviter ce type de « créativité » en matière de sécurité, veillez à fournir aux équipes DevOps des contrôles de sécurité de référence standardisés et rigoureusement éprouvés. Si des contrôles de sécurité spécifiquement adaptés sont nécessaires, l’équipe SecOps doit être consultée.

L’utilisation des API peut être porteuse de transformations en permettant l’émergence de nouveaux modèles économiques et de nouvelles sources de revenus. Toutefois, lorsqu’elles sont mises en œuvre sans garde-fous adéquats, les API peuvent également perturber les activités et exposer les entreprises à des risques. Bien que la sécurité des API puisse encore être considérée comme un domaine technologique relativement émergent, les pratiques décrites ci-dessus peuvent contribuer à combler les lacunes actuelles en matière de sécurité des API, à mesure que les solutions connexes gagnent en maturité.

À propos de l’auteur

F5

Autres articles de F5