Gardez une longueur d’avance sur les risques liés à la sécurité des API grâce à notre dernière version des services F5 Distributed Cloud

Ian DinnoResponsable senior du marketing produit | F5

Alors que les API continuent de s’imposer comme la pierre angulaire des applications modernes, en particulier celles basées sur l’IA, les organisations sont confrontées à des défis croissants pour les protéger contre les nouveaux risques de sécurité. Garantir leur visibilité, détecter les vulnérabilités et assurer une protection robuste sont des impératifs pour toute entreprise dont l’activité repose sur les API.

Dans le cadre de la F5 Application Delivery and Security Platform (ADSP), à l’occasion de notre dernière version des services F5 Distributed Cloud, nous lançons de nombreuses améliorations conçues pour relever directement ces défis avec davantage de flexibilité et d’efficacité. Cette version propose de nouvelles options prometteuses de découverte des API, des scénarios de test étendus et des capacités de détection renforcées, le tout visant à réduire les risques liés à la sécurité des API tout en améliorant la visibilité globale et la conformité.

Examinons plus en détail ces nouvelles fonctionnalités.

Options étendues de découverte des API

Une découverte efficace des API est essentielle pour gérer des inventaires d’API en constante évolution, notamment face au nombre croissant d’API fantômes et non gérées susceptibles de créer des angles morts en matière de sécurité. Désormais, grâce à l’introduction dans F5 ADSP d’options de découverte étendues pour F5 BIG-IP et F5 NGINX, ainsi que pour des proxys/passerelles supplémentaires et des environnements isolés, les entreprises disposent d’une plus grande flexibilité pour détecter et sécuriser les API dans leurs différentes applications et leurs divers environnements. Chaque nouvelle option de découverte est conçue pour répondre aux exigences propres aux applications et aux infrastructures, offrant ainsi aux entreprises un ensemble plus complet de fonctionnalités pour améliorer la visibilité des API.

• Découverte des API pour BIG-IP : Pour les entreprises qui utilisent BIG-IP TMOS, nous étendons nos fonctionnalités de découverte de F5 Distributed Cloud API Security avec des options de découverte des API hors bande. Les clients BIG-IP (à partir de la version 15.1) peuvent ainsi inspecter le trafic des API traité par leurs serveurs virtuels et le visualiser clairement dans la console de Distributed Cloud Services. Grâce à cette intégration, les clients BIG-IP peuvent maîtriser pleinement leurs API en détectant les API inconnues, fantômes et obsolètes, en enrichissant leurs inventaires d’API avec une documentation précise et à jour, et en gérant facilement la sécurité des API au moyen d’une solution unifiée proposée par un fournisseur unique. (Vous pouvez voir cette fonctionnalité en action ici.)
• Prise en charge de la découverte des API pour des proxys et passerelles supplémentaires (accès anticipé) : Les requêtes API transitent souvent par différents proxys et passerelles, ce qui complique la tâche des entreprises souhaitant bénéficier d’une visibilité complète sur l’ensemble de leur écosystème d’API. Recenser toutes les API, quels que soient leur emplacement de déploiement, les services placés en amont ou la manière dont les requêtes circulent dans l’infrastructure, permet aux entreprises de surveiller les comportements, de détecter les menaces potentielles et de mieux maîtriser la prolifération des API. Cette visibilité est essentielle pour garantir une sécurité cohérente des API dans des environnements variés.
  
  Avec cette version, nous avons étendu les fonctionnalités de découverte des API hors bande aux proxys NGINX OSS, NGINX Plus, Kong et Apigee grâce à des intégrations validées. Nous avons également lancé une solution de découverte universelle permettant de collecter les journaux de pratiquement n’importe quelle passerelle ou de n’importe quel proxy. Les entreprises peuvent ainsi analyser l’activité des API, détecter les API non gérées et visualiser de manière centralisée leur écosystème d’API dans la console de Distributed Cloud Services.
  
  Cette fonctionnalité est actuellement disponible en accès anticipé. Les entreprises utilisant diverses technologies de passerelle et de proxy peuvent ainsi la tester afin de déterminer comment renforcer leur niveau de sécurité des API.
• Découverte locale des API (accès anticipé) : Dans le cadre de cette dernière version, nous proposons désormais la découverte locale des API pour les environnements isolés et réglementés, dans lesquels le partage de données avec l’extérieur n’est pas envisageable en raison de contraintes de conformité ou de sécurité. Grâce à un logiciel déployable de découverte locale des API doté d’une console dédiée, les entreprises peuvent bénéficier d’une visibilité sur les API transitant par leurs serveurs virtuels BIG-IP, le tout intégralement en local, sans envoyer de données sensibles vers le cloud. La découverte locale des API a été conçue pour les secteurs opérant dans des environnements strictement contrôlés ou soumis à des contraintes liées au cloud.
  
  Cette fonctionnalité est également disponible actuellement en accès anticipé, ce qui permet aux entreprises disposant d’environnements isolés de tester comment renforcer leur posture de sécurité des API et satisfaire aux exigences de conformité ou réglementaires.

Ces fonctionnalités étendues de découverte des API permettent aux entreprises de détecter les API fantômes (inconnues), non gérées ou oubliées, de générer des schémas OpenAPI et de la documentation, et d’enrichir les inventaires d’API grâce à la détection des données sensibles et à des informations sur les risques.

En offrant la flexibilité nécessaire pour s’adapter à diverses architectures applicatives et exigences de sécurité et de conformité, ces nouvelles options permettent aux organisations de relever facilement les défis en constante évolution liés à la sécurité des API, sans avoir à modifier leurs applications, à prendre des décisions architecturales majeures ni à faire de compromis en matière de conformité au nom de la sécurité des API.

Suite étendue de tests d’API avec de nouveaux scénarios

Poursuivant le renforcement des capacités de sécurité proactive proposées par F5 Distributed Cloud API Security, cette version élargit l’éventail des capacités de test des API disponibles dans le service afin de couvrir davantage de vulnérabilités recensées dans l’OWASP API Top 10. Plus précisément, de nouveaux scénarios ont été ajoutés pour permettre aux entreprises de rechercher les vulnérabilités API1 (autorisation défaillante au niveau de l’objet) et API4 (consommation non restreinte des ressources). Ces ajouts les aident à identifier les risques cachés dans le code de leurs API susceptibles d’entraîner :

• Accès non autorisé aux ressources.
• Gestion non sécurisée des jetons.
• Exposition excessive de données.
• Saturation des ressources et erreurs de configuration.

En enrichissant notre suite de tests d’API, les organisations pourront détecter un éventail plus large de vulnérabilités potentielles plus tôt dans le cycle de développement, grâce à l’intégration des dépôts de code d’API et à leur analyse automatisée. Elles pourront ainsi mettre en œuvre des mesures correctives avant la mise en production, réduisant considérablement leur exposition et les risques d’exploitation sur l’ensemble de leur surface d’attaque liée aux API.

Détection améliorée des menaces liées aux vulnérabilités du Top 10 des API de l’OWASP

Nous avons non seulement amélioré nos tests d’API, mais nous continuons également à perfectionner nos mécanismes de détection des menaces basés sur l’analyse du trafic, car nous savons que la sécurisation des API face aux menaces émergentes constitue un défi permanent et que vous, nos clients, avez besoin d’être protégés contre un large éventail de menaces en constante évolution.

Avec cette dernière version, nous avons renforcé bon nombre de nos capacités de détection existantes et ajouté de nouvelles fonctionnalités afin d’améliorer la protection contre les principales menaces du Top 10 des risques de sécurité des API de l’OWASP. Les organisations bénéficient ainsi d’une visibilité accrue sur les tentatives d’attaque ou d’exploitation et sur les activités suspectes des API en production.

Voici un aperçu des nouvelles capacités de détection :

• Détecter les attaques par autorisation défaillante au niveau des propriétés d’un objet (BOPLA) : Une meilleure détection des exploitations de failles BOPLA permet de repérer l’utilisation abusive des paramètres dans les requêtes API. En détectant ces anomalies, les organisations peuvent mieux prévenir les attaques qui exploitent des vulnérabilités BOPLA susceptibles d’entraîner des fuites de données et des tentatives d’élévation de privilèges.
• Extraction automatique des JWT : En identifiant et en extrayant les JWT dans les requêtes API, nous améliorons l’identification et le suivi des utilisateurs/clients. Cette fonctionnalité est essentielle pour détecter les failles d’autorisation au niveau des objets (BOLA). Elle améliore également la précision et la traçabilité des attaques, offrant ainsi une meilleure visibilité à long terme sur la sécurité.
• Améliorations de la détection des défauts d’authentification : La nouvelle version signale les accès non authentifiés aux points de terminaison nécessitant une authentification, afin que les vulnérabilités critiques dans la logique d’authentification soient immédiatement visibles. Ces informations permettent de prendre rapidement des mesures correctives pour renforcer la sécurité des points de terminaison d’API.
• Amélioration de la détection des anomalies liées aux attaques par rupture du contrôle d’accès au niveau des fonctions (BFLA) : Nos capacités étendues de détection des anomalies permettent d’identifier les tentatives potentielles d’exploitation de failles BFLA ciblant les points de terminaison d’administration. En vérifiant la validité des « revendications » des utilisateurs authentifiés, les organisations obtiennent en temps réel des preuves de tentatives d’accès non autorisé à des fonctions d’administration sensibles.

Ces améliorations apportées à la détection permettent aux organisations de bénéficier d’une visibilité en temps réel sur les tentatives d’attaque critiques, notamment celles qui exploitent les vulnérabilités BOLA, BOPLA, BFLA et d’authentification défaillante. En identifiant précisément les menaces, les organisations peuvent maintenir une posture de sécurité robuste dans des écosystèmes d’API complexes et prévenir plus efficacement les attaques et les exploitations de vulnérabilités. Grâce à ces fonctionnalités, elles sont mieux à même de protéger leurs API et de réduire les risques liés à leur sécurité.

Intégrer la sécurité au cycle de vie des API

Grâce à des capacités étendues de découverte, de test et de détection des API, cette version témoigne de l’engagement continu de F5, à travers sa plateforme de distribution et de sécurité des applications, à permettre aux organisations de renforcer la sécurité tout au long du cycle de vie des API. Qu’il s’agisse d’identifier plus efficacement les API fantômes ou obsolètes dans l’ensemble des applications et des architectures, quelle que soit la méthode de déploiement, de corriger les vulnérabilités à un stade précoce ou de détecter plus efficacement les menaces actives, nous nous engageons à vous aider à préserver la visibilité et le contrôle dans les écosystèmes d’applications et d’API les plus complexes, distribués et diversifiés.

Pour en savoir plus, consultez notre communiqué de presse. Découvrez également dès aujourd’hui l’ensemble des fonctionnalités de sécurité des API de F5 sur notre page produit et franchissez une nouvelle étape dans l’optimisation de votre posture de sécurité des API avec F5.

Si vous souhaitez bénéficier des offres en accès anticipé mentionnées ici, n’hésitez pas à contacter votre équipe F5 locale pour en savoir plus.

À propos de l’auteur

Ian DinnoResponsable senior du marketing produit | F5

Autres articles de Ian Dinno