OWASP Top 10 ризиків безпеки API – 2023
У світі технологій, що стрімко розвивається, програмні інтерфейси застосунків (API) стали основою сучасної архітектури застосунків. API забезпечують безшовну комунікацію та взаємодію між різними програмними системами, даючи змогу компаніям постачати інноваційні продукти й послуги своїм користувачам. Проте разом із перевагами API з’являється ризик вразливостей безпеки. Оскільки галузь безпеки API продовжує дозрівати, украй важливо підвищувати обізнаність про поширені слабкі місця, які можуть скомпрометувати безпеку API.
Проєкт Open Web Application Security Project (OWASP) перебуває на передовій просування найкращих практик безпеки та надання цінних ресурсів для розробників, дизайнерів, архітекторів, менеджерів та організацій. OWASP API Security Top 10 — це вичерпний посібник, покликаний навчити зацікавлені сторони щодо найкритичніших ризиків безпеки API. Уперше опублікований 2019 року, цей документ швидко став галузевим орієнтиром завдяки своїй актуальності та практичним інсайтам.
OWASP API Security Top 10 на 2023 рік висвітлює десять ключових проблемних областей, які організаціям слід опрацювати, щоб захистити свої API та конфіденційні дані, які вони обробляють. Розгляньмо детальніше кожен із цих ризиків та їхній потенційний вплив:
- API1:2023 — Порушена авторизація на рівні об’єктів. API часто відкривають ендпоінти, що працюють з ідентифікаторами об’єктів, створюючи величезну поверхню атаки для вразливостей контролю доступу на рівні об’єктів. Щоб знизити цей ризик, розробники мають реалізувати належні перевірки авторизації на рівні об’єктів у всіх функціях, які звертаються до джерел даних за наданими користувачем ID. Нехтування цим може призвести до несанкціонованого доступу та витоків даних.
- API2:2023 — Порушена автентифікація. Механізми автентифікації в API схильні до помилок реалізації, що дає зловмисникам змогу компрометувати токени автентифікації або використовувати вади, щоб видавати себе за інших користувачів. Коли автентифікацію скомпрометовано, підривається загальна безпека API. Організаціям слід забезпечити надійні практики автентифікації та захищати ідентичності користувачів, щоб запобігти несанкціонованому доступу.
- API3:2023 — Порушена авторизація на рівні властивостей об’єктів. Об’єднуючи дві попередні категорії — API3:2019 Excessive Data Exposure та API6:2019 Mass Assignment — цей ризик підкреслює важливість належної перевірки авторизації на рівні властивостей об’єктів. Недостатні перевірки можуть призвести до розкриття інформації або маніпуляцій з боку неавторизованих сторін, ставлячи під загрозу цілісність і конфіденційність даних.
- API4:2023 — Необмежене споживання ресурсів. Запити до API споживають різноманітні ресурси, як-от пропускну здатність мережі, CPU, пам’ять і сховище. Крім того, постачальники послуг можуть надавати через інтеграції з API такі ресурси, як електронні листи, SMS, телефонні дзвінки чи біометричні перевірки, часто стягуючи плату за кожен запит. Зловмисники можуть використовувати вразливості в реалізаціях API, щоб запускати атаки на відмову в обслуговуванні або збільшувати операційні витрати, зловживаючи цими ресурсами.
- API5:2023 — Порушена авторизація на рівні функцій. Складні політики контролю доступу та нечітке розмежування між адміністративними та звичайними функціями можуть спричиняти вади авторизації в API. Використовуючи ці слабкі місця, зловмисники можуть отримати несанкціонований доступ до ресурсів інших користувачів або адміністративних функцій. Організації мають запровадити чіткі та деталізовані механізми контролю доступу, щоб знизити цей ризик.
- API6:2023 — Необмежений доступ до чутливих бізнес-процесів. API, що відкривають критичні бізнес-процеси без належного захисту, можна використати на шкоду бізнесу. Зловмисники можуть автоматизувати надмірне використання таких процесів, спричиняючи збої або фінансові втрати. Важливо передбачати можливі сценарії зловживань і впроваджувати відповідні запобіжники, щоб ефективно знизити цей ризик.
- API7:2023 — Підробка запитів на боці сервера. Вразливості підробки запитів на боці сервера (SSRF) виникають, коли API отримує віддалений ресурс, не перевіряючи наданий користувачем URI. Ця вада дає зловмисникам змогу примусити застосунок надсилати сформовані запити до непередбачених призначень, навіть якщо його захищено брандмауерами чи VPN. Реалізація суворої перевірки вхідних даних і належного білого списку URI допомагає запобігти SSRF-атакам.
- API8:2023 — Неправильна конфігурація безпеки. API та системи, що їх підтримують, часто мають складні конфігурації для задоволення різноманітних вимог. Однак неправильні конфігурації можуть спричиняти слабкі місця в безпеці. Недотримання найкращих практик безпеки під час конфігурування може залишити API вразливими до різних атак. Організаціям слід регулярно проводити оцінки безпеки та дотримуватися рекомендацій щодо безпечного конфігурування, щоб мінімізувати ці ризики.
- API9:2023 — Неналежне управління інвентаризацією. API зазвичай відкривають більше ендпоінтів, ніж традиційні веб-застосунки, тому вичерпна та актуальна документація має вирішальне значення. Ведення точного обліку хостів і розгорнутих версій API допомагає запобігти таким проблемам, як застарілі API чи відкриті налагоджувальні ендпоінти, якими можуть скористатися зловмисники. Надійне управління інвентаризацією є життєво важливим для підтримання безпеки API.
- API10:2023 — Небезпечне споживання API. Розробники часто більше довіряють даним, отриманим від сторонніх API, ніж введенню користувача. Ця довіра може призводити до слабших практик безпеки під час інтеграції сторонніх сервісів. Зловмисники можуть атакувати ці сервіси, щоб отримати несанкціонований доступ або маніпулювати даними. Реалізація надійних заходів безпеки, зокрема перевірки вхідних даних і контролю цілісності даних, є необхідною, щоб запобігти компрометації API через небезпечне споживання сторонніх API.
OWASP API Security Top 10 на 2023 рік надає вичерпний огляд найкритичніших ризиків, які організаціям слід опрацьовувати під час розробки, розгортання та підтримки API. Розуміючи ці ризики й застосовуючи рекомендовані стратегії зниження, компанії можуть суттєво підвищити безпеку своїх API, захистити конфіденційні дані та убезпечитися від потенційних загроз.
Оскільки галузь безпеки API продовжує розвиватися, усім зацікавленим сторонам важливо залишатися пильними, стежити за новими ризиками та застосовувати найкращі практики. Пріоритезуючи безпеку API та вбудовуючи її в життєвий цикл розробки, організації можуть упевнено використовувати всю потужність API, мінімізуючи вразливості безпеки та забезпечуючи цілісність своїх систем і даних.
