Notizia

Apr 03, 2024

Perché gli attacchi API sono in aumento e come evitarli

Il crescente utilizzo delle API offre agli aggressori più modi per violare i controlli di autenticazione, esfiltrare dati o eseguire azioni dannose. La società energetica australiana Jemena ha utilizzato le API, in qualche modo, per

Il crescente utilizzo delle API offre agli aggressori più modi per violare i controlli di autenticazione, esfiltrare dati o eseguire azioni dannose.

La società energetica australiana Jemena utilizza le API, in qualche modo, da circa un decennio. Il suo utilizzo delle API (interfacce di programmazione delle applicazioni) ha registrato un'impennata di recente e si prevede che aumenterà di cinque volte nei prossimi due anni. "Siamo piuttosto all'inizio del nostro viaggio", afferma Daniel Gordon, responsabile dell'architettura di sicurezza informatica dell'azienda. "Ora tutto è basato prima sull'API, invece che su un ripensamento."

Jemena utilizza le API per condividere informazioni con i partner commerciali e nelle applicazioni rivolte ai clienti, afferma Gordon. “Anche gli operatori di mercato e i regolatori si stanno muovendo verso le API. C’è stata una chiara accelerazione nell’ultimo anno: l’API-ificazione di tutto.”

Gordon ritiene che ciò crei nuovi problemi di sicurezza per l'azienda. Il bello delle API è che sono progettate per fornire un accesso efficiente ai dati. Se un utente malintenzionato riesce a compromettere un'API, potrebbe potenzialmente esfiltrare enormi quantità di dati in un tempo molto breve.

Gli approcci tradizionali alla sicurezza delle applicazioni web, che si concentrano sulla prevenzione dell'accesso da parte dei bot, non si applicano alla sicurezza delle API poiché, per definizione, tutte le richieste API sono da macchina a macchina. “Non abbiamo tanto un problema legato ai bot quanto un potenziale problema di fuga di dati. Questo è ciò che ci preoccupa di più: l'accesso illimitato ai dati", afferma Gordon. "Essendo un'azienda energetica, conserviamo molte informazioni personali".

Jemena è un'azienda con 3.200 dipendenti che fornisce elettricità a più di 350.000 case e aziende e fornisce gas a più di 1,5 milioni di clienti. Oltre alle consuete informazioni di identificazione personale, ci sono anche dati sensibili dal punto di vista medico, come ad esempio quali clienti dispongono di apparecchiature di supporto vitale o altri requisiti speciali. Alcuni tipi di dati sono soggetti a vincoli normativi che ne impediscono l'invio all'estero o che possono essere condivisi solo con determinate parti note. "Diventa complicato molto velocemente", afferma Gordon.

Le applicazioni Web dell'azienda sono protette da un Web Application Firewall (WAF), ma esistono limiti a ciò che un WAF può fare. "Il profilo di un'API è diverso da ciò da cui tradizionalmente protegge un WAF", afferma Gordon. "Ci si aspetta un volume elevato di richieste e un WAF non protegge dagli attacchi della logica aziendale." Invece, ciò di cui Jemena aveva bisogno era uno strumento di sicurezza che esaminasse le specifiche di ciascuna richiesta API e il comportamento della macchina che l'ha inviata, e potesse distinguere un bot buono da uno cattivo. "Ci sono molte aziende più vecchie che bloccano i bot, ma non molte soluzioni di sicurezza API native", afferma Gordon. Le cose potrebbero cambiare. “Riteniamo che il mercato si evolverà molto nel corso del prossimo anno”.

Alla fine dell'anno scorso, Jemena ha iniziato a cercare una soluzione che si integrasse con i sistemi di sicurezza già installati dall'azienda e ha optato per Salt Security. Il sistema adotta un approccio comportamentale alla sicurezza delle API. "Devi capire la forma dei tuoi dati e se le richieste arrivano secondo la forma prevista", afferma Gordon.

Il nuovo strumento è stato in grado di apprendere i modelli del traffico API dell'azienda, capire come appare una richiesta standard e quindi cercare deviazioni da quel modello. Si trova dietro il firewall dell'applicazione web ma si collega anche al sistema di gestione delle informazioni e degli eventi sulla sicurezza dell'azienda, che è Splunk. "Non volevamo avere un'altra lastra di vetro da guardare", afferma. Salt ha i propri dashboard, aggiunge. "Ma non passiamo molto tempo su Salt in sé: passiamo tempo su Splunk osservando ciò che viene generato."

Un potenziale svantaggio dell’approccio di rilevamento delle anomalie alla sicurezza delle API è che le applicazioni Web cambiano frequentemente, così come il traffico API corrispondente. Jemena non ha avuto i sistemi in atto abbastanza a lungo per poter dire se questo sarà un problema, dice Gordon. "Monitoreremo la situazione molto da vicino man mano che aumenteremo i nostri volumi API."

Jemena non è l'unica azienda a preoccuparsi della sicurezza delle API, e per una buona ragione. Le API ampliano notevolmente il numero di modi in cui gli aggressori possono accedere a dati e sistemi sensibili. Sono particolarmente difficili da proteggere. Fortunatamente, le nuove tecnologie, inclusa l’intelligenza artificiale, stanno iniziando ad aiutare le aziende a gestire questa minaccia.