با سازمان هایی که امنیت محیط شبکه خود را بالا می برند ، هکرها اکنون به دنبال آسیب پذیری های جدید برای سوء استفاده هستند. کارشناسان امنیتی معتقدند که هدف اصلی بعدی هکرها برای حمله به شرکت ها رابط های برنامه نویسی برنامه (API) خواهد بود. نه تنها مشاغل بزرگ در خط شلیك ، بلكه مشاغل كوچك و متوسط نیز وجود دارند اگر مورد توجه مجرمان سایبری قرار گیرند.
API چیست
API رابط یا مجموعه ای از پروتكل ها است كه برنامه های مختلفی را اجازه می دهد. برای برقراری ارتباط با یکدیگر به عبارت دیگر ، یک API مانند یک رابط کاربری برای سایر برنامه ها به جای کاربران است. برنامه ها از طریق درخواست های API ، که به عنوان تماس های API نیز شناخته می شوند ، ارتباط برقرار می کنند.
API بخش بزرگی از برنامه های وب و موبایل است. آنها مسئول تقریباً هر کاری هستند که هر کسی در اینترنت یا تلفن همراه انجام می دهد. فقط با چند کلیک یا شیر ، آنها به هر کسی امکان سفارش غذای آماده ، هتل یا رزرو موسیقی را می دهند. هر سازمان یا شخصی که دارای وب سایت باشد – چه یک وب سایت استاتیک ساده و چه وب سایت پیچیده تری – اگر وب سایت خود از یک سیستم مدیریت محتوای وب مانند وردپرس در باطن استفاده کند ، از API استفاده می کند.
API ها در پس زمینه بی سر و صدا کار می کنند ، باعث می شود که کاربران تعامل از آن انتظار داشته باشند و به آنها اعتماد کنند. با این حال ، آنها همچنین به لطف هکرهایی که API را هدف قرار می دهند ، لایه دیگری از آسیب پذیری را اضافه می کنند. آنها پنجره هایی را در برنامه هایی ارائه می دهند که خطر امنیت سایبری رو به رشد را نشان می دهد.
تعداد زیاد حملات API
در چند سال گذشته شاهد افزایش حوادث و نقض های امنیتی مربوط به API بودیم. طبق گزارشی از گارتنر ، API تا سال 2022 یکی از "جدید ترین اخبار اعتراضات+ویدیووکتورهای متداول مورد حمله برای نقض اطلاعات برنامه وب سازمانی" قرار می گیرد.
هکرها مانند API ها را دوست دارند ، زیرا آنها چندین راه برای دسترسی به اطلاعات سازمان ها ارائه می دهند. آنها می توانند مورد استفاده قرار گیرند تا از حمله وب سایتها ، برنامه های وب ، برنامه های تلفن همراه و دستگاه های IoT (اینترنت اشیاء) سوء استفاده کنند.
موارد خاموش
نقص مربوط به API در اوایل ماه جاری در سرویس پستی ایالات متحده رخ داد. در این مثال ، API در پشت یک سیستم مبتنی بر وب به هر کاربر لاگین شده اجازه می داد به صورت نادرست از جزئیات خصوصی 60 میلیون کاربر دیگر که در داخل سیستم نگهداری می شوند ، سوال کند.
در ژوئن سال جاری ، GateHub مورد حمله قرار گرفت و وجوه سرقت شده از کیف پول های XRP لجر اعضای جامعه ، هنگامی که درخواست های API بدون نشانه های دسترسی معتبر مجاز بود.
یک نقض بیشتر مبتنی بر API ، این بار در LandMark White ، توسط یک API در معرض ایجاد شد. این حمله به یک شرکت ارزیابی و مشاوره در مورد املاک مستقل استرالیا ، اطلاعات تماس خصوصی مشتری و جزئیات ارزیابی املاک را در معرض دید عموم قرار داد.
چرا API ها برای هکرها آسیب پذیر هستند؟
مجوزها
دلایل زیادی وجود دارد که باعث می شود API ها آسیب پذیر هستند. یکی از مهمترین مسائل مربوط به API ، میزان مجوزهایی است که اغلب به آنها اعطا می شود. از آنجا که API ها برای استفاده انسانی درنظر گرفته نشده است ، آنها اغلب با دسترسی نامحدود در محیط های برنامه های وب یا موبایل تنظیم می شوند. معمولاً برای کاربر درخواست اصلی مجوزهایی تنظیم شده است و این مجوزها به API منتقل می شود. با این حال ، با استفاده از این روش احراز هویت دسترسی مشکلاتی ایجاد می شود که یک حمله فرایند احراز هویت کاربر را دور بزند. از آنجا که API خود دسترسی نامحدودی دارد ، حملات موفقیت آمیز API می تواند دسترسی هکرها به داده های یک سازمان را فراهم کند.
قابلیت مشاهده و مدیریت
موضوع مهم دیگر ، مشاهده و مدیریت API است. هنگامی که API در پشت صحنه اجرا می شود ، آگاهی کمتری از آنها و هرگونه حمله احتمالی ناشی از آنها وجود دارد. علاوه بر این ، جزئیات معماری API سازمان اغلب فقط برای تیم های توسعه شناخته می شود. تیمهای امنیتی غالباً از این امر آگاه نیستند که اتصالات با تأثیر بسیار بالقوه در محیط محاسبات آنها حتی ممکن است. در نتیجه ، API ها معمولاً به دلیل ریسک های امنیتی برای سازمان یا کاربران برنامه سازمان به شدت کنترل نمی شوند.
چگونه می توان API ها را ایمن کرد
به منظور جلوگیری از قربانی شدن هکرها با هدف قرار دادن API ها ، کارشناسان امنیتی اقداماتی نظیر اجرای کنترل دسترسی API برای کاربران و برنامه های کاربردی ، حفظ موجودی API ، اجرای رمزگذاری ، ورود به سیستم اتصالات API و استفاده از محدودیت نرخ.
محدودیت های نرخ را در برابر حملات نیروی بی رحمانه محافظت می کند. با چنین حملاتی ، یک هکر از نرم افزار رایانه ای استفاده می کند تا بسیاری از تلاش های متوالی ورود به سیستم را با حدس زدن به طور منظم کلمه عبور انجام دهد. اگر API توسط محدوده نرخ محافظت نشود ، حمله به صورت نامحدود ادامه خواهد یافت یا تا زمانی که حمله موفق شود.
توصیه دیگری شامل سرمایه گذاری در فایروال هایی است که "جدید ترین اخبار اعتراضات+ویدیوAPI آگاه هستند" و سرویس های امنیتی API. فایروال های آگاه API می توانند درخواست های API را بررسی ، تأیید و تأیید کنند. سرویس های امنیتی API تلاش می کنند تا تعیین کنند آیا یک درخواست قانونی یا مخرب است یا خیر. آنها همچنین می توانند اطمینان حاصل کنند که درخواست های API فقط به آنچه باید دسترسی داشته باشند دسترسی دارند و این درخواست ها باعث افزایش امتیازات آنها و دسترسی به برنامه یا داده های برنامه نمی شوند.
کسب و کار. بنابراین به این مشاغل توصیه می شود با کمک کارشناسان امنیتی در یک استراتژی مدیریت و امنیت API سرمایه گذاری کنند. این امر به ویژه برای مشاغل با حضور وب یا برنامه های تلفن همراه بسیار مهم است. یک سرمایه گذاری مقدماتی در امنیت API احتمالاً منافع قابل توجهی در کاهش خطرات امنیتی برای هر سازمان ، اعم از بزرگ یا کوچک ، به همراه خواهد داشت. حوادث امنیتی مستقر احتمالاً در حال افزایش است و بر سازمانها در سراسر جهان تأثیر می گذارد آگاهی API فقط یکی از اقدامات برای محافظت از شرکت شما در برابر هکرهاست.
نویسنده اصلی: Sandra Gyles – cloudvpn
