API-k titkos élete
Az API-k a digitális gazdaság, az ellátási lánc és a felhasználói élmények szívévé váltak. Ezzel az elterjedéssel együtt a kibertámadások száma is növekszik. Ez a kutatás trilliónyi adatpontot elemezve mélyre merül az API-k életében, új eredményeket tárva fel a támadási trendekről és az API-életciklusban egyedülálló fertőzési vektorokról, amelyek lehetővé teszik az API-fenyegetések felderítésének és mérséklésének támadó megközelítését.
Az árnyék API-k (Shadow APIs) olyan webszolgáltatás-végpontok, amelyek már nincsenek használatban, elavultak vagy nem dokumentáltak, ezért nem kezelik aktívan. Az alkalmazás- és biztonsági csapatoknak meg kell találniuk az ilyen API-kat, és biztosítaniuk kell, hogy mindegyiket dokumentálják vagy leállítsák, hogy csökkentsék az általuk jelentett jelentős kockázatot – mondja Rupesh Chokshi, az Akamai alkalmazásbiztonsági részlegének vezető alelnöke.
Az API-k ebből következő elterjedése számos szervezetnél jelentősen kibővítette a támadási felületet, és nagyobb kockázatoknak tette ki őket, mondja Chokshi. Rámutat az Akamai év eleji kutatására, amely szerint 2023-ban az összes webes támadás 29%-a API-kat célzott. A gyakori támadási vektorok közé tartozott az SQL-befecskendezés, a helyek közötti szkriptelés, a munkamenet-eltérítés/munkamenet-manipuláció és az adatgyűjtési támadások. A támadók gyakrabban vettek célba bizonyos ágazatokban működő szervezeteket, mint másokat. Az e-kereskedelmi szektorban előforduló összes webes támadás több mint 44%-a például célzott API-k. Hasonlóképpen, az üzleti szolgáltató szervezetek és az egészségügyi szervezetek által a webalkalmazások támadásainak közel 32%-a, illetve 19%-a célzott alkalmazásprogramozási felületeket céloz meg tavaly.
Az Akamai javaslatokat fogalmazott meg az API-k biztonsági kockázatainak felismerésére és kezelésére.