Sicurezza delle applicazioni: contrastare le nuove superfici di attacco tramite le API. Per essere in grado di proteggere adeguatamente le applicazioni, è essenziale che le aziende comprendano i vari vettori di minaccia.
Oggi le applicazioni si trovano negli ambienti IT più diversi, dal data center allo smartphone, e il loro numero è in costante aumento. L'aumento del lavoro da remoto ha anche comportato l'esternalizzazione di un numero sempre maggiore di applicazioni nel cloud. Ciò ha aumentato i rischi potenziali in termini di sicurezza delle applicazioni. Per poter proteggere adeguatamente le proprie applicazioni, è quindi essenziale che le aziende comprendano i vari vettori di minaccia.
I bot come fonte di minacce
Indubbiamente, i bot sono stati a lungo una fonte di minacce per le applicazioni e ora sono in cima alla lista dei vettori di attacco di successo. Inoltre, con molte violazioni causate da errori umani, è più importante che mai garantire che non vengano lasciate aperte falle nella difesa. Tuttavia, i team di sicurezza non dovrebbero concentrarsi solo sui bot. Anche le minacce zero-day, le vulnerabilità delle applicazioni Web, la catena di fornitura del software e le API (Application Programming Interface) sono aree rilevanti a cui i professionisti della sicurezza dovrebbero prestare la stessa attenzione.
Una recente ricerca di Barracuda mostra che su 750 organizzazioni globali, il 72% ha subito almeno una violazione della sicurezza a causa di una vulnerabilità dell'applicazione nell'ultimo anno, con quasi il 40% che ha segnalato più di una violazione.
Nuove superfici di attacco per le applicazioni tramite API
Sempre più aziende stanno passando allo sviluppo "API-first" poiché le API accelerano in modo significativo lo sviluppo di nuove versioni dell'applicazione. Tuttavia, l'espansione della visibilità di queste applicazioni crea una superficie di attacco completamente nuova.
Ad esempio, quando si incassava un assegno, una banca impiegava diversi giorni per verificare il conto di origine e i relativi dettagli prima che il denaro arrivasse finalmente sul conto del destinatario. Oggi il trasferimento di denaro viene spesso effettuato tramite bonifici bancari tramite un'applicazione sullo smartphone. Per eseguire questa singola transazione, è necessaria una grande quantità di IT in background e questa deve essere protetta.
Verifica presso gli endpoint B2B
Non ci sono persone coinvolte nell'ispezione degli endpoint B2B, tutto viene gestito tramite API, che sono una potenziale superficie di attacco. Perché le API espongono intrinsecamente la logica dell'applicazione, le credenziali e i token dell'utente e tutti i tipi di informazioni personali, il tutto alla velocità del cloud e dallo smartphone dell'utente. Un'applicazione basata su API è molto più esposta rispetto a un'applicazione tradizionale basata sul Web poiché viene deliberatamente utilizzata per fornire accesso diretto a dati sensibili.
Ad esempio, quando gli utenti scorrono Facebook o controllano il live ticker del loro portafoglio azionario nella loro app della banca, i loro telefoni interagiscono con i server nei loro data center tramite API. Durante lo scorrimento, queste API si autenticano costantemente tramite stringhe alfanumeriche di grandi dimensioni e questo traffico deve essere ispezionato e protetto in tempo reale. A differenza dell'esempio di controllo sopra, non puoi aspettare che una persona di contatto torni dalla pausa pranzo per verificare se la richiesta è legittima.
Protezione per applicazioni e API
Le organizzazioni si rivolgono sempre più alle API, ma fanno fatica a tenere il passo con la sicurezza. I criminali informatici sono pronti con i bot per saltare su API non protette 2018 ore su 75, XNUMX giorni su XNUMX. Se un attacco ha successo, gli hacker hanno accesso ai dati dei clienti o alle informazioni sui dipendenti, che possono compromettere a piacimento. Esistono molti esempi di test delle API utilizzate con accesso diretto ai dati di produzione senza alcuna protezione di sicurezza (come la violazione della sicurezza di Facebook del XNUMX). Sebbene proteggere le API sia una sfida, un risultato incoraggiante dello studio Barracuda mostra che il XNUMX% delle organizzazioni intervistate è consapevole dei rischi.
La difesa delle API è una delle principali considerazioni sulla sicurezza in questo momento. Le aziende dovrebbero quindi prendere in considerazione una piattaforma completa, scalabile e facile da implementare per proteggere le proprie applicazioni ovunque si trovino. Un Web Application Firewall (WAF) con Active Threat Intelligence è la soluzione più gestibile per proteggere le applicazioni e quindi le API dalle suddette minacce. La difesa da minacce zero-day, bot, attacchi DDoS, compromissione della catena di approvvigionamento, riempimento delle credenziali, nonché l'implementazione della sicurezza lato client e la protezione da utenti malintenzionati dovrebbero essere all'ordine del giorno per le organizzazioni per evitare violazioni della sicurezza attraverso le vulnerabilità delle applicazioni.
Altro su Barracuda.com[stellaboxid=5]
Articoli relativi all'argomento