Распространение новых цифровых технологий так или иначе связано с определенными рисками информационной безопасности. Не является исключением и использование API-интерфейсов. Взлом хостинг-провайдера Hostinger, при котором через API-интерфейс утекли даже логины и хеш-суммы паролей, недавняя опасная уязвимость в Uber, когда была возможна даже кража аккаунтов и деанонимизация пассажира/водителя, – вот только несколько публичных случаев, подтверждающих эту мысль. 

API как набор технологий обладает определенными уязвимостями. Для эффективного и безопасного использования данных технологий необходимо понимать подходы и способы их минимизации. Эксперты группы компаний Angara приняли участие в мероприятии, организованном компанией Gartner на тему защиты API. В нашем блоге мы приводим основные тезисы.

Особенно часто API-интеграция применяется в микросервисной среде. Развитие экосистем способствует необходимости использования межплатформенных интерфейсов взаимодействия. API уже не является сугубо внутренним интерфейсом, он вышел в глобальную сеть и становится практически обязательным для современного приложения. 

Отличаясь от привычного веб-трафика, API-трафик требует отдельной проработки защиты информационной безопасности экспертами организации. И если в компании используются микросервисы, необходимо проанализировать и рассмотреть необходимость защиты API-трафика.

В вопросах защиты API следует прежде всего провести инвентаризацию открытых интерфейсов, причем учитывать как трафик «север-юг», так и «восток-запад», и желательно подключить команду информационной безопасности к процессу проработки API-интерфейсов. 

Gartner выделяет три направления защиты API: 

  • Тестирование и поиск уязвимостей. Для этого используются технологии Dynamic/Static security testing (DAST/SAST), фаззинг и другие.

  • Контентная защита, включая валидацию легитимности использования (JSON/XML-схемы) и детектирование аномалий, контроль запросов/ответов, сигнатурный и репутационный анализ, использование TLS/SSL и другие.

  • Контроль доступа к API – OAuth 2.0, OpenID, JSON web-токены, интеграции с системами контроля доступа.

Политика защиты должна включать следующие основные функциональные блоки:

  • инвентаризация и вычисление «теневых» API; 

  • детектирование нерегулярного или опасного API-трафика и поиск аномалий;

  • аутентификация и авторизация в интерфейсах;

  • валидация запросов и ответов;

  • вычищение критических данных из API ответов, токенизация или маскирование данных;

  • сохранение журнала аудита.


«Важным аспектом защиты API будет защиты от веб-скрепинга или атаки парсинга контента сайта. Атака особенно опасна для B2C-сегмента, где основой ценностного предложения является проведенный анализ спроса клиента и результирующий набор продуктов, несанкционированный анализ которых конкурентом принесет сам по себе бизнес-потери», – комментирует менеджер по развитию бизнеса группы компаний Angara Анна Михайлова. Не говоря уже о прямой краже контента, как это было с ресурсами Trello, Exactis, Pipl, Intel (преждевременный доступ к информации о доходности по итогу финансового года), кражей у Авито объявлений о недвижимости и прочие случаи, добавляет она.

Защиту от атак на API-интерфейсы подобного рода представляют наиболее продвинутые производители:

Эксперты группы компаний Angara осуществляют полный комплекс описанных выше услуг. Наше предложение по созданию системы защиты и мониторинга API-трафика включает консолидацию ключевых требований клиента к защите API, сбор данных, касающихся функционирования и настроек текущих приложения в части API, проектирование и интеграция инструмента защиты в существующую ИТ-инфраструктуру клиента и его тонкая настройка по согласованным ранее требованиям. 

Для защиты API-трафика эксперты группы компаний Angara рекомендуют использование решений компаний F5 на базе решения NGINX Controller, а также Fortinet FortiWeb систему.

По всем вопросам по этим и другим услугам можно обратиться к менеджерам группы компаний Angara по e-mail info@angaratech.ru или телефону 8-495-269-26-06.