‫ 5مورد از بهترین روش‌های امنیتی API که باید پیاده‌سازی کنید

از‌آنجایی‌که فشار‌های اقتصادی بیرونی به شکل‌گیری نحوه تفکر و تخصیص منابع سازمان‌ها ادامه می‌دهد، امنیت داده همچنان از اولویت بالایی برخوردار است، به‌دلیل وابستگی آن‌ها به داده‌ها برای نوآوری و کاهش هزینه‌ها، بسیاری از کسب‌و‌کار‌ها به‌طور قابل‌توجهی بیش از آنچه تصور می‌کنند ،در معرض خطر حوادث امنیت سایبری قرار دارند.

API ها نیز مورد هدف قرار می‌گیرند زیرا داده‌های قابل دسترسی از طریق آن‌ها می‌توانند برای هکر‌ها سودآور باشد.

چگونه مهاجمان سایبری API ها را هدف قرار می‌دهند

مجرمین سایبری می‌توانند API ها را به روش‌های مختلف مورد هدف قرار دهند، برخی از رایج‌ترین آنها عبارتند از:

•     DDOS:‎حملات DDoS تعداد زیادی اتصال را درخواست می‌کنند تا منابع را تمام کند و به‌طور بالقوه منجر به خرابی شود زیرا حمله هم APIها و هم سیستم‌های پشتیبان را که داده‌ها را به APIها ارائه می‌کنند ،تحت تأثیر قرار می‌دهد.

•    حملات مرد وسط (MITM) :حملات MITM زمانی اتفاق می‌افتد که یک فرد خارجی به‌طور محتاطانه خود را در یک مکالمه بین یک کاربر و یک نقطه پایانی API قرار می‌دهد و در تلاش برای سرقت یا تغییر داده‌های خصوصی، یکی از طرفین را استراق سمع یا جعل هویت می‌کند.

•    مدیریت نادرست نشانه‌ها یا کلید‌های API :رمز‌ها و کلید‌های API اعتبار‌نامه‌های معتبری هستند که به کاربر اجازه دسترسی می‌دهند، در صورت به خطر افتادن، می‌توانند توسط اشخاص غیر‌مجاز برای دسترسی به سیستم‌های خصوصی مورد سوء‌استفاده قرار گیرند.

•    اعتبار‌نامه‌های غیر‌رمز‌گذاری‌شده: نام‌های‌کاربری و گذر‌واژه‌ها اغلب در فایل‌های پیکربندی رمزگذاری نشده کدگذاری می‌شوند که آن‌ها را در برابر سرقت آسیب‌پذیر‌تر می‌کند.

چه‌روش‌های آزمایش‌شده و واقعی برای امنیت بهترAPI وجود دارد؟

با تمرین اصول صحیح، سازمان‌ها می‌توانند از یکپارچه‌سازی API و فناوری‌های مشابه برای ایمن نگه‌داشتن سیستم‌های خود در برابر اشکال مختلف حمله استفاده کنند.

1. فرآیند‌ها و زیرساخت‌های سازمان خود را ارزیابی کنید

با افزایش استفاده از APIها و میکروسرویس‌ها متصل در تنظیمات مختلف داخلی و ابری، یافتن نقاط ضعف احتمالی شما می‌تواند بسیار چالش‌برانگیز باشد،کاربران می بایست برای این مهم موارد زیر را ارزیابی کنند: 

•    API های مواجهه با مشتری: با استفاده از API ها، شرکت‌ها می‌توانند اطلاعات را با مشتریان به اشتراک بگذارند، بدون اینکه مجبور باشند آنها را وارد پایگاه‌داده یا سیستم اصلی خود کنند،آن‌ها می‌توانند دسترسی مشتری را محدود کنند و تنها بخش‌های خاصی از داده‌ها را نشان دهند، استفاده از API برای افشای تنها بخشی از پایگاه‌داده تضمین می‌کند که کاربران نمی‌توانند به کل سیستم دسترسی داشته باشند، اما داده‌های فاش‌شده همچنان باید محافظت شوند.

•    APIهای داخلی: انتخاب و استفاده از خدمات ابری برتر را بدون کمک IT برای هر کارمندی آسان می‌کند،بنابراین تیم‌های فناوری اطلاعات باید اطمینان حاصل کنند که خدمات را از طریق APIها همگام‌سازی می‌کنند تا فقط دسترسی ضروری را ارائه دهند، نه اینکه اجازه دسترسی به انواع خدمات را برای همه در هر بخش بدهند، که این موضوع می‌تواند به سرعت به یک بار اداری سنگین تبدیل شود.

اگر از در نظر گرفتن نقاط ضعف بالقوه در زیر‌ساخت خود غفلت کنید، در را برای حملات از داخل و خارج سازمان خود باز می‌گذارید.

مهمترین چیز در اینجا ایجاد محموعه‌ای جامع از سیاست‌ها و استاندارد‌ها با همکاری گروه‌های امنیت داخلی و انطباق است، برخی از کسب‌و‌کار‌ها همچنین ممکن است نیاز داشته باشند تعهدات نظارتی GDPR)، CCPA، HIPAA و غیره) را در نظر بگیرند و مطمئن شوند که شیوه‌های امنیتی به‌روز و مطابقت دارند.

2. هنگام ذخیره داده‌ها در ابر، احتیاط کنید

این تصور وجود دارد که تغییر به یک سرویس ابری شما را در برابر حوادث امنیت سایبری آسیب‌پذیر‌تر می‌کند، اما این تصور عمدتا از کنترل کمتر و بینش کمتر نسبت به سیستم ناشی می‌شود، انتقال به فضای‌ابری می‌تواند درجه‌ای از امنیت را ارائه دهد که نمی‌توان در داخل آن را تکرار کرد، زیرا بسیاری از شرکت‌ها فاقد بودجه و سرمایه انسانی لازم برای دستیابی به چنین سطح بالایی از امنیت هستند، با‌این‌حال، با تمرکز بیشتر روی APIها، هنوز هم امکان بهبود امنیت ابر وجود دارد.

3. اطمینان حاصل کنید که کاربران فقط می‌توانند به داده‌های مربوطه دسترسی داشته باشند

دپارتمان‌ها و کاربران سازمان شما به درجات مختلفی از دسترسی به سیستم‌ها و داده‌های آن نیاز دارند، و این دسترسی باید بر اساس عملکرد شغلی و نه در سطح کلی انجام شود، برای مثال، یک توسعه‌دهنده معمولا نیازی به دسترسی کامل به سیستم‌های حسابداری یا منابع انسانی ندارد ،با محدود‌کردن دسترسی، احتمال کمتری وجود دارد که اطلاعات خصوصی به اشتباه فاش شوند،همچنین می‌توانید اعتبار‌نامه‌های خاصی را تنظیم کنید تا به کاربر اجازه دسترسی موقت به سرویسی بدهید که معمولا از آن استفاده نمی‌کند.

4. نیاز به احراز هویت چند عاملی

اعتبار ورود شامل نام‌کاربری و رمز‌عبور دیگر برای تضمین امنیت کافی نیست،استفاده از استاندار‌هایی مانند احراز‌هویت دو‌مرحله‌ای 2FAیا احراز‌هویت ایمن با OAuth ضروری است، برای دستیابی به این هدف، مطمئن شوید که شبکه شما می‌تواند کاربران را با استفاده از OAuth 2.0 با نقاط پایانی به عنوان ارائه‌دهندگان هویت احراز‌هویت کند.

5. کلید‌های گواهی را در یک فروشگاه کلید نگهداری کنید

هنگام نصب نرم‌افزار، مطمئن شوید که از یک فروشگاه قابل اعتماد استفاده می‌کنید که دارای گواهی‌های لازم برای ارتباطات ایمن HTTPS است، به‌عنوان مثال، اگر می‌خواهید ارتباط امن بین یک کلاینت محلی و یک سرور پراکسی را فعال کنید، ممکن است مجبور شوید گواهی جدیدی را در فروشگاه کلید جاوا خود اضافه کنید.

فقط API ها نیستند که خطرات بالقوه ای برای امنیت ایجاد می‌کنند، هر چیزی که دارای «سطح» روبه‌روی بیرونی باشد، می‌تواند به هدف یک مجرمین‌سایبری تبدیل شود، به‌همین‌دلیل، اولویت‌دادن به امنیت و اتخاذ یک ذهنیت «اعتماد صفر» برای داشتن بیشترین شانس برای محافظت از داده‌های خود و جلوگیری از یک حمله سایبری گران‌قیمت بسیار مهم است.
 

منبع

helpnetsecurity