Недавно OWASP опубликовали новую версию Top 10 API Security Risks .
Кроме этого сообщество OWASP было известно рейтингами Top 10 web уязвимостей, Top 10 уязвимостей kubernetes и Top 10 CI/CD Security Risks и другими полезными Top 10 по безопасности.
API-интерфейсы являются важной частью современных мобильных, облачных, микросервисных, одностраничных и веб-приложениях. По своей природе API-интерфейсы раскрывают логику приложения и конфиденциальные данные, и из-за этого API-интерфейсы все чаще становятся целью для злоумышленников. Без безопасных API быстрые инновации были бы невозможны. Поэтому в 2019 г. в целях повышения осведомленности был определен перечень наиболее опасных угроз безопасности, связанных с API.
Сейчас же в 2023-его году Top 10 API Security Risk был существенно обновлен. Новые тренды:
- Авторизация остается самой большой проблемой в безопасности API. Три пункта из первой пяти связаны с авторизацией и управлением доступом. Современные приложения на основе API становятся все более сложными, с тысячами конечных точек API и бесчисленным количеством параметров. Когда в эту запутанную сеть добавляется ещё и иерархия пользователей и организаций то становится сложно понять кто к чему в действительности имеет доступ.
- Новый пункт под названием «Unrestricted Access to Sensitive Business Flows» который заключается в возможности фрода из-за недостаточной безопасности или ошибок в логике критических технологических цепочек обеспечивающих бизнес-процессы.
Эта тенденция подчеркивает важность не только безопасного кодирования, но и планирования и проектирования безопасной архитектуры при создании нового приложения. Поскольку API-интерфейсы обеспечивают легкий доступ для ботов, крайне важно определить критические бизнес-цепочки и выбрать соответствующие меры защиты для них. - Подделка запросов на стороне сервера (SSRF) также была добавлена в список. Хотя SSRF не является новой уязвимостью, она стала более распространенной и серьезной в приложениях на основе API. Популярность веб-хуков, например, упростила хакерам использование уязвимостей SSRF. Кроме того, REST API-интерфейсы управления/контроля облачных сервисов, K8S и Docker упрощают эксплуатацию уязвимостей.
Общий перечень OWASP Top 10 API Security Risks 2023 приведен ниже:
Risk | Description |
APIs tend to expose endpoints that handle object identifiers, creating a wide attack surface of Object Level Access Control issues. Object level authorization checks should be considered in every function that accesses a data source using an ID from the user. | |
Authentication mechanisms are often implemented incorrectly, allowing attackers to compromise authentication tokens or to exploit implementation flaws to assume other user's identities temporarily or permanently. Compromising a system's ability to identify the client/user, compromises API security overall. | |
This category combines API3:2019 Excessive Data Exposure and API6:2019 - Mass Assignment , focusing on the root cause: the lack of or improper authorization validation at the object property level. This leads to information exposure or manipulation by unauthorized parties. | |
Satisfying API requests requires resources such as network bandwidth, CPU, memory, and storage. Other resources such as emails/SMS/phone calls or biometrics validation are made available by service providers via API integrations, and paid for per request. Successful attacks can lead to Denial of Service or an increase of operational costs. | |
Complex access control policies with different hierarchies, groups, and roles, and an unclear separation between administrative and regular functions, tend to lead to authorization flaws. By exploiting these issues, attackers can gain access to other users’ resources and/or administrative functions. | |
APIs vulnerable to this risk expose a business flow - such as buying a ticket, or posting a comment - without compensating for how the functionality could harm the business if used excessively in an automated manner. This doesn't necessarily come from implementation bugs. | |
Server-Side Request Forgery (SSRF) flaws can occur when an API is fetching a remote resource without validating the user-supplied URI. This enables an attacker to coerce the application to send a crafted request to an unexpected destination, even when protected by a firewall or a VPN. | |
APIs and the systems supporting them typically contain complex configurations, meant to make the APIs more customizable. Software and DevOps engineers can miss these configurations, or don't follow security best practices when it comes to configuration, opening the door for different types of attacks. | |
APIs tend to expose more endpoints than traditional web applications, making proper and updated documentation highly important. A proper inventory of hosts and deployed API versions also are important to mitigate issues such as deprecated API versions and exposed debug endpoints. | |
Developers tend to trust data received from third-party APIs more than user input, and so tend to adopt weaker security standards. In order to compromise APIs, attackers go after integrated third-party services instead of trying to compromise the target API directly. |
По каждому риску/угрозе приводится подробная информация:
- Threat agents/Attack vectors - определение источника угрозы или вектора атаки
- Security Weakness - описание недостатков, которые могут быть использованы
- Impacts - предположения о возможном вреде, который может быть нанесен организации в результате реализации риска
- Is the API Vulnerable? - описание почему эта угроза актуальна для API
- Example Attack Scenarios - примеры атак
- How To Prevent - возможный набор практик и мер безопасности для CI/CD
- References - ссылки на подобные уязвимости, утечки и рекомендации по защите
В целом документ подробный, полезный и красиво оформлен.
Рекомендую ознакомится всем работникам задействованным в проектировании, разработке, обслуживании АPI или обеспечении их безопасности
