האיום השקט של ממשקי API: מה הנתונים החדשים מגלים על סיכון לא ידוע

האיום השקט של ממשקי API: מה הנתונים החדשים מגלים על סיכון לא ידוע

חותמת זמן: 2 באוקטובר 2023 3:00

הנוף הדיגיטלי המתפתח במהירות העניק לארגונים שפע של יכולות, בעיקר בשל ריבוי יישומי הענן. עם זאת, עם הברכה הזו מגיעה חרדה פוטנציאלית: סיכונים לא ידועים, שארגונים עשויים שלא להעריך עד תום או אפילו להכיר. צלילה עמוקה יותר לתוך הנתונים מ- Traceable's2023 מצב אבטחת API: ממצאים גלובלייםהדו"ח מספק תובנות מעמיקות לגבי אופי הסיכונים הלא ידועים הללו.

מחקר זה אסף תובנות מ-1,629 משיבים ביותר מ-100 מדינות ושש תעשיות מרכזיות. והנתונים מדאיגים: 74% מהארגונים נתקלו לפחות בשלוש פרצות נתונים הקשורות ל-API בשנתיים האחרונות. זה משמש כקריאת השכמה המדגישה מגמה מטרידה של עלייה בהפרות. במקביל, 88% מהארגונים פורסים יותר מ-2,500 יישומי ענן, מה שמצביע על רמה גבוהה של תלות דיגיטלית וקישוריות. רשת כה נרחבת של נקודות מגע דיגיטליות מרחיבה בהכרח את משטח ההתקפה.

הנוף הדיגיטלי הרחב הזה מציע פוטנציאל עצום, אבל אף אחד לא צריך לזלזל במשטח ההתקפה הנרחב שהוא מציג.

פענוח הסיכונים הלא ידועים

הבעיה המרכזית הבולטת בממצאי המחקר היא סוגיית הסיכון הלא ידוע. למרות העלייה בפריצות ל-API, 40% מהארגונים בודקים ללא הרף רק חלק קטן ממשקי ה-API שלהם לאיתור נקודות תורפה. פיקוח פוטנציאלי זה מוביל לרמת ביטחון של 26% בלבד במניעת התקפות, בעוד שרק 21% מהתקפות ה-API ניתנות לזיהוי וניתן להכיל.

האתגר המרכזי הוא שארגונים רבים נשארים בחושך לגבי מידת הסיכון של API. באופן מפתיע, רק 27% מהארגונים נותנים עדיפות גבוהה מאוד לקיום פרופיל סיכוני אבטחה עבור כל API, מה שמדגיש פיקוח פוטנציאלי בהערכת סיכונים. כשנשאלו לגבי הגורמים המעכבים את תעדוף אבטחת ה-API, 49% ציינו שההנהלה לא מעריכה את הסיכון, בעוד ש-37% נאבקו בהבנת אמצעים להפחתת איומים.

ממשקי API: הרחבת משטח ההתקפה

התפשטות ממשקי ה-API מרחיבה משמעותית את מגוון הפגיעויות הפוטנציאליות ווקטורי התקפה. על פי המחקר, 58% מהמשיבים מסכימים מאוד או מסכימים שממשקי API מרחיבים תמיד את משטח ההתקפה על פני כל שכבות הטכנולוגיה. זה קריטי מכמה סיבות:

  1. נפח גדול של ממשקי API: קחו בחשבון את המספרים - 88% מהארגונים משתמשים ביותר מ-2,500 יישומי ענן ומנהלים אלפי ממשקי API. זה לא מוגבל לממשקי API שפותחו באופן פנימי. ארגונים משלבים באופן שגרתי ממשקי API של צד שלישי כדי להרחיב את הפונקציונליות, וכל אינטגרציה מייצגת וקטור התקפה פוטנציאלי חדש הדורש בדיקה מדוקדקת.

  2. מגוון סוגי API: זהו שטיח דיגיטלי מורכב בחוץ, עם מכלול של סוגי API פתוחים לשותפים, צד שלישי ואחרים. פרופילי הסיכון של ממשקי API אלה יכולים להיות מגוונים. ממשקי API ציבוריים, הנגישים לקהל רחב, עשויים להיות מועדים למגוון רחב של וקטורי תקיפה, בעוד שממשקי API פנימיים, הנתפסים לרוב כמאובטחים, עשויים להיות פגיעים לאיומים פנימיים. בהדגשת המורכבות הזו, 58% ממשתתפי המחקר מסכימים שממשקי API מגדילים ללא עוררין את משטח ההתקפה על פני כל ערימת הטכנולוגיה.

  3. תפיסות שונות לגבי סיכון API: התפיסה של התעשייה לגבי סיכון הקשור ל-API משתנה מאוד. כשנשאלים על החשיבות של פרופיל סיכון אבטחה עבור כל API, התגובות מפוזרות על פני הספקטרום. בעוד 52% מהנשאלים מכירים בצורך לתעדף זאת, 47% כמעט שוות ערך תופסים זאת כחשיבות נמוכה עד בינונית. המדאיגים ביותר הם שמונה האחוזים הרואים בכך זניח. עמדה מפוזרת זו מדגישה את ההבנה וההכרה הבלתי עקבית של התעשייה בסיכון API, ומאותתת על סדק פוטנציאלי בשריון הדיגיטלי של ארגונים רבים.

  4. סיכון לא ידוע ומשטח ההתקפה המתרחב: הרעיון של סיכון לא ידוע קשור באופן מהותי לנוף ה-API המתרחב. כאשר 40% מהארגונים בודקים רק לסירוגין את ממשקי ה-API שלהם לאיתור נקודות תורפה, איומים פוטנציאליים רבים נותרים מתחת לרדאר. הנתונים מדגישים את החומרה: רק 21% מהמתקפות הקשורות ל-API ניתנות לזיהוי וניתנות להכלה, מה שמרמז שרוב התוקפים מנצלים סיכון לא ידוע. בעוד ש-27% מייחסים את העדיפות העליונה ביותר לפרופיל אבטחת API, מספר לא מבוטל עשוי להישאר לא מודע לאיומים הנסתרים האורבים במסגרות הדיגיטליות שלהם.

לפרש את הלא נודע

המהות של בעיית הסיכון הלא ידוע היא לא רק על האיומים המוחשיים שעומדים בפני ממשקי API אלא גם על החסמים הבלתי מוחשיים בתוך ארגונים שמונעים מהם לזהות ולטפל באיומים אלה ביעילות. זהו אתגר כפול: האחד, הפיכת ארגונים למודעים לסיכונים הפוטנציאליים, ושניים, לצייד אותם בכלים, בידע ובמשאבים כדי להפחית את הסיכונים הללו.

ככל שתפקידם של ממשקי API בתשתיות ארגוניות ממשיך לגדול, הסיכונים הלא ידועים הנלווים הופכים לאיום בלתי נראה. הקשר הזה בין נפח, גיוון ושכיחות של הערכת סיכונים הוא המקום שבו ארגונים רבים עשויים למצוא את הפגיעויות הגדולות ביותר שלהם. זה לא רק על ניהול עוד ממשקי API; מדובר בהבנה היכן נמצאים הנקודות העיוורות ולטפל בהן באופן יזום.

על המחבר

ריצ'רד בירד

ריצ'רד בירד משמש כקצין האבטחה הראשי ב-Traceable. עם ניסיון עצום כמנהל ברמת C הן בתחום הארגוני והן בתחום הסטארט-אפים, ריצ'רד ידוע בכל העולם בשל מומחיותו באבטחת סייבר, פרטיות נתונים, זהות ואפס אמון. נואם מרכזי פורה, הוא מצטיין בהתאמת מציאות אבטחת סייבר עם ציוויים עסקיים. כעמית בכיר במכון CyberTheory Zero Trust וחבר מועצת הטכנולוגיה של פורבס, התובנות של ריצ'רד מוצגות לעתים קרובות במדיה המובילה, כולל הוול סטריט ג'ורנל, CNBC ו-CNN.

בול זמן:

עוד מ קריאה אפלה