سوال: زومبی APIs اور شیڈو APIs میں کیا فرق ہے؟
نک راگو، فیلڈ سی ٹی او، سالٹ سیکیورٹی: زومبی APIs اور شیڈو APIs ایک بڑے چیلنج کے ضمنی مصنوعات کی نمائندگی کرتے ہیں جس سے نمٹنے کے لیے کاروباری ادارے آج جدوجہد کر رہے ہیں: API پھیلاؤ۔
چونکہ کمپنیاں APIs سے وابستہ کاروباری قدر کو زیادہ سے زیادہ کرنے کی کوشش کرتی ہیں، APIs پھیل چکے ہیں۔ ڈیجیٹل تبدیلی، مائیکرو سروسز میں ایپ کی جدید کاری، API-پہلی ایپ آرکیٹیکچرز، اور تیزی سے مسلسل سافٹ ویئر کی تعیناتی کے طریقوں میں پیشرفت نے تنظیموں کے ذریعہ تخلیق کردہ اور استعمال میں آنے والے APIs کی تعداد میں تیز رفتار ترقی کو ہوا دی ہے۔ اس تیز رفتار API کی پیداوار کے نتیجے میں، API کے پھیلاؤ نے خود کو متعدد ٹیموں میں ظاہر کیا ہے جو متعدد تقسیم شدہ انفراسٹرکچر (آن پریمیسس ڈیٹا سینٹرز، متعدد پبلک کلاؤڈز، وغیرہ) میں متعدد ٹیکنالوجی پلیٹ فارمز (لیگیسی، کوبرنیٹس، VMs، وغیرہ) کا فائدہ اٹھاتے ہیں۔ . زومبی APIs اور شیڈو APIs جیسے ناپسندیدہ ادارے اس وقت ابھرتے ہیں جب تنظیموں کے پاس API پھیلاؤ کو منظم کرنے کے لیے مناسب حکمت عملی نہیں ہوتی ہے۔
سیدھے الفاظ میں، زومبی API ایک بے نقاب API یا API کا اختتامی نقطہ ہے جو ترک، پرانا، یا بھول گیا ہے۔ ایک موقع پر، API نے ایک فنکشن پیش کیا۔ تاہم، اس فنکشن کی مزید ضرورت نہیں ہو سکتی ہے یا API کو نئے ورژن کے ساتھ تبدیل/اپ ڈیٹ کر دیا گیا ہے۔ جب کسی تنظیم کے پاس پرانے APIs کو ورژن بنانے، فرسودہ کرنے اور ختم کرنے کے ارد گرد مناسب کنٹرول نہیں ہوتا ہے، تو وہ APIs غیر معینہ مدت تک برقرار رہ سکتے ہیں - اس لیے زومبی کی اصطلاح۔
Because they are essentially forgotten, zombie APIs don’t receive any ongoing patching, maintenance, or updates in any functional or security capacity. Therefore, the zombie APIs become a security risk. In fact, Salt Security’s “API سیکیورٹی کی حالت” report names zombie APIs as organizations’ No. 1 API security concern over its past four surveys.
In contrast, a shadow API is an exposed API or an API endpoint whose creation and deployment were done “under the radar.” Shadow APIs have been created and deployed outside of an organization’s official API governance, visibility, and security controls. Consequently, they can pose a wide variety of security risks, including:
- API میں مناسب توثیق اور رسائی کے دروازے نہیں ہوسکتے ہیں۔
- API حساس ڈیٹا کو غلط طریقے سے ظاہر کر رہا ہے۔
- ہوسکتا ہے کہ API سیکیورٹی کے نقطہ نظر سے بہترین طریقوں پر عمل نہ کر رہا ہو، جس سے یہ بہت سے لوگوں کے لیے کمزور ہو جاتا ہے۔ OWASP API سیکیورٹی ٹاپ 10 حملے کی دھمکیاں.
اس کے پیچھے متعدد محرک عوامل کارفرما ہیں کیوں کہ ایک ڈویلپر یا ایپ ٹیم ایک API یا اینڈ پوائنٹ کو تیزی سے تعینات کرنا چاہے گی۔ تاہم، ایک سخت API گورننس کی حکمت عملی کی پیروی کی جانی چاہیے تاکہ کنٹرولز کو نافذ کیا جا سکے اور اس پر عمل کیا جائے کہ محرک سے قطع نظر API کو کیسے اور کب تعینات کیا جاتا ہے۔
خطرات میں اضافہ کرتے ہوئے، API کا پھیلاؤ اور زومبی اور شیڈو APIs کا ابھرنا اندرون ملک تیار کردہ APIs سے آگے بڑھتا ہے۔ پیکیجڈ ایپلیکیشنز، SaaS پر مبنی خدمات، اور بنیادی ڈھانچے کے اجزاء کے حصے کے طور پر تعینات اور استعمال کیے گئے فریق ثالث APIs اگر مناسب طریقے سے ایجاد، نظم و نسق اور دیکھ بھال نہ کیے گئے تو مسائل بھی پیش کر سکتے ہیں۔
زومبی اور شیڈو APIs ایک جیسے ہیں۔ سیکورٹی خطرات. Depending on an organization’s existing API controls (or lack thereof), one may be less or more problematic than the other. As a first step to tackle the challenges of zombie and shadow APIs, organizations must use a proper API discovery technology to help inventory and understand all of the APIs deployed in their infrastructures. Additionally, organizations must adopt an API governance strategy that standardizes how APIs are built, documented, deployed, and maintained — regardless of team, technology, and infrastructure.
