Un rapport de Wallarm révèle que les API nouvellement lancées sont trouvées par les attaquants en moins de 30 secondes. Les nouvelles API sont généralement moins protégées et moins sûres, car les organisations comptent sur les API pour rendre leurs systèmes facilement accessibles. Le rapport montre comment les attaquants interagissent avec les API déployées.Les entreprises s'appuient sur les API pour faciliter l'accès à leurs systèmes sur toutes les plateformes. Cependant, les API sont également l'une des principales cibles des acteurs malveillants. Un rapport de Salt Security avait révélé que 95 % des personnes interrogées ont rencontré des problèmes de sécurité dans les API de production, et que 23 % d'entre elles ont subi des violations en raison d'insuffisances en matière de sécurité des API.
Le rapport montre également que le volume d'API au sein des organisations s'accélère, les données des clients de Salt montrant une augmentation de 167 % du nombre d'API au cours des 12 derniers mois et 66 % des répondants à l'enquête déclarant qu'ils en gèrent plus de 100. De ce fait, les incidents liés à la sécurité des API ont plus que doublé au cours des 12 derniers mois, 37 % des personnes interrogées ayant connu un incident, contre seulement 17 % en 2023.
Un nouveau rapport de Wallarm confirme ces chiffres et indique que les nouvelles API sont généralement moins protégées et moins sûres. Wallarm a examiné l'activité des API et, au cours des 20 premiers jours de novembre 2024, le délai le plus long pour la découverte d'une nouvelle API a été de 34 secondes. Tandis que le temps moyen nécessaire aux attaquants pour trouver une nouvelle API n'est que de 29 secondes.
Les types d'attaques les plus courants sont l'exploitation des CVE (40 %), la découverte (34 %) et les contrôles d'authentification (26 %). Les connexions via le port 80 sont les plus courantes (19 %), suivies des ports 26657, 443, 8080 et 8443. Le rapport conseille de ne pas donner aux points de terminaison d'API publics et non authentifiés des noms communs tels que /status, /info, /health ou /metrics. L'utilisation de noms moins courants, voire d'un UUID aléatoire ou d'un hachage SHA256, contribuerait à la sécurité.
Ce qui est également préoccupant, c'est la facilité avec laquelle ces attaques peuvent être lancées. L'étude calcule que les acteurs de la menace sont capables de lancer des attaques de 50 requêtes par seconde, réparties sur 50 adresses IP, avec seulement une infrastructure cloud minimale. En utilisant des techniques de regroupement ou de demande unique, il est possible de voler 10 millions d'enregistrements en une minute ou moins, à peu de frais et, en raison de la largeur de bande minimale, d'une manière difficile à détecter.
"Il est indéniable que la surface d'attaque des API augmente. L'adoption des API alimente la croissance des entreprises et les attaquants suivent l'argent", concluent les auteurs du rapport. "Ces conclusions devraient inciter les entreprises à adapter leurs pratiques de sécurité existantes et à adopter de nouveaux outils de sécurité. La découverte de la surface d'attaque de l'API est indispensable, et la protection contre les attaques de l'API en temps réel est une exigence absolue".
Ce nouveau rapport confirme l'importance de renforcer la sécurité des API. En 2023, un expert de Salt Security avait alerté sur le sujet. En commentant un rapport qui révélait une augmentation de 400 % du nombre d'attaquants uniques des API, il a déclaré : "Le coût des violations d'API ... met en péril à la fois les nouveaux services et la réputation de la marque, en plus des opérations commerciales. Les acteurs malveillants continuant à trouver des moyens nouveaux et inattendus d'attaquer les API, les entreprises doivent prendre au sérieux la sécurisation de ces actifs critiques."
En 2021, un rapport de Cloudentity avait déjà révélé que 97 % des entreprises ont connu des retards dans la mise en œuvre de nouvelles applications et d'améliorations de services en raison de problèmes d'identité et d'autorisation liés aux API et aux services. Les commentaires du PDG de Cloudentity à l'époque représentent une piste d'amélioration de la sécurité des API.
Il a notamment déclaré : "Une API expose des données sensibles auxquelles accèdent d'autres systèmes, partenaires et clients. Cela en avait fait une cible de grande valeur pour les cyberattaques. Alors que les points d'extrémité des API prolifèrent, les entreprises doivent normaliser et améliorer les contrôles qu'elles utilisent pour protéger ces données, en appliquant une approche de confiance zéro à l'accès aux API et à l'échange de données. Cela va au-delà de la simple authentification. Nous devons passer à un modèle où chaque transaction d'API est autorisée de manière dynamique et facilement auditée pour en vérifier la conformité, et surveillée pour détecter toute activité suspecte."
Source : API Honeypot Report (Wallarm)
Et vous ?
Pensez-vous que ce rapport est crédible ou pertinent ? Quel est votre avis sur le sujet ?Voir aussi :
Les attaques contre les API mettent les entreprises en danger, 27 % des attaques en 2023 ciblant la logique commerciale des API, soit une croissance de 10 %, selon le rapport d'Imperva Les consommateurs apprécient les API pour leur commodité, mais 61 % d'entre eux ne sont pas convaincus que les marques accordent la priorité à la sécurité de leurs API et des applications associées 68 % des développeurs prévoient d'augmenter leur utilisation des API en 2022, afin d'être plus productifs et de créer plus rapidement des logiciels innovants, selon RapidAPI