博客

API 攻击预防： 为网络犯罪分子的新账户接管目标做好准备

Angel Grant 缩略图
安吉尔·格兰特
2023 年 7 月 25 日发布

在不断变化的威胁形势下，网络犯罪分子正在将 API 作为进行帐户接管(ATO) 欺诈的新武器，因为它们可以直接访问有价值的资源和功能。 API 威胁已经成为一个问题，OWASP 刚刚发布了其新的2023 年十大 API 安全风险列表，以帮助引起人们对组织需要解决的领域的关注。

犯罪分子已将其 ATO 策略转向使用恶意机器人针对 API 进行攻击，从撞库攻击和业务逻辑滥用到DDoS 攻击，所有这些攻击通常都会导致application停机、身份盗窃和欺诈。 这些攻击比以往任何时候都更容易利用现成的工具进行策划，而且很难用传统的机器人防御技术来检测。

根据F5 首席技术官办公室的估计，未来几年生产中的 API 数量将呈指数级增长。 到 2030 年，投入生产的 API 数量可能会达到 5 亿至 15 亿以上。 不幸的是，这对于不断寻求扩大目标的网络犯罪分子来说是一个好消息。

API 蔓延导致许多盲点，从而可能导致漏洞

  • 开放的设计和可预测的结构创造了许多易于探测的敞开的门。
    开发人员倾向于构建遵循逻辑架构（例如 REST）且具有可预测结构的灵活 API，这使得犯罪分子可以轻松探测可能已暴露的其他数据。

  • 跨组织可见性的降低使得观察 API 活动变得困难——尤其是在您不知道 API 存在的情况下。
    API 通常在 SecOps 团队了解之前就已发布，从而形成了影子或僵尸 API 生态系统，并且缺乏对 API 流量的端到端可见性。

  • 复杂性的增加会导致不受管理和不安全的 API，从而扩大攻击面。
    分布式环境和服务的激增使得持续发现、管理和监控所有 API 变得具有挑战性，这导致威胁数量增加以及安全和隐私事件的脆弱性增加。

现有的安全控制措施可能无法保护 API 免受 ATO 攻击

现代恶意机器人攻击不断发展，导致传统的机器人预防工具无法维持其效力。 对于 API 而言，这个问题可能会变得更加严重，因为机器人攻击会以各种新的和不同的方式针对 API，从自动探索扫描到操纵资源和业务逻辑漏洞，再到进行撞库攻击和注入攻击。

API撞库攻击攻击是传统机器人缓解策略为何会让您暴露的一个很好的例子。 有些 API 在提交用户名和密码后提供身份验证令牌，类似于登录网站。 此令牌通常用于对 API 发出的所有其他请求。这是 API 中常见的一种模式，尤其是较旧的 API，并且容易受到撞库攻击和密码喷洒攻击。

区分攻击者和真实客户非常困难，因为这些类型的针对性攻击绕过了大多数传统控制。 传统安全控制，例如基本Web 应用防火墙 (WAF)和安全信息和事件管理 (SIEM) 系统，不足以识别和防止针对 API 的机器人攻击，部分原因是机器到机器或 API 到 API 的流量巨大。 攻击表面上看起来像是正常的应用程序行为，但在后台，API 可能会被利用和滥用，从而使攻击者能够逃避检测，直到为时已晚。

成功的 API安全策略需要多方面警惕，才能防范 ATO 攻击

API 安全是整个组织的共同责任，这更加需要关注导致入侵和数据泄露的机器人驱动攻击，以及影响传统 Web 应用程序和现代 API 结构正常运行时间和可靠性的攻击。

当谈到 API 安全性以及防止通过 API 进行未授权访问（无论是通过撞库攻击、暴力破解还是其他强制登录尝试机制）时，复杂的 AI/ML 引擎可以通过识别失败的登录尝试活动或发现 API 参数的尝试，并标记这些尝试以供运营团队审查来提供帮助。

组织应采用多种方法来加强其 API 安全性，包括验证连接和访问、监控和警告随时间推移的行为，以及帮助识别异常客户端行为以查明潜在的危害领域。

  • 持续监控和保护 API 端点，以识别不断变化的应用程序集成、检测易受攻击的组件并减轻通过第三方集成造成的攻击。
  • 实施与您的 CI/CD 管道集成的积极安全模型，并支持 OpenAPI 和 Swagger 接口规范，以轻松验证模式、强制协议合规性、自动基线正常流量模式并检测异常行为。
  • 通过采用最小特权访问原则、检查有效负载、防止未经授权的数据暴露以及对对象和功能实施访问控制和基于风险的身份验证，实现零信任和基于风险的安全性。 这应该包括收集情报并为机器人针对您的 API 的正常行为建立基线。 通过利用行为和模式分析、工作流验证和指纹识别，您可以区分人类、好机器人和坏机器人的活动。
  • 通过防止异构环境中的安全配置错误、减轻可能导致入侵和拒绝服务的滥用、以及跨云和跨架构一致地补救威胁，来对不断变化的应用生命周期做出反应。 持续扫描、测试和监控您的 API，以发现错误配置、漏洞和业务逻辑缺陷。

您应该探索集中查看您的 API 安全态势，以便您的组织能够快速行动，识别 API 环境中的潜在问题，深入研究、调查并采取适当行动，以消除可能影响连接性、可用性或应用程序和 API 安全的任何异常或威胁。

在此点播网络研讨会上了解有关如何防止帐户接管攻击的更多信息。