La gestion de la surface d’attaque est l’une des difficultés les plus difficiles auxquelles sont confrontés les groupes de sécurité modernes. Dans les environnements hybrides et multi-cloud d’aujourd’hui, chaque application et API est une cible potentielle que les cybercriminels peuvent et vont exploiter.
Aujourd’hui, le fournisseur de services CDN Akamai Technologies, Inc. a publié un tout nouveau rapport exposant une croissance de 257 % des attaques d’applications Web et d’API contre les institutions de services financiers d’une année sur l’autre.
Le même rapport a également révélé que les attaques DDoS contre les institutions de services monétaires ont augmenté de 22 % d’une année sur l’autre et a constaté que les acteurs du risque utilisent des méthodes dans leurs campagnes de phishing pour contourner deux -services d’authentification par facteur.
Bien que les résultats se réfèrent aux organisations de services monétaires, le rapport a des ramifications plus complètes pour les entreprises et souligne que les applications Web et les API sont une cible principale pour les cybercriminels à l’avenir.
Événement
Sécurité intelligente Haut
Découvrez le rôle critique de l’IA et du ML dans la cybersécurité et les études de cas spécifiques à l’industrie le 8 décembre. Inscrivez-vous pour votre laissez-passer gratuit dès aujourd’hui.
Inscrivez-vous maintenant
Les attaques API et la surface d’attaque croissante
Akamai n’est pas le seul fournisseur à avoir remarqué la tendance croissante des attaques d’API. Une étude publiée par Noname Security a révélé que 41 % des organisations ont eu un événement de sécurité API au cours des 12 derniers mois, 63 % impliquant une violation d’informations ou une perte de données.
L’un des principaux facteurs de la grande quantité de L’exploitation des API ciblant les entreprises et les institutions de services monétaires, est qu’il existe une grande surface d’attaque des applications Web et des API que la plupart des groupes de sécurité n’ont pas les ressources ou les connaissances nécessaires pour sécuriser.
« Les entreprises ont déplacé les installations essentielles vers les APIS, de sorte que les méchants suivent les revenus. Cependant, en plus de cela, les API sont plus récentes et, dans la plupart des cas, n’ont pas exactement le même niveau de maturité des procédures et des contrôles de sécurité, et sont donc plus sensibles », a déclaré Steve Winterfield, CISO consultatif chez Akamai.
« Enfin, il est plus facile d’automatiser les attaques que lorsqu’elles sont créées pour l’automatisation. Ces aspects se combinent pour faire des API un endroit judicieux sur lequel les agresseurs peuvent se concentrer. C’est également la raison pour laquelle les RSSI doivent se concentrer sur eux. » a déclaré Winterfield.
Travailler vers la sécurité des API
Il existe un certain nombre d’actions que les entreprises peuvent exiger pour accroître leur résilience face aux dangers liés aux API.
Au plus haut niveau, Gartner suggère aux entreprises d’acheter des innovations pour découvrir, cataloguer et valider automatiquement les API, tout en développant une méthode de sécurité qui intègre les tests de sécurité des API et le contrôle d’accès aux API.
Une plus grande ouverture sur les API internes et tierces utilisées garantit que les entreprises restent en mesure de commencer à atténuer les vulnérabilités potentielles dans la zone de surface d’attaque.
En outre, Winterfield suggère aux entreprises de revoir leurs conceptions de danger pour déterminer si elles ont correctement classifié les risques de fraude et de clients en fonction de ces nouvelles informations, tout en mettant à jour les défenses contre le phishing pour contrer les attaques MFA actuelles avec des capacités conformes à FIDO2.
Plus généralement, l’exécution des meilleures pratiques et procédures du marché, telles que Cyber Eliminate Chain et l’architecture Absolutely no Trust 800-207 du NIST, peut contribuer à renforcer la cyber-résilience face aux derniers dangers.
L’objectif de VentureBeat est d’être une place publique numérique permettant aux décideurs techniques de mieux comprendre la technologie d’entreprise transformatrice et d’effectuer des transactions. Découvrez nos aperçus.
Toute l’actualité en temps réel, est sur L’Entrepreneur
