Środowiska programistyczne zawierają wiele bibliotek API, które mogą zagrażać bezpieczeństwu. Należy je klasyfikować i zawsze monitorować. Dostępne są specjalistyczne narzędzia stworzone w tym celu. Warto również kontrolować deweloperów w celu identyfikowania użytych bibliotek API.

Zdarza się, że w strategii bezpieczeństwa interfejsy API są pomijane, często słyszane jest „chcemy udostępnić nasze dane…”. Takie podejście jest bardzo niebezpieczne zwłaszcza, gdy nie idzie w parze z zastanawianiem się nad zabezpieczeniem procesu udostępniania danych.

API upraszcza korzystanie z usług firm trzecich we własnych rozwiązaniach. Często są to mapy, bazy wiarygodności kredytowej czy kursy walut. Należy jednak zastanowić się na tym co się stanie, kiedy podmiot trzeci odmówi dostępu albo nastąpi u niego naruszenie infrastruktury. Często brakuje w organizacjach scenariuszy postępowania w takich przypadkach.

Interfejsy API wykorzystywane są często do komunikacji pomiędzy systemami IT wyłącznie wewnątrz przedsiębiorstwa. Może się to wiązać z lekceważeniem stosowania wobec nich restrykcyjnej polityki bezpieczeństwa. Pomimo braku dostępu z zewnątrz, nadal powinny być monitorowane pod kątem bezpieczeństwa.

Poważnym zagrożeniem są luki w usługach oferujących dostęp do danych za pośrednictwem API. Cyberprzestępcy zamiast atakować bezpośrednio infrastrukturę, włamują się na serwery strony internetowej lub aplikacji posiadającej autoryzowany dostęp, w celu kradzieży tożsamości (podszycia się pod nią) lub pozyskania kluczy dostępu.

Wszebor Kowalski, inżynier techniczny Bitdefender z firmy Marken, uwrażliwia przedsiębiorstwa na obecność w ich infrastrukturze IT interfejsów API oraz związane z tym ryzyko. Specjalista radzi, aby zawsze je monitorować, wykrywając wszelkie anomalie, ponieważ nie uda się zabezpieczyć przed problemami, o których się nie wie. Wiele naruszeń z wykorzystaniem API dotyczy przedsiębiorstw, które nie zdają sobie sprawy z tego, że interfejsy te są obecne w ich infrastrukturze IT.

Źródło: Bitdefender