Sunnyvale, Californien – 4. oktober 2022 – Sekvenssikkerhed, den førende udbyder af Unified API Protection, udgav i dag sin første halvår 2022-rapport med titlen "API-beskyttelsesrapport: Shadow API'er og API-misbrug eksploderer.” Det vigtigste blandt resultaterne var cirka 5 milliarder (31 %) ondsindede transaktioner rettet mod ukendte, uadministrerede og ubeskyttede API'er, almindeligvis omtalt som skygge-API'er, hvilket gør dette til den største trussel, der udfordrer industrien.
"Virkeligheden er den dagligdags luksus, vi nyder godt af, da forbrugere som samkørsel og levering af mad er bygget på API'er," sagde Ameya Talwalkar, CEO og grundlægger, Cequence Security. "Vores forskning viste, at de innovative måder, virksomheder kan forbedre kundeoplevelser på, også er den største trussel mod deres sikkerhed, kundernes tillid og i sidste ende deres bundlinje. Disse virksomheder skal genoverveje, hvad der er prioriteret i deres sikkerhedsstrategi, begyndende med API-beskyttelse."
Rapporten er udviklet af CQ Prime Threat Research-teamet og er baseret på en analyse af mere end 20 milliarder API-transaktioner observeret i løbet af første halvdel af 2022 og søger at fremhæve de største API-trusler, der plager organisationer i dag.
Toptrussel #1: Shadow API'er ramt med 5 milliarder ondsindede anmodninger
Omtrent 5 milliarder (31 %) af de 16.7 milliarder observerede ondsindede anmodninger var rettet mod ukendte, uadministrerede og ubeskyttede API'er, almindeligvis omtalt som shadow API'er, spændte over en bred vifte af brugssager. Fra de meget volumetriske sneaker-bots, der forsøger at få fat i de seneste Dunks eller Air Jordans, til snigende angribere, der forsøger en langsom strøm af korttestsvindel på stjålne kreditkort, til pure force credential-udfyldningskampagner. Drevet af højvolumenindholdsskrabning som en forløber for shoppingbot- og gavekortangreb, steg angreb på skygge-API'er i april 2022 og er fortsat med at stige i volumen i løbet af året.
Toptrussel #2: API-misbrug
Baseret på 3.6 milliarder angreb blokeret af CQ Prime Threat Research-teamet, var den næststørste API-sikkerhedstrussel, der blev afbødet i første halvdel af 2022, API-misbrug, hvilket betyder, at angribere retter sig mod korrekt kodede og inventarførte API'er. Denne konstatering fremhæver behovet for at bruge industristandardlister som OWASP som udgangspunkt, ikke et slutmål. De mest almindeligt blokerede angreb er vejledende for de strategier, angriberne bruger. Disse omfattede:
- 3 milliarder shopping-bots rettet mod sneakers eller luksusvarer
- 290 millioner gavekortkontrolangreb
- Forsøg på at oprette cirka 237 millioner falske konti på populære dating- og shoppingapplikationer
Toptrussel #3: The Unholy Trinity: Credential Stuffing, Shadow API'er og følsom dataeksponering
Baseret på 100 millioner angreb betyder den kombinerede brug af API2 (Broken User Authentication), API3 (Excessive Data Exposure) og API9 (Improper Assets Management) to ting: Angribere udfører detaljerede analyser af, hvordan hver API fungerer, hvordan de interagerer med hver enkelt API. andet, og det forventede resultat og udviklere skal altid være årvågne med at følge bedste praksis for API-kodning.
Reduktion af kontoovertagelse sparer $193 millioner
CQ Prime Threat Research-teamet fremhævede den fortsatte popularitet af kontoovertagelser (ATO), og hjalp kunder med at afbøde omkring 1.17 milliarder ondsindede kontologin-anmodninger – alt sammen mod API'er. Populariteten af ATO'er kan knyttes direkte til deres alsidighed, som er blevet forstærket af vedtagelsen af API'er til kontologin og vises i hele denne rapport. Endnu vigtigere er virkningen af en ATO på virksomheden betydelig, idet hver hændelse varierer i omkostninger fra $290 (Juniper Research) og omkring 9 timers efterforskningsarbejde til $311 (Federal Trade Commission). Afhjælpningsindsatsen beskyttede omkring 11.7 millioner konti, hvilket svarer til en besparelse på $193 millioner på tværs af alle kunder.
"Vores analyse og resultater er baseret på virkelige angreb i naturen," sagde William Glazier, direktør for trusselsforskning hos Cequence Security. "Vores resultater understreger vigtigheden af, at it- og sikkerhedsledere har en fuldstændig forståelse af, hvordan korrekt kodede API'er, såvel som dem med fejl, kan angribes. Alene stikprøvestørrelsen på 20 milliarder betyder, at der er stor sandsynlighed for, at virksomheder på tværs af brancher bliver påvirket af disse typer trusler."
Rapporten fremhæver vigtigheden af at forstå de taktikker, teknikker og procedurer (TTP'er), som angribere bruger til at udnytte risici, og hvordan angribere vil reagere på modstand. Dette betyder ikke kun at sikre, at API'er ikke er modtagelige for OWASP API Security Top 10 som udgangspunkt, men også at se på, hvad der kan defineres som API10+, en kategori, der omfatter de mange forskellige måder, som en perfekt kodet API kan blive misbrugt.
Hent rapportens fulde resultater.
Se Infografik.
Om Cequence
Cequence Security, pioneren inden for Unified API Protection, er den eneste løsning, der forener API-opdagelse, lagersporing, risikoanalyse og native mitigation med dokumenteret trusselsbeskyttelse i realtid mod konstant udviklende API-angreb. Cequence Security sikrer mere end 6 milliarder API-opkald om dagen og beskytter mere end 2 milliarder brugerkonti på tværs af vores Fortune 500-kunder. Vores kunder stoler på, at vi beskytter deres API'er og webapplikationer med det mest effektive og adaptive forsvar mod online-svindel, forretningslogiske angreb, udnyttelser og utilsigtet datalækage, hvilket gør dem i stand til at forblive modstandsdygtige i nutidens stadigt skiftende forretnings- og trusselslandskab. Lær mere på www.cequence.ai.
