Che cos'è applicazione web e API protezione (WAAP)?
applicazione web e API Protection (WAAP) descrive una suite di strumenti di sicurezza che individuano e proteggono l'attuale complesso Applicationazione. Ampie porzioni dell'attuale application web sono costruite e gestite tramite Applicazione Programming Interfaces (API) – interfacce software leggere che permettono ad Applicazione di condividere dati. Questa interattività apre però nuove strade di attacco, e WAAP è progettato appositamente per colmare le lacune che le API hanno creato nella sicurezza di rete tradizionale.
Come il WAF tradizionale è limitato
Prima di addentrarsi nelle capacità WAAP, vale la pena contestualizzare il panorama delle minacce per cui sono costruite. Le API sono progettate per condividere dati in modo rapido e semplice. Questo li rende drasticamente diversi dal software che le vecchie piattaforme di sicurezza di rete tenevano al sicuro. I Web Application Firewall (WAF) sono stati costruiti per proteggere applicazioni web con comportamenti prevalentemente statici e una base utenti che comunica in modi prevalentemente predefiniti. Questo è un ambiente ideale per le politiche di sicurezza Base di regola: i WAF semplicemente controllavano ogni comunicazione HTTP rispetto alle loro politiche interne; Qualsiasi cosa che assomigli a comportamenti sospetti potrebbe essere bloccata prima che un attacco raggiunga gli utenti interni.
Per dimostrare perché l'approccio basato sulle politiche del WAF è limitato, valutiamo alcuni dei rischi comuni che la sicurezza delle API deve affrontare:
Autenticazione Utente Corretta
Quando interagiscono con le app web, gli utenti dovrebbero poter accedere solo alle risorse che corrispondono al livello di autorizzazione del loro ruolo. Tuttavia, alcune API non sono codificate per eseguire un controllo di autenticazione dell'utente – una vulnerabilità così comune che OWASP le ha assegnato il nome di Broken Object Level Authorization. API che non eseguono questa azione permettono a un attaccante di chiamare un API, inserire un ID utente falso nel parametro utente e ottenere accesso a quell'utente o all'Endpoint i dettagli di 's.
Token Theft
In alternativa, le API che autenticano i loro utenti potrebbero essere a rischio di furto di token. Ogni volta che l'utente o l'endpoint verifica la loro identità con il server di autenticazione del API, ricevendo un token che verifica il loro accesso al APIsottostante. Questi token dovrebbero essere impostati per scadere regolarmente – tuttavia, alcuni sviluppatori scelgono di emettere token permanenti. Se questo token viene rubato, ad esempio tramite un attacco man-in-the-middle, un attaccante può accedere all'account dell'utente indefinitamente.
Limitazioni delle regole WAF
Le regole WAF sono essenzialmente incapaci di individuare accessi impropri all'interno delle API. Un WAF progettato per individuare i pattern HTML fatica enormemente contro le strutture complesse e annidate usate dalle API. Le firme non sono il formato ottimale per codificare in modo affidabile processi aziendali e di autenticazione.
Peggio ancora, tentare di implementare firme WAF in contesti API spesso produce un gran numero di falsi positivi. Questo significa che il WAF emette avvisi e può persino bloccare l'uso legittimo dell'API.
WAAP: Come funziona e componenti fondamentali
Questo non significa dichiarare WAF obsoleto – al centro di WAAP c'è un Web Application Firewall. Anche WAAP segue lo stesso design architettonico, poiché è posizionato come un reverse proxy che si colloca tra utenti e servizi backend.
Tuttavia, invece di affidarsi esclusivamente alle capacità WAF, WAAP beneficia di diversi componenti aggiuntivi. Nota che Gartner definisce WAAP come basato su cloud, poiché richiede non solo integrazione con gli strumenti rete preesistenti di un'organizzazione, ma anche una spina dorsale di threat intelligence aggiornata continuamente.
Web Application Firewall (WAF)
Il WAF continua a fungere da livello difensivo efficiente e altamente scalabile. Ispeziona tutto il traffico HTTP/S che va e viene dall'Applicazione e dai suoi utenti – una base fondamentale per proteggere un web applicativo. I moduli WAF avanzati si basano su un regolamento continuamente aggiornato, che consente patch virtuali man mano che le minacce vengono scoperte. I feed di minaccia in tempo reale possono incorporare l'intera gamma di feed di intelligence sulle vulnerabilità di un fornitore, consentendo una protezione quasi in tempo reale.
Parallelamente, un WAF avanzato può offrire l'Ispezione Profonda dei Pacchetti (DPI). I WAF tradizionali esaminerebbero le intestazioni dei pacchetti delle richieste degli utenti – che mostrano dove il pacchetto viaggia da e da lì, insieme a come viene instradato lì. Il DPI supera questo esaminando l'intero contenuto dei pacchetti dati e il loro carico utile, mentre attraversano una rete.
Questa analisi più approfondita permette a un motore WAF di bloccare non solo pacchetti singolarmente pericolosi, ma anche attacchi più complessi, come un Applicazione compromesso che inizia a richiedere connessioni a server di comando e controllo. I protocolli guidati dal contesto possono quindi considerare il contesto più ampio di ogni richiesta, come l'identità dell'utente, la posizione, l'ora, i Dispositivi e dove i dati compaiono all'interno della richiesta.
Infine, tutti questi dati di traffico HTTPS in tempo reale vengono inseriti in una piattaforma di analisi comportamentale. Questo permette al WAF di costruire un profilo di come ogni applicazione viene chiamata nel tempo e di come si comportano i diversi utenti.
API gateway
La sicurezza delle API è un componente fondamentale di WAAP. Architetturato come gateway API, il WAAP agisce come un unico punto di ingresso che assorbe ogni richiesta, prima di instradarle al servizio backend appropriato o di invocare eventuali servizi backend richiesti e aggregarne i risultati.
Dal punto di vista della visibilità della sicurezza, questo permette una visibilità API molto migliore. API scoperta può essere semi-automatizzata, poiché la soluzione WAAP scansiona il traffico e gli endpoint associati per rilevare l'API attualmente in uso. Una volta aggiunto a un inventario, viene eseguita una revisione manuale – le API verificate vengono spostate in un inventario di base, mentre eventuali scoperte impreviste vengono segnalate come shadow API e elencate per ulteriori verifiche.
Parte di questo processo include la validazione dello schema a cui ogni API aderisce. Quando ogni API viene scoperta, lo strumento WAAP assorbe i dati campionati di richieste e risposte e li confronta con un elenco interno di schemi comuni. Qualsiasi schema raro può essere verificato manualmente. Oltre allo schema, questa scoperta WAAP include gli elementi di autenticazione di ciascuna API.
Gli schemi API appresi o importati permettono di applicare la validazione alle richieste in entrata e in uscita. Questo, quindi, garantisce che anche le API di terze parti rispettino le migliori pratiche come l'autenticazione OAuth 2.0, la sanificazione degli input e la limitazione di velocità. Le piattaforme WAAP moderne spesso integrano gateway API per la visibilità in tempo reale del traffico e la gestione automatizzata dell'inventario API.
Gestione dei bot
Sebbene API e singoli utenti siano importanti da proteggere, c'è un altro attore da considerare quando si protegge Applicationazione: i bot. Per fortuna, i bot spesso si comportano in modi che li differenziano dagli utenti veri e dalle chiamate API – ad esempio, gli umani muovono i puntatori del mouse in modi casuali e organici, mentre i bot simulano i movimenti del mouse in linee meccaniche rette, o non lo fanno affatto. WAAP raccoglie attività lato client, insieme a parametri come Dispositivi, browser e rete.
Le migliori pratiche WAAP indicano quindi che un bot sospettato deve ricevere una sfida, come JavaScript o CAPTCHA. Una volta verificato come bot, può essere bloccato o assegnato a limiti di frequenza sensati.
Gestione degli accessi
In precedenza, abbiamo accennato all'importanza dell'autenticazione API sicura. WAAP garantisce visibilità e applicazione di questo aspetto, integrandosi con il fornitore preesistente di Identity and Access Management (IAM) di un'organizzazione.
Una volta integrato, il WAAP può catturare e validare tutti i token di accesso emessi nell'autenticazione API – e garantire che ogni chiamata API porti una credenziale valida e non scaduta. Questo fornisce un quadro attraverso il quale un'organizzazione può rilevare e rimuovere token di accesso rubati, facendo rispettare al contempo il rinnovo regolare dei token all'interno delle sue API attive.
Dal punto di vista dell'utente finale, gli strumenti WAAP possono rendere il processo di autenticazione più veloce, poiché supportano identità federate e integrazioni SSO. Ciò significa che l'autenticazione per i Dispositivi affidabili può essere effettuata in background.
Massimizzare la sicurezza delle API con Check Point
Check Point offers transparent API discovery and schema enforcement: it then applies dual AI engines – one trained on vast volumes of malicious and benign traffic, the other continuously modeling the unique context of your applications – to automatically block threats with near-zero false positives.
Finally, Check Point collates all ongoing API and web application data into a unified dashboard. Reporting is made fast and efficient thanks to audit-ready logs, while Check Point’s global infrastructure provides local Points of Presence that keep latency low and maintain a high level of scalability.
Explore the Check Point dashboard for yourself with a demo and start unveiling the APIs within your organization.
