أكثر من 30٪ من الهجمات الضارة تستهدف واجهات برمجة تطبيقات الظل
أكثر من 30٪ من جميع الهجمات الضارة تستهدف واجهات برمجة تطبيقات الظل
بحث جديد يسلط الضوء على كيفية استفادة المهاجمين من الابتكار القائم على واجهة برمجة التطبيقات
لندن، المملكة المتحدة. - 4 أكتوبر 2022 - أصدرت اليوم Cequence Security ، المزود الرائد للحماية الموحدة لواجهة برمجة التطبيقات ، تقريرها للنصف الأول من عام 2022 بعنوان "تقرير حماية واجهة برمجة التطبيقات: واجهة برمجة تطبيقات الظل وانفجار إساءة استخدام واجهة برمجة التطبيقات." كان من بين النتائج الرئيسية ما يقرب من 5 مليارات (31٪) من المعاملات الضارة التي استهدفت واجهات برمجة التطبيقات غير المعروفة وغير المُدارة وغير المحمية ، والتي يشار إليها عادةً باسم واجهات برمجة تطبيقات الظل ، مما يجعل هذا التهديد الأكبر الذي يتحدى الصناعة.
قالت أميا تالوالكار ، الرئيس التنفيذي والمؤسس لشركة Cequence Security: "الحقيقة هي الكماليات اليومية التي نتمتع بها حيث يتم بناء المستهلكين مثل خدمات نقل الطعام وتوصيل الطعام على واجهات برمجة التطبيقات". "وجد بحثنا أن الطرق المبتكرة التي يمكن للشركات من خلالها تحسين تجارب العملاء هي أيضًا أكبر تهديد لأمنهم ، وثقة العملاء ، وفي النهاية ، أرباحهم النهائية. يجب على هذه الشركات إعادة التفكير في ما تم تحديده في أولويات إستراتيجيتها الأمنية ، بدءًا من حماية واجهة برمجة التطبيقات. "
تم تطوير التقرير بواسطة فريق CQ Prime Threat Research ، ويستند التقرير إلى تحليل أكثر من 20 مليار معاملة API تمت ملاحظتها خلال النصف الأول من عام 2022 ويسعى إلى تسليط الضوء على أهم تهديدات واجهات برمجة التطبيقات التي تعاني منها المؤسسات اليوم.
أهم التهديدات رقم 1: واجهات واجهات برمجة تطبيقات الظل ضربت بـ 5 مليارات طلب ضار
ما يقرب من 5 مليارات (31٪) من 16.7 مليار طلب ضار تمت ملاحظتها استهدفت واجهات برمجة التطبيقات غير المعروفة وغير المُدارة وغير المحمية ، والتي يشار إليها عادةً باسم واجهات برمجة تطبيقات الظل ، امتدت على نطاق واسع من حالات الاستخدام. من روبوتات الأحذية الرياضية ذات الحجم الكبير التي تحاول الاستيلاء على أحدث Dunks أو Air Jordans إلى المهاجمين المتخفين الذين يحاولون إجراء عملية احتيال بطيئة في اختبار البطاقات على بطاقات الائتمان المسروقة إلى حملات تعبئة بيانات الاعتماد ذات القوة الغاشمة الخالصة. مدفوعة بكشف المحتوى بكميات كبيرة كمقدمة لهجمات روبوت التسوق وبطاقات الهدايا ، ارتفعت الهجمات على واجهات برمجة تطبيقات الظل في أبريل 2022 واستمرت في الارتفاع في الحجم على مدار العام.
وصــل حديــثا
أهم التهديد رقم 2: إساءة استخدام API
استنادًا إلى 3.6 مليار هجوم تم حظرها بواسطة فريق CQ Prime Threat Research ، كان ثاني أكبر تهديد أمني لواجهة برمجة التطبيقات تم تخفيفه خلال النصف الأول من عام 2022 هو إساءة استخدام واجهة برمجة التطبيقات ، مما يعني أن المهاجمين يستهدفون واجهات برمجة التطبيقات المشفرة والمخزنة بشكل صحيح. تسلط هذه النتيجة الضوء على الحاجة إلى استخدام قوائم متوافقة مع معايير الصناعة مثل OWASP كنقطة انطلاق وليس هدفًا نهائيًا. تشير معظم الهجمات المحجوبة إلى الاستراتيجيات التي يستخدمها المهاجمون. وشملت هذه:
● 3 مليارات روبوت تسوق تستهدف الأحذية الرياضية أو السلع الفاخرة
● 290 مليون هجوم فحص لبطاقات الهدايا
● محاولة إنشاء ما يقرب من 237 مليون حساب وهمي على تطبيقات المواعدة والتسوق الشهيرة
أهم تهديد رقم 3: الثالوث غير المقدس: حشو الاعتمادات وواجهات برمجة تطبيقات الظل والتعرض الحساس للبيانات
استنادًا إلى 100 مليون هجوم ، يشير الاستخدام المشترك لـ API2 (المصادقة المكسورة للمستخدم) و API3 (التعرض المفرط للبيانات) و API9 (إدارة الأصول غير الصحيحة) إلى شيئين: يقوم المهاجمون بإجراء تحليل مفصل لكيفية عمل كل واجهة برمجة تطبيقات ، وكيفية تفاعلهم مع كل منها أخرى ، والنتائج المتوقعة والمطورين بحاجة إلى البقاء يقظين دائمًا في اتباع أفضل ممارسات ترميز API.
التخفيف من حدة الاستحواذ على الحساب يوفر 193 مليون دولار
من خلال تسليط الضوء على الشعبية المستمرة لعمليات الاستحواذ على الحسابات (ATO) ، ساعد فريق CQ Prime Threat Research العملاء على تخفيف ما يقرب من 1.17 مليار طلب تسجيل دخول ضار إلى الحساب - كل ذلك ضد واجهات برمجة التطبيقات. يمكن ربط شعبية ATOs بشكل مباشر بتعدد استخداماتها ، والذي تم تضخيمه من خلال اعتماد واجهات برمجة التطبيقات (APIs) لعمليات تسجيل الدخول إلى الحساب ، وهو موضح في هذا التقرير. والأهم من ذلك ، أن تأثير ATO على الأعمال التجارية كبير ، حيث تتفاوت تكلفة كل حادث من 290 دولارًا (جونيبر للأبحاث) وما يقرب من 9 ساعات من العمل الاستقصائي إلى 311 دولارًا (لجنة التجارة الفيدرالية). أدت جهود التخفيف إلى حماية ما يقرب من 11.7 مليون حساب وهو ما يعادل توفير 193 مليون دولار لجميع العملاء.
قال ويليام جلازييه ، مدير أبحاث التهديدات في Cequence Security: "تستند تحليلاتنا ونتائجنا إلى هجمات حقيقية في البرية". "تؤكد النتائج التي توصلنا إليها على أهمية امتلاك قادة تكنولوجيا المعلومات والأمن فهمًا كاملاً لكيفية مهاجمة واجهات برمجة التطبيقات المشفرة بشكل صحيح ، وكذلك تلك التي بها أخطاء. إن حجم العينة البالغ 20 مليارًا وحده يعني أن هناك احتمالًا كبيرًا بأن تتأثر الشركات عبر الصناعات بهذه الأنواع من التهديدات ".
يسلط التقرير الضوء على أهمية فهم التكتيكات والتقنيات والإجراءات (TTPs) التي يستخدمها المهاجمون لاستغلال المخاطر وكيف سيتفاعل المهاجمون مع المقاومة. هذا لا يعني فقط التأكد من أن واجهات برمجة التطبيقات (API) ليست عرضة لـ OWASP API Security Top 10 كنقطة بداية ولكن أيضًا النظر إلى ما يمكن تعريفه على أنه API10 + ، وهي فئة تشمل العديد من الطرق المختلفة التي قد يتم فيها إساءة استخدام واجهة برمجة تطبيقات مشفرة تمامًا.
يرجى الانتقال إلى موقع ويب Cequence Security لمعرفة المزيد وللحصول على:
● تنزيل النتائج الكاملة للتقرير
● التسجيل في الندوة عبر الويب يوم الخميس ، 27 أكتوبر 2022 ، تقرير حماية واجهة برمجة التطبيقات: نتائج النصف الأول لعام 2022 الساعة 11 صباحًا بتوقيت المحيط الهادئ الصيفي و 11 صباحًا بتوقيت جرينتش
● عرض مخطط المعلومات الرسومي
حول Cequence
يعد Cequence Security ، الرائد في حماية واجهة برمجة التطبيقات الموحدة ، الحل الوحيد الذي يوحد اكتشاف واجهة برمجة التطبيقات وتتبع المخزون وتحليل المخاطر والتخفيف الأصلي من خلال حماية مثبتة في الوقت الفعلي من التهديدات ضد هجمات واجهة برمجة التطبيقات المتطورة باستمرار. يؤمن Cequence Security أكثر من 6 مليارات استدعاء لواجهة برمجة التطبيقات يوميًا ويحمي أكثر من 2 مليار حساب مستخدم عبر عملاء Fortune 500 لدينا. يثق عملاؤنا في حماية واجهات برمجة التطبيقات وتطبيقات الويب الخاصة بهم من خلال الدفاع الأكثر فاعلية وتكيفًا ضد الاحتيال عبر الإنترنت وهجمات منطق الأعمال والاستغلال وتسرب البيانات غير المقصود ، مما يمكّنهم من الحفاظ على المرونة في مجال الأعمال والتهديدات المتغيرة باستمرار. تعرف على المزيد على www.cequence.ai.
# # #
