Le fournisseur de sécurité dans le cloud Akamai a annoncé le lancement d'API Security, un produit conçu pour stopper les attaques sur les API et détecter les abus de logique métier au sein des API. La solution complète un autre service existant App & API Protector (AAP), et résulte de l'acquisition de Neosec. Elle fonctionne avec n'importe quelle passerelle API, application web et protection API (WAAP), ou implémentation cloud. API Security offre une visibilité sur l'activité des API en utilisant l'analyse comportementale pour détecter les menaces, et analyse les données historiques stockées de manière unique dans un datalake, a déclaré Akamai.

Les API sont utilisées pour accéder aux données et les interroger, ainsi que pour effectuer des tâches telles que l'enrichissement et la modification des données dans le cadre de processus. Cela signifie que les API elles-mêmes doivent être sécurisées, de même que les données qui y transitent. L'utilisation croissante des API offre aux attaquants davantage de moyens de déjouer les contrôles d'authentification, d'exfiltrer des données ou de mener des actions perturbatrices, alors que les approches traditionnelles de la sécurité des applications web ne s'appliquent souvent pas à la sécurité des API.

La croissance des API entraîne une augmentation des attaques et des risques de sécurité

Les API ont fait la une des journaux l'année dernière lorsque 9,8 millions de clients d'Optus se sont fait voler des informations personnelles à cause d'une API exposée publiquement qui ne nécessitait pas d'authentification. Dans le même temps, Twitter, T-Mobile et une application destinée aux forces de l'ordre présentaient tous des vulnérabilités au niveau de l'API qui ont exposé des données.

Les attaquants ciblant les API des services financiers et des assurances sont de plus en plus actifs, avec une augmentation de 244 % du nombre d'attaquants uniques entre le premier et le second semestre de l'année dernière, selon le rapport 2023 State of API Security for Financial Services and Insurance de Salt Security. En outre, 92 % des répondants du secteur de la finance et de l'assurance ont déclaré avoir rencontré un problème de sécurité important dans les API de production au cours de l'année écoulée, et près d'un sur cinq a subi une violation de la sécurité de l'API. Par ailleurs, 71 % des personnes interrogées ont déclaré que leurs outils existants n'étaient pas très efficaces pour prévenir les attaques d'API.

Shadow Hunt, un service managé de chasse aux menaces

API Security propose la visibilité et l'audit des risques liés aux API, combinés à des capacités de détection et de réponse qui offrent une investigation complète et une chasse aux menaces, a indiqué l'entreprise dans un communiqué de presse. Elle comprend Shadow Hunt, un service managé de chasse aux menaces qui diffuse des alertes issus du machine learning aux analystes humains à des fins d'enquête, a déclaré Akamai.

La combinaison de la solution AAP d'Akamai et de l’offre API Security apporte d’autres avantages aux clients. Cela inclut une couverture plus large pour voir les API au sein et en dehors du réseau de diffusion de contenu Akamai, des détections en couches à la fois basées sur les signatures et comportementales ainsi que des réponses personnalisées pour bloquer les menaces en ligne ou résoudre les problèmes. Le fournisseur ajoute que le déploiement de toutes ces protections est facilité au sein d'un seul centre de contrôle. De plus, elles cochent toutes les cases des deux listes dressées par l'OWASP regroupant les 10 principales vulnérabilités. À noter que les clients d’Akamai peuvent également profiter d'edge connector, une intégration qui permet d’économiser le temps, l’énergie et le coût de l’intégration des produits, a déclaré l'entreprise.