Avant le week-end, Google a annoncé un renforcement de la sécurité des API de Google Cloud. Grâce au framework Advanced API Security, les utilisateurs pourront identifier les menaces potentielles, supprimer le trafic de robots et repérer les violations de données causées par des erreurs de configuration ou des attaques d'API. Advanced API Security découle de l'acquisition, en 2016, d'Apigee par Google pour 625 millions de dollars. Selon l’entreprise, le nouveau système permet aux utilisateurs d’aller voir plus en profondeur dans le trafic API pour y détecter des modèles inhabituels pouvant révéler un exploit en cours.
L’exploitation des API est devenue l'un des principaux vecteurs d'attaques contre les applications Web. D’après une étude de Gartner citée par Google, à partir de cette année, les violations d'API seront la principale méthode d'attaque utilisée contre ces applications. Le système vérifie régulièrement toutes les API gérées par un système donné et signale automatiquement les problèmes au service IT en cas d’anomalie. Les utilisateurs peuvent également définir des politiques de sécurité standard auxquelles les API doivent se conformer et, là encore, le système les signale automatiquement en cas de violation. Le système utilise aussi des règles prédéfinies pour identifier le trafic de robots dans les informations envoyées ou reçues via l'API : des modèles de trafic inhabituels générés par des robots déclencheront une alerte et signaleront l'incident à l'équipe IT. Même les bots qui reçoivent un code de réponse HTTP 200 OK peuvent être identifiés par le système, ce qui, selon Google, facilitera l’identification des violations de données après coup.
Des attaques courantes dans les secteurs de la santé et les services financiers
Selon Google, les secteurs des services financiers et de la santé sont particulièrement exposés aux menaces liées aux API. Le système de santé utilise beaucoup d'API interconnectées pour permettre aux prestataires de partager en toute sécurité des informations avec les compagnies d'assurance et fournir des recommandations de traitement automatisé, offrant ainsi aux mauvais acteurs qui cherchent à accéder aux données des patients une surface d'attaque vulnérable. De même, le secteur des services financiers traite d’importantes quantités de données transactionnelles de grande valeur et les normes bancaires ouvertes nécessitent un support API étendu pour fonctionner. C’est pourquoi il représente une cible attractive pour les hackers malveillants. « La sécurité des API est devenue une préoccupation importante car elles exposent l’activité », a déclaré Vikas Anand, chef de produit chez Google Cloud, dans un billet de blog officiel annonçant ces fonctionnalités de sécurité. « L’offre étendue d’expériences numériques va de pair avec un usage croissant des API et augmente les volumes de trafic », a-t-il ajouté. L'annonce de la semaine dernière précise toutefois que ce système n'est qu'une version préliminaire. Google n'a pas indiqué à quel moment ces fonctionnalités seraient généralement disponibles.