Comment appliquer une démarche zero-trust aux API

1. Inventorier les API

La confiance zéro nécessite une compréhension de la surface d’attaque existante. Ainsi, la première étape pour sécuriser les API consiste à découvrir et inventorier toutes les API en usage, à les évaluer pour leur utilisation continue et les risques et vulnérabilités potentiels, et à remédier à tout problème trouvé, si nécessaire.

Les outils de découverte d’API aident à trouver et évaluer toutes les API au sein de l’infrastructure informatique, que l’API soit orientée vers le public, interne ou connectée à des applications patrimoniales. Ces outils peuvent également découvrir des API fonctionnelles connectées à des applications décommissionnées.

Après les phases de découverte et d’inventaire, déterminez si les API données doivent rester en usage, à quel point elles sont sécurisées et comment les sécuriser à l’avenir. De là, remédiez aux API vulnérables ou décommissionnez celles qui ne sont plus nécessaires.

2. Évaluer le contrôle d’accès

Avec un inventaire en place, documentez et gérez les données auxquelles les API ont accès. Utilisez des outils tels que les logiciels de gestion de bases de données en mode cloud pour obtenir des informations sur les données actuellement accessibles aux APIs. Réattribuez ou renforcez les droits d’accès aux données des API selon les besoins via les mécanismes de contrôle d’accès dans la base de données.

Créez et appliquez des politiques de confiance zéro pour les API. Par exemple, utilisez des politiques de sécurité des données pour contrôler l’accès aux données. Dans une politique, définissez quels utilisateurs et rôles peuvent accéder à différents types de données, quand ils peuvent y accéder et où ils peuvent y accéder. Utilisez ces informations pour garantir que seules les API actives et sécurisées ont accès aux données auxquelles elles sont autorisées à accéder au sein d’une infrastructure.

De plus, déterminez si les données accessibles par les API décommissionnées devraient être davantage examinées ou détruites pour réduire le risque.

3. Authentification et autorisation

L’authentification et l’autorisation sont des principes importants pour la mise en œuvre de la confiance zéro. Examinez comment les utilisateurs et les appareils peuvent interagir avec les API. Considérez chaque API comme une ressource, et exigez que les utilisateurs et les appareils s’authentifient et s’autorisent avant de permettre l’accès.

L’accès aux API devrait utiliser des politiques d’accès granulaires basées sur le principe du moindre privilège. Pour authentifier le trafic API, mettez en œuvre des normes telles que OpenID et OAuth 2.0. Les méthodes d’authentification supplémentaires à envisager incluent les clés API, l’authentification HTTP et les jetons web JSON. La meilleure méthode d’authentification API varie en fonction des spécificités des API et de leurs usages. Par exemple, les clés API sont souvent utilisées pour des requêtes API plus simples et ne sont pas aussi sécurisées que OAuth ou les jetons web JSON.

4. Limitation du débit

Mettez en place une limitation de débit d’API pour aider à prévenir les attaques d’API, comme les attaques DDoS. Les attaquants utilisent les attaques en déni de service distribué pour inonder les services d’API avec un excès d’appels. Les attaques DDoS plus sophistiquées utilisent des bots pour déployer des appels d’API plus gourmands en CPU ou en mémoire afin de dégrader les services.

En outre, la limitation du débit contre les attaques en force brute restreint le nombre d’appels API par minute ou par heure, en utilisant une limite supérieure définie. Tout ce qui dépasse cette limite est automatiquement rejeté. Une limitation de taux plus sophistiquée restreint les appels API en fonction du jour, de l’heure, de la géolocalisation ou de la fréquence d’utilisation.

Pour une protection supplémentaire de l’API, mettez en œuvre des pratiques de sécurité d’API supplémentaires, telles que le chiffrement des requêtes et des réponses, l’enregistrement des API dans un registre d’API et la mise en réserve des clés d’API.