Dans les allées de Black Hat et DEF CON 2023 : la crise silencieuse de la sécurité des API

Accueil » Réseau de blogueurs de sécurité » Dans les allées de Black Hat et DEF CON 2023 : la crise silencieuse de la sécurité des API

Les néons de Black Hat et DEF CON, avec leurs démos clignotantes et leurs présentations révolutionnaires, éblouissent souvent les participants et les cyber-passionnés. Des outils de piratage basés sur l’IA au chiffrement quantique, les sujets abordés couvrent un vaste spectre. Cependant, comme dans toute ville dynamique, celles-ci comportent des zones de risque et de préoccupation. Pour les événements Black Hat 2023, les API sont au cœur de ces domaines.

L'absence flagrante de discussions dédiées à la sécurité des API chez Black Hat

Historiquement, les API ont été éclipsées par des menaces de sécurité plus visibles, souvent reléguées au second plan des discussions sur la cybersécurité. Cette complaisance vient d’une époque où les API étaient perçues comme des cibles secondaires, cachées derrière de solides barrières de sécurité. Cependant, avec la transformation du paysage numérique, l'utilisation des API a explosé, amplifiant l'interconnectivité des services, rendant les API plus vulnérables et, par conséquent, des cibles attractives.

Malgré l'omniprésence des API dans l'infrastructure numérique actuelle, Black Hat manquait curieusement de sessions uniquement dédiées à la sécurité des API. Pourtant, une partie importante des discussions sur les attaques contre les applications Web a souligné la menace imminente posée par les API, certains les soulignant même comme le vecteur d'attaque le plus dynamique et le plus important. De telles discussions, même indirectes, mettent en lumière l’importance croissante des vulnérabilités des API. Cela nous rappelle brutalement que même si les API ne font pas toujours la une des sessions, leurs implications en matière de sécurité ne peuvent pas être mises de côté.

‍API : la menace silencieuse

Les API sont les connecteurs, les maestros en coulisses qui permettent à nos applications, services et plateformes de communiquer et de s'harmoniser dans une économie axée sur le numérique. Pourtant, leur importance stratégique contraste fortement avec leur sous-représentation dans le débat sur la cybersécurité.

Dans l'espace des exposants de Black Hat, un développement important était en cours : les fournisseurs présentaient activement les solutions et plates-formes ASPM (API Security Posture Management) vantant des suites complètes de tests de sécurité API.

‍Qu'est-ce que l'ASPM ?

La gestion de la posture de sécurité des applications (ASPM) est un concept émergent visant à garantir que les applications restent sécurisées et résilientes face aux menaces, en particulier dans les environnements de production. ASPM fournit un instantané continu et complet du paysage des risques liés à l'architecture d'une application, y compris ses services, bibliothèques, API, surfaces d'attaque et flux de données. Alors que les entreprises s'appuient de plus en plus sur des applications pour piloter leurs opérations, l'évaluation continue de ces applications devient primordiale pour garantir la sécurité et réduire les risques commerciaux.

‍Pourquoi l'ASPM est-il important ?

À l'ère numérique d'aujourd'hui, où les applications sont au cœur des opérations commerciales et de l'expérience client, les vulnérabilités des applications peuvent avoir des impacts catastrophiques. Non seulement ils exposent les entreprises à des violations potentielles, mais ils présentent également des risques financiers et de réputation importants. ASPM répond aux défis suivants :

‍L'ASPM est-elle une activité intéressante pour les organisations ?

La réponse est nuancée : elle dépend des complexités spécifiques d'une organisation et de sa situation actuelle dans son parcours de sécurité. Même s'il est indéniable d'avoir une vue globale de l'état de sécurité d'une application, compte tenu de la dépendance croissante à l'égard des applications et de la nature évolutive des architectures modernes, l'intégration d'ASPM doit être calibrée en fonction du programme de sécurité et du niveau d'expertise existants d'une organisation. Pour certains, l’ASPM va changer la donne, en renforçant la résilience face aux menaces. Pour d’autres, il peut s’agir d’une couche supplémentaire qui nécessite une intégration et une compréhension minutieuses. La clé est d’évaluer sa pertinence et son applicabilité à votre contexte spécifique.

Cependant, même si l'ASPM peut constituer un élément important d'une stratégie de sécurité moderne, il est crucial de l'aborder avec discernement. En comprenant sa valeur et en étant conscientes des pièges potentiels, les organisations peuvent s'assurer qu'elles renforcent réellement la sécurité de leurs applications, plutôt que de simplement cocher des cases. Plus précisément, les organisations doivent :