Разработчики веб -приложений часто используют API REST, чтобы преодолеть разрыв между базой данных и передней частью приложения, который взаимодействует с конечным пользователем. В то время как Restful API обеспечивают критическую функциональность, их популярность и сила также делают их любимой целью для плохих актеров.
Ключ к защите RESTFUL API – сохранить безопасность простым. Не увлекайтесь тем, что думать, что больше лучше, так как это только увеличивает поверхность атаки для использования киберпреступников.
Что такое API отдыха?
REST API используйте остальные, или Репрезентативное государственное переносархитектурный стиль, чтобы обеспечить связь между типами приложений.
Разработчики используют REST для создания и развертывания веб -приложений. REST можно настроить для установления критериев того, как информация и данные должны храниться и передаваться конечному пользователю.
Четыре метода связаны с Retfful API:
- ПОЛУЧАТЬ: Это указывает, как ресурсы должны быть доступны доступным для конечного пользователя.
- ПОЧТА: Это описывает, как информация представляет конечный пользователь – например, через страницу веб -сайта «Связаться с нами» – следует отправлять в базу данных.
- ПОМЕЩАТЬ: Это обновляет информацию, которая в настоящее время находится в записях базы данных. Например, эта функция позволит клиенту добавить новый способ оплаты на портал кредитных карт.
- УДАЛИТЬ: Это стирает записи в базе данных. Например, когда клиент подает платеж, но затем возвращается и отменит его, это вызовет функциональность Delete.
Лучшие практики в области безопасности RESTFUL API
Злоумышленник, который прорывается всего через один RESTFUL API, может эксфильтрировать много данных. Но есть способы смягчить этот риск, включая использование следующего:
- TLSПолем Безопасность транспортного уровня шифрует поток данных от переднего конца к задней части веб -приложения, и наоборот. Это также может защитить другие механизмы, такие как клавиши API. Взаимные TLS (MTLS) позволяют передний конец и задний конец аутентифицировать друг друга, что обеспечивает дополнительный слой защиты.
- Авторизация и аутентификацияПолем Авторизация подтверждает личность человека, пытающегося получить доступ к API RESTFUL, в то время как аутентификация назначает определенные права и разрешения относительно того, какие действия может предпринять этот человек. Шаг аутентификации должен быть сделан в соответствии с принцип наименьшей привилегииПолем Механизмы разрешения и аутентификации включают Ключи APIВ 0Auth 2.0, который создает короткие токены доступа, и Json Web токеныкоторые подписаны в цифровом виде.
- Входная проверкаПолем Это подтверждает, что данные, представленные конечным пользователем, являются реальными и подлинными. Без такой проверки хакер может легко вставить необращенную информацию. Это может привести к SQL -инъекция или Сценарий поперечного сайта (xss) атаки. Чтобы проверить входы, обязательно учитывайте перестановку, такие как длина и формат контента.
- Журнализация ошибокПолем Держите файл журнала ошибок по мере их возникновения. Всякий раз, когда API не может заполнить запрос, конечный пользователь видит сообщение об ошибке, например: Ошибка 400: плохой запросВ Ошибка 401: несанкционирована или Ошибка 500: Ошибка внутреннего сервераПолем Держите эти сообщения об ошибках простыми; Выявление чрезмерной информации дает преимущество для кого -то, кто пытается взломать ваши API.
- Управление количеством запросовПолем Управление запросами, которые также называются дроссельными и ограничение скоростиограничивает общее количество запросов, которые могут быть помещены на любой отдельный API. Это может прервать Атаки распределенного отказа в обслуживании (DDOS) На сервере размещение приложения.
- Проверки уязвимостиПолем Одним из лучших способов изучения API для слабостей или пробелов является тест на проникновение. Когда красная команда пытается проникнуть в API организации, она может детализировать уязвимости, которые она находит, и предложить исправления.
- API DiscoveryПолем С помощью этого метода инвентаризации организации все используются API, как если бы он проводящий аудит. Это эффективный способ убедиться, что нет никаких мошенников или злонамеренных API.
- API -шлюзыПолем Этот вид механизма действует как ключевая точка для фильтрации и обработки всех запросов API. API Gateways повышает безопасность предоставляя дополнительные преимущества, включая:
-
- Политика безопасности. Это позволяет команде безопасности реализовать протоколы аутентификации, авторизации, шифрования и контроля доступа.
- Политика маршрутизации. Это позволяет пересталкивать оптимизировать поток запросов API.
- Политика наблюдения. Эта политика позволяет команде создавать журналы всех транзакций API, что позволяет обнаружить любые закономерности, которые отклоняются от базовой линии.
Рави Дас является техническим инженерным писателем для поставщика ИТ -услуг. Он также является консультантом по кибербезопасности в своей частной практике, ML Tech, Inc., а также сертификат в области кибербезопасности (CC) от ISC2.
Копайте глубже на приложения и безопасность платформы
2025-09-22 17:22:00
1758594980
#лучших #практик #для #обеспечения #Restful #API
Читайте также
