Les API facilitent l’intégration de services, la connexion de données ou encore les mises à jour, ce qui explique leur omniprésence dans les applications modernes. Alors que les organisations poursuivent la modernisation de leurs portefeuilles d’applications, le nombre d’API utilisées devrait dépasser le milliard d’ici 2031.1Assurer le suivi de toutes ces API — sans même parler de leur sécurisation — constitue un véritable défi, si bien que les organisations doivent composer avec de nombreuses API « fantômes » non gérées dans leur environnement.
Malheureusement, les attaquants ont compris que les API sont souvent des cibles plus faciles que les applications, comme le montre l’analyse de F5, selon laquelle 90 % des cyberattaques sur le Web ciblent des points de terminaison d’API.2Les API non gérées présentent un risque particulier, car il est impossible de sécuriser ce que l’on ne voit pas. De nombreuses API sont également développées par des équipes différentes, voire par d’autres entreprises que celles qui développent les applications, ce qui limite la visibilité sur les risques potentiels.
S’orienter dans les API et le modèle de responsabilité partagée
La gestion et la sécurisation efficaces de volumes importants d’API nécessitent une solution multicouche. Pour les utilisateurs d’AWS, Amazon API Gateway est un service entièrement géré qui permet aux développeurs de créer, publier, maintenir, surveiller et sécuriser des API à n’importe quelle échelle. API Gateway prend en charge diverses intégrations backend, permettant ainsi l’utilisation de charges de travail conteneurisées, sans serveur ou reposant sur des instances traditionnelles.
Cependant, la sécurité relève d’une responsabilité partagée entre AWS et ses clients. Si AWS est chargé de protéger l’infrastructure et les services, les clients doivent également sécuriser leurs données et leurs applications.
AWS recommande les principes de conception suivants en matière de sécurité.3
- Atténuer les effets des attaques par déni de service distribué (DDoS)
- Mettez en œuvre l’inspection et la protection à l’aide d’un pare-feu d’application web (WAF)
- Activez l’audit et la traçabilité grâce à une surveillance en quasi-temps réel
- Automatisez les bonnes pratiques en matière de sécurité
- Appliquez des mesures de sécurité à tous les niveaux pour une approche de défense en profondeur
Sécurisez les API sur AWS avec F5
En tant que partenaire AWS, F5 propose une solution de sécurité compatible avec Amazon API Gateway pour protéger vos applications et vos API. F5 BIG-IP Advanced WAF ou F5 Distributed Cloud WAF peuvent identifier le trafic malveillant qui tente d’atteindre Amazon API Gateway ou vos services d’API. Vous pouvez déployer le WAF en amont ou en aval d’Amazon API Gateway. Toutefois, son déploiement en amont de la passerelle présente l’avantage supplémentaire de bloquer les appels d’API malveillants susceptibles de vous coûter de l’argent.
Les solutions WAF de F5 s’appuient sur l’analyse comportementale pour identifier précisément les menaces et fournissent des services d’atténuation des attaques DoS de couche 7, de chiffrement au niveau de la couche applicative et de renseignement sur les menaces. Le déploiement d’un WAF protège vos applications et vos API contre les attaques, notamment celles figurant dans le Top 10 de l’OWASP.
Une autre exigence importante en matière de protection des API est leur découverte. Intégrez F5 Distributed Cloud API Security à votre pipeline CI/CD afin de détecter les modifications apportées aux API sans perturber le processus de développement. Importez un schéma d’API existant pour imposer un comportement approprié des API et générer automatiquement des politiques basées sur les modèles de communication entre applications et entre API. F5 Distributed Cloud API Security contrôle également les connexions et surveille le trafic des API afin de détecter tout comportement anormal, ce qui lui permet de bloquer les activités suspectes.
Les bots représentent une autre menace majeure pour la sécurité des API. Plusieurs des 10 principales menaces de l’OWASP pour la sécurité des API correspondent à des faiblesses que les bots peuvent facilement exploiter, telles que la consommation illimitée de ressources ou une authentification défaillante. L’ajout de F5 Distributed Cloud Bot Defense permet de combiner l’expertise humaine et l’apprentissage automatique afin de détecter le trafic de bots malveillants, tout en autorisant les utilisateurs légitimes et les bots utiles.
Bénéficiez d’une sécurité des API multicouche
F5 vous offre tout ce dont vous avez besoin pour protéger vos API avec F5 Distributed Cloud Web App and API Protection (WAAP), qui fournit une sécurité multicouche avec une gestion unifiée. Distributed Cloud WAAP assure une sécurité homogène pour vos applications et vos API, quel que soit leur environnement de déploiement : sur AWS, dans d’autres clouds publics ou privés, sur site ou en périphérie.
Retrouvez F5 Distributed Cloud WAAP sur AWS Marketplace, afin d’ajouter facilement une protection et d’assumer votre part du modèle de responsabilité partagée.
Découvrez les solutions F5 pour AWS sur f5.com/aws.
Sources
1. F5, Prolifération continue des API, nov. 2021
2. F5, F5 adopte une approche « shift left » pour protéger les API, févr. 2024
3. Amazon, Présentation de la sécurité d’Amazon API Gateway : livre blanc AWS, 2023
À propos de l’auteur
Articles de blog associés
F5 NGINXaaS pour Google Cloud : des applications résilientes et évolutives
Découvrez comment NGINXaaS s’intègre à Google Cloud pour renforcer les performances et la sécurité, et préparer vos applications critiques à un avenir propulsé par l’IA.
L’intégration de F5 Web Application Firewall (WAF) à AWS est disponible dès aujourd’hui
En faisant appel à un partenaire de déploiement AWS WAF tel que F5, vous pouvez renforcer la sécurité de vos applications web grâce à des règles personnalisées qui bloquent les schémas d’attaque courants, comme les injections SQL ou les attaques par scripts intersites (XSS).
Appliquer le principe de Peter Parker à l’inspection TLS
« Un grand pouvoir implique de grandes responsabilités. » Si l’on en trouve des échos chez Voltaire et Churchill, cette citation est surtout connue grâce aux bandes dessinées Spider-Man, où elle est attribuée à l’oncle Ben. Bien entendu, si cette phrase est si répandue dans la culture populaire, c’est notamment parce qu’elle peut s’appliquer à une multitude de situations et de sujets, y compris à l’inspection TLS.
Le NetOps a besoin de défenseurs, pas d’adversaires
Il est important de reconnaître que les équipes NetOps ne sont pas toujours celles qui font obstacle au déploiement de la dernière nouveauté, application ou service. Les freins à la rapidité sont souvent dus au fait que les organisations n’adoptent pas tous les principes du DevOps lorsqu’elles cherchent à transformer leurs opérations informatiques.
Mise à jour des services applicatifs : sécurité, rapidité et visiteurs suspects
Il est de nouveau temps de nous pencher sur les services applicatifs que les entreprises utilisent réellement pour rendre leurs applications plus rapides et plus sûres. On constate notamment une hausse du recours aux services de protection contre les bots, ainsi que la progression lente mais régulière de HTTP/2. Bien qu’il ne s’agisse pas d’une application…
Les templates prennent le contrôle du cloud
Les modèles s’imposent dans le cloud. Lisez le blog de F5 pour découvrir comment l’infrastructure en tant que code et les API déclaratives automatisent la mise à disposition des applications.