Programmée pour coïncider avec la conférence annuelle RSA sur la cybersécurité, google Cloud a annoncé des mises à jour d'Apigee, son service de gestion d'API et d'analyse prédictive, conçu pour aider à prévenir les attaques de logique métier.
Les attaques de logique métier sont des failles dans la conception et la mise en œuvre d’une application qui permettent à des acteurs malveillants de susciter un comportement involontaire. Ils peuvent être difficiles à identifier et très répandus. Selon un étude commandé par Silver Tail Systems, 90 % des entreprises ont perdu des revenus à cause d'attaques de logique métier entre 2011 et 2012.
Pour lutter contre ces types d'exploits, Google introduit de nouveaux modèles d'apprentissage automatique dans Apigee qui, selon lui, ont été formés pour détecter les attaques potentielles de logique métier. Google Cloud affirme que les modèles – disponibles pour tous les clients Apigee Advanced API Security et formés sur les données internes de Google – sont suffisamment sensibles pour détecter un comportement subtil, comme un attaquant contrôlant un serveur modifiant les « modèles d'activité » dudit serveur.
« Les modèles d'apprentissage automatique qui alimentent la détection des abus des API ont été formés et utilisés par les équipes internes de Google pour protéger nos API publiques », a déclaré Shelly Hershkovitz, chef de produit chez Google Cloud, dans un article de blog. « Les modèles s'appuient sur des années d'apprentissage et de meilleures pratiques. »
Parallèlement aux modèles, Apigee introduit des tableaux de bord qui identifient apparemment plus précisément les abus d'API en trouvant des modèles dans le grand nombre d'alertes. Les tableaux de bord tentent de « capturer l’essence » des attaques, comme le dit Hershkovitz, ainsi que des caractéristiques importantes telles que la source des attaques, le nombre d’appels API et la durée des attaques.
« Avec la croissance du trafic API, les entreprises du monde entier sont également confrontées à une augmentation des attaques API malveillantes, ce qui fait de la Sécurité des API une priorité accrue », a poursuivi Hershkovitz. « Nous rendons la détection des incidents d'abus d'API plus rapide et plus facile. »
Crédits images : Apigee
Pour répondre à l'argument de Hershkovitz, il est vrai que les préoccupations concernant la sécurité des API se sont développées – et continuent de croître – dans l'entreprise. Selon Selon une enquête (bien que menée par un fournisseur de sécurité API, en toute transparence), la fin de 2022 a vu une augmentation majeure des attaques API, avec une augmentation de 400 % en volume par rapport à quelques mois auparavant.
Ces attaques peuvent coûter cher. Une Imperva analyse Sur près de 117 000 incidents de sécurité, il ressort que l’insécurité des API coûte aux organisations entre 41 et 75 milliards de dollars par an. Et un séparé rapport du Open Worldwide Application Security Project suggère que les petites entreprises sont confrontées au plus grand nombre d'événements de sécurité des API, la plupart des incidents affectant les entreprises ayant un chiffre d'affaires inférieur à 50 millions de dollars, ce qui rend chaque violation encore plus préjudiciable à leurs résultats.
Celui de Google recherche — à prendre avec précaution — montre que 50 % des organisations ont connu un incident de sécurité API au cours des 12 derniers mois ; parmi eux, 77 % ont retardé le déploiement d’un nouveau service ou d’une nouvelle application.
« Il est essentiel que les organisations détectent et atténuent rapidement les incidents d'abus d'API afin d'éviter des dommages financiers et de réputation prolongés pour l'entreprise », a déclaré Hershkovitz. « Les incidents de sécurité des API sont de plus en plus courants et perturbateurs. »
