API là một phần cơ bản của các mẫu phần mềm hiện đại như kiến trúc microservice (các dịch vụ độc lập), cho phép các ứng dụng phần mềm tương tác với nhau. Bảo mật API là quá trình bảo vệ API khỏi các cuộc tấn công. Do các API được sử dụng rất phổ biến và cho phép truy cập vào các chức năng cũng như dữ liệu nhạy cảm của phần mềm, nên API đang trở thành mục tiêu chính của những kẻ tấn công. Vì vậy, các tổ chức/doanh nghiệp cần phải thường xuyên kiểm tra các API để xác định và xử lý các lỗ hổng bằng những biện pháp bảo mật tốt nhất.
Các API cũng đang được nhắm mục tiêu vì dữ liệu truy cập thông qua chúng có thể mang lại lợi nhuận cao cho tin tặc. Bằng cách thực hiện các nguyên tắc cơ bản và các giải pháp tích hợp phù hợp, các tổ chức/doanh nghiệp có thể đảm bảo an toàn cho hệ thống của họ trước nhiều hình thức tấn công.
Những kẻ xấu có thể nhắm mục tiêu API thông qua nhiều phương pháp khác nhau. Cụ thể:
Tấn công DDoS: là cách gửi một lượng lớn yêu cầu truy cập đến một trang web từ nhiều nguồn khác nhau cùng một lúc, với mục đích làm cho trang web không khả dụng hoặc chậm đi rất nhiều, từ đó làm cạn kiệt tài nguyên và có khả năng dẫn đến sự cố khi cuộc tấn công áp đảo cả API và hệ thống phụ trợ cung cấp dữ liệu cho API.
Tấn công Man in the Middle - MITM: Kẻ tấn công có thể nghe trộm, thậm chí chặn và kiểm soát toàn bộ quá trình giao tiếp giữa hai bên để người dùng tin rằng họ vẫn đang trực tiếp liên lạc với nhau, từ đó đánh cắp hoặc sửa đổi dữ liệu riêng tư.
Quản lý token hoặc khóa API kém: Mã token và khóa API là thông tin xác thực hợp lệ cấp quyền truy cập cho người dùng. Nếu bị xâm phạm, chúng có thể bị các hacker sử dụng trái phép để truy cập vào các hệ thống riêng tư.
Thông tin đăng nhập không được mã hóa: Tên người dùng và mật khẩu thường được mã hóa cứng thành các tệp cấu hình không được mã hóa, khiến chúng trở nên dễ bị đánh cắp hơn. Lợi dụng điều này, tin tặc cũng tận dụng để khai thác nhiều hơn.
Bằng cách thực hành các nguyên tắc cơ bản phù hợp, các tổ chức/doanh nghiệp có thể sử dụng tích hợp API và các công nghệ tương tự để giữ an toàn cho hệ thống của họ trước nhiều hình thức tấn công ngày càng tinh vi. Dưới đây là một số phương pháp giúp các tổ chức/doanh nghiệp bảo mật API hiệu quả:
Đánh giá các quy trình hoạt động và cơ sở hạ tầng của tổ chức
Với việc sử dụng ngày càng nhiều các API và microservice được kết nối trên nhiều cài đặt tại chỗ và đám mây khác nhau, việc tìm ra các điểm yếu trở nên khó khăn, do đó các tổ chức/doanh nghiệp cần phải đánh giá và xem xét thường xuyên những yếu tố sau:
API hướng tới khách hàng: Bằng cách tận dụng các API, các công ty có thể chia sẻ thông tin với khách hàng mà không cần phải cho họ truy cập vào cơ sở dữ liệu hoặc hệ thống cơ bản của mình. Các tổ chức/doanh nghiệp có thể giới hạn những gì khách hàng có thể truy cập, chỉ tiết lộ các phân đoạn dữ liệu cụ thể. Việc sử dụng API để chỉ hiển thị một phần cơ sở dữ liệu và đảm bảo rằng người dùng không thể truy cập toàn bộ hệ thống, nhưng dữ liệu được tiết lộ vẫn phải được bảo vệ.
API nội bộ: Các nhóm CNTT phải đảm bảo rằng họ đồng bộ hóa các dịch vụ thông qua API để chỉ cung cấp quyền truy cập cần thiết, thay vì cho phép mọi người trong mọi bộ phận truy cập vào nhiều loại dịch vụ, điều này có thể gây khó khăn đối với vấn đề quản trị.
Nếu bỏ qua việc xem xét các điểm yếu tiềm ẩn trong cơ sở hạ tầng của mình, các tổ chức/doanh nghiệp sẽ có nguy cơ bị tấn công, cả từ bên trong và bên ngoài tổ chức của mình.
Vì vậy điều quan trọng nhất là tổ chức/doanh nghiệp cần tạo một hệ thống các chính sách và tiêu chuẩn phối hợp với các nhóm tuân thủ và bảo mật nội bộ. Một số tổ chức/doanh nghiệp cũng có thể xem xét các nghĩa vụ pháp lý và đảm bảo các biện pháp bảo mật được cập nhật và tuân thủ.
Đánh giá rủi ro API của tổ chức
Để bảo mật API cần thực hiện đánh giá rủi ro cho tất cả các API hiện tại của tổ chức/doanh nghiệp. Thiết lập các biện pháp để đảm bảo chúng đáp ứng các chính sách bảo mật và không dễ bị tấn công trước các rủi ro đã biết.
Đánh giá rủi ro phải xác định tất cả các hệ thống và dữ liệu bị ảnh hưởng nếu API bị xâm phạm, sau đó vạch ra kế hoạch xử lý và các biện pháp kiểm soát cần thiết để giảm mọi rủi ro xuống mức có thể chấp nhận được.
Đảm bảo rằng người dùng chỉ có thể truy cập dữ liệu thích hợp
Các phòng, ban và người dùng trong một tổ chức/doanh nghiệp yêu cầu các mức độ truy cập khác nhau vào hệ thống và dữ liệu của tổ chức và quyền truy cập này nên được cấp theo vị trí, công việc. Chẳng hạn, một nhà phát triển thường không yêu cầu quyền truy cập đầy đủ vào hệ thống kế toán hoặc nhân sự. Bằng cách hạn chế quyền truy cập, khả năng thông tin cá nhân bị tiết lộ sẽ thấp hơn. Tổ chức/doanh nghiệp cũng có thể thiết lập thông tin đăng nhập cụ thể để cấp cho người dùng quyền truy cập tạm thời vào dịch vụ mà họ thường không sử dụng.
Yêu cầu xác thực đa yếu tố
Thông tin đăng nhập liên quan đến tên người dùng và mật khẩu không còn đủ để đảm bảo an toàn, do đó cần bắt buộc sử dụng các tiêu chuẩn như xác thực hai yếu tố (2FA) hoặc xác thực an toàn bằng OAuth (một cách xác thực mở). Để đạt được mục tiêu này, hãy đảm bảo hệ thống của tổ chức/doanh nghiệp có thể xác thực người dùng bằng OAuth 2.0 với điểm cuối là nhà cung cấp danh tính.
Lưu giữ khóa API cẩn thận
Các tổ chức/doanh nghiệp cần ghi lại tất cả các API trong sổ đăng ký để xác định các đặc điểm như tên, mục đích, tải trọng, cách sử dụng, quyền truy cập, ngày hoạt động, ngày ngừng hoạt động và chủ sở hữu. Ghi chi tiết thông tin cần thiết như ai, cái gì và khi nào sẽ giúp đáp ứng các yêu cầu tuân thủ và kiểm toán, cũng như hỗ trợ phân tích trong trường hợp xảy ra sự cố bảo mật.
Khóa API xác định và xác minh quyền truy cập cho ứng dụng hoặc trang web thực hiện lệnh gọi API. Chúng cũng có thể chặn hoặc điều tiết các cuộc gọi được thực hiện tới API và xác định các kiểu sử dụng.
Khóa API kém an toàn hơn mã thông báo xác thực và yêu cầu phải quản lý cẩn thận. Do đó, cần tránh nhúng các khóa API trực tiếp vào mã của chúng vì nó có thể vô tình bị lộ. Tốt hơn hết là sử dụng dịch vụ quản lý để bảo vệ và quản lý các khóa API của ứng dụng.
Ngay cả khi đã áp dụng các biện pháp này, hãy luôn xóa các khóa không cần thiết để giảm thiểu khả năng bị tấn công và tạo lại các khóa theo định kỳ, đặc biệt nếu nghi ngờ đã xảy ra vi phạm.
Không chỉ các API có nguy cơ tiềm ẩn đối với bảo mật. Mọi thứ đều có thể trở thành mục tiêu của kẻ xấu. Do đó, điều quan trọng là phải ưu tiên bảo mật và áp dụng mô hình “zero trust” để có thể bảo vệ dữ liệu của tổ chức/doanh nghiệp một cách hiệu quả cũng như ngăn chặn một cuộc tấn công mạng tốn kém có thể xảy ra.
Trần Thanh Tùng
(theo helpnetsecurity)
11:00 | 07/01/2021
07:00 | 15/09/2022
10:00 | 21/02/2023
09:00 | 06/12/2023
Các cuộc chiến tranh giành lãnh địa trên không gian mạng trong tương lai sẽ xuất hiện và gia tăng giữa các nhóm tội phạm mạng khi nhiều đối thủ tập trung vào cùng một mục tiêu. Vừa qua Fortinet đã công bố Báo cáo Dự báo về các mối đe dọa an ninh mạng năm 2024 từ đội ngũ nghiên cứu FortiGuard Labs đưa ra những tác động của AI tới mô hình chiến tranh mạng, đồng thời nhấn mạnh xu hướng các mối đe dọa mới nổi có thể định hình bối cảnh chuyển đổi số trong năm tới và những năm sau.
10:00 | 15/09/2023
Thư rác hay email spam là một vấn nạn lớn hiện nay, chúng đã xuất hiện từ rất lâu cùng với sự phát triển của Internet và không chỉ gây phiền nhiễu, tốn thời gian mà còn có thể chứa một số nội dung nguy hiểm. Ước tính có tới 94% phần mềm độc hại được phân phối dưới dạng email spam, một số nguy cơ tiềm ẩn khác bao gồm phần mềm gián điệp, lừa đảo và mã độc tống tiền. Trong bài viết này sẽ thông tin đến bạn đọc cách nhận biết thư rác và ngăn chặn thư rác không mong muốn.
12:00 | 16/03/2023
Metaverse (vũ trụ ảo) là một mạng lưới rộng lớn gồm các thế giới ảo 3D đang được phát triển mà mọi người có thể tương tác bằng cách sử dụng thực tế ảo (VR), hay thực tế tăng cường (AR). Công nghệ này hứa hẹn mang lại sự trải nghiệm mới mẻ, thú vị cho người dùng cũng như mang đến những cơ hội kinh doanh cho các doanh nghiệp trong việc chuyển đổi cách thức hoạt động. Tuy nhiên, bên cạnh những lợi ích thì Metaverse cũng đặt ra những thách thức và nguy cơ về vấn đề bảo mật trong không gian kỹ thuật số này.
12:00 | 03/03/2023
Kiểm thử xâm nhập còn được gọi là ethical hacking, là quá trình thực hiện mô phỏng tấn công mạng vào một hệ thống máy tính hoặc phần mềm định trước nhằm mục đích kiểm tra, đánh giá mức độ an toàn của hệ thống cũng như dò tìm các lỗ hổng bảo mật. Hiện nay có rất nhiều các công cụ kiểm thử xâm nhập phổ biến cho các chuyên gia bảo mật, việc lựa chọn các công cụ phần mềm kiểm thử xâm nhập phù hợp có thể giúp các tổ chức đáp ứng được các tiêu chuẩn về quản lý an toàn thông tin cũng như hiệu quả trong khai thác sử dụng hệ thống. Bài báo dưới đây giới thiệu tới bạn đọc một số công cụ kiểm thử xâm nhập được đánh giá là tốt nhất hiện nay [1].
14:00 | 14/08/2023 | Giải pháp khác
12:00 | 14/08/2023 | Công nghệ thông tin
17:00 | 11/08/2023|GP ATM
10:00 | 10/08/2023|Chính sách - Chiến lược
11:00 | 29/07/2023|Mật mã dân sự
16:00 | 09/11/2022|Tin tức sản phẩm
Mặc dù, tiền mã hóa đem lại tính an toàn, bảo mật, nhanh chóng, tiện lợi, không chịu sự quản lý của Ngân hàng Trung ương cũng như các cơ quan công quyền, nhưng đây lại là cơ hội để tội phạm rửa tiền lợi dụng thực hiện các hành vi trái pháp luật trên không gian mạng. Bài viết sẽ thông tin tới độc giả các khái niệm, phương thức, thủ đoạn của hoạt động rửa tiền bằng tiền mã hóa. Đồng thời, bài báo đề xuất các giải pháp phòng chống hoạt động phạm tội này tại Việt Nam.
15:00 | 18/12/2023
Theo số liệu của DataReportal, hiện Việt Nam đang có khoảng 49,9 triệu người sử dụng mạng xã hội TikTok, xếp thứ 6 trên 10 quốc gia có số người sử dụng TikTok nhiều nhất thế giới. Đáng chú ý là mạng xã hội này đang dần chiếm lĩnh thị trường nhờ vào những đoạn video có nội dung đa dạng mang tính "gây nghiện", thu hút mọi lứa tuổi trong đó có trẻ em. Tuy nhiên không như những mạng xã hội khác, TikTok thường xuyên bị cáo buộc việc gây ra những rủi ro nghiêm trọng về bảo mật và quyền riêng tư của người dùng. Thời gian qua đã có ít nhất 10 quốc gia cấm sử dụng ứng dụng này, trong đó có những nguyên nhân là do Tiktok gây ảnh hưởng nghiêm trọng tới suy nghĩ và hành động của trẻ em.
08:00 | 21/12/2023
