Les interfaces de programmation d'applications (API) ont révolutionné la connectivité et le partage de données, mais leur omniprésence a également engendré de nouveaux défis en matière de cybersécurité. À mesure que les entreprises développent et mettent à jour leurs applications, elles négligent souvent les API laissées pour compte par les développeurs — les API fantômes et zombies — qui continuent de fonctionner sans être détectées. Ces API abandonnées deviennent des risques silencieux, opérant en arrière-plan, inconnues de la plupart des équipes de sécurité, et peuvent constituer de graves menaces.
Que sont les API fantômes et zombies ?
Les API fantômes sont des API qui existent en dehors de l'inventaire connu de l'entreprise, souvent créées par des équipes de développement ou de produit pour répondre aux exigences d'un projet, mais qui ne sont ni officiellement documentées ni suivies. Ce manque de supervision signifie que les API fantômes contournent généralement les politiques de sécurité et les contrôles d'accès standard.
Les API zombies désignent des API qui ont été initialement conçues dans un but précis, mais qui ont été par la suite obsolètes, oubliées ou remplacées. Au lieu d'être totalement retirées, elles restent actives au sein de l'infrastructure, souvent avec des protocoles de sécurité dépassés, devenant ainsi des cibles privilégiées pour les attaquants.
Ensemble, les API fantômes et zombies représentent des vulnérabilités invisibles qui rendent la surface d'attaque d'une entreprise plus vaste et plus complexe qu'elle ne le paraît au premier abord.
Pourquoi les API fantômes et zombies sont-elles dangereuses ?
Laisser les API fantômes ou zombies s'accumuler au sein de l'infrastructure d'une organisation constitue un risque majeur pour trois raisons principales :
1. Exposition de données non surveillée
Les API transmettent souvent des données sensibles, mais les API fantômes peuvent manquer de chiffrement ou de contrôles d'accès appropriés pour protéger ces données et éviter qu'elles ne fuient en dehors de l'organisation. Selon le Ponemon Institute, environ 58 pour cent des répondants affirment que les API constituent un risque de sécurité car elles étendent la surface d'attaque à toutes les couches de la pile technologique et sont désormais considérées comme la plus grande surface d'attaque des organisations. Les API fantômes contournent les protocoles de sécurité standard et contribuent donc à cette surface d'attaque étendue.
Et avec des réglementations comme le RGPD et le CCPA imposant une protection stricte des données et des pistes d'audit, les API fantômes, qui ne sont ni documentées ni suivies, posent des risques de conformité importants car elles pourraient exposer des informations personnelles ou financières sans surveillance adéquate.
2. Surface d'attaque accrue
Les API fantômes et zombies étendent la surface d'attaque, rendant difficile pour les équipes de sécurité l'application des politiques de sécurité des API sur tous les points de terminaison. Les attaquants ciblent ces API précisément parce qu'elles sont hors de vue, les exploitant pour obtenir un accès non autorisé à l'infrastructure.
Selon un Étude de Palo Alto Networks, 92 % des entreprises ont subi un incident de sécurité lié aux API au cours de l'année écoulée. Les API fantômes, échappant au contrôle de la sécurité, contribuent de manière disproportionnée à cette statistique, car les attaquants recherchent activement des points d'entrée négligés et mal protégés. De plus, seules 10 % des entreprises documentent entièrement leurs API, selon un rapport de 2023 de Enterprise Management Associates (EMA).
3. Risques liés aux systèmes de sécurité obsolètes
Les API zombies sont particulièrement vulnérables car elles utilisent souvent des protocoles de sécurité, des méthodes de chiffrement ou des processus d'authentification dépassés. Beaucoup reposent encore sur des clés d'API basiques plutôt que sur des protocoles modernes comme OAuth 2.0, ce qui en fait des cibles faciles pour le vol d'identifiants ou les attaques par force brute.
En outre, faute de maintenance régulière, les API zombies contiennent souvent des vulnérabilités connues, agissant comme de véritables bombes à retardement en raison de la présence d'API obsolètes ou dépréciées dans les environnements de production. Les attaquants tirent parti de ces failles non corrigées pour infiltrer le système ou se déplacer latéralement au sein du réseau.
Comment les attaquants exploitent les API fantômes et zombies
Les attaquants scannent fréquemment les environnements d'entreprise à la recherche de ces API non surveillées, car elles offrent un accès facile à des systèmes par ailleurs sécurisés. Les tactiques courantes incluent :
- Credential Stuffing : Comme les API zombies utilisent souvent une authentification obsolète, les attaquants peuvent recourir au credential stuffing — en utilisant des mots de passe ayant fuité sur différents services — pour obtenir un accès non autorisé.
- Énumération d'API : Les attaquants utilisent des techniques d'énumération pour découvrir les API fantômes en effectuant des requêtes par essais et erreurs. Une fois identifiées, ces API deviennent des points de départ pour l'exfiltration de données, la prise de contrôle de comptes et d'autres attaques.
- Exploits automatisés : Des bots conçus pour trouver des API mal configurées scannent les points de terminaison dépourvus de restrictions d'accès appropriées. Si les API fantômes ou zombies autorisent des permissions excessives, elles deviennent des cibles privilégiées pour des attaques automatisées qui passent inaperçues pendant de longues périodes.
Mettre en lumière les API fantômes et zombies
Compte tenu de la nature cachée des API fantômes et zombies, une gestion proactive est essentielle pour résoudre les problèmes qu'elles posent. Voici les meilleures pratiques pour aider les entreprises à se protéger :
Automatiser la découverte et le catalogage des API
Les entreprises doivent déployer la découverte d'API des outils qui analysent automatiquement toutes les API actives, y compris celles qui ne sont ni documentées ni officiellement approuvées. En mettant en place un inventaire complet de toutes les API actives et en priorisant leur maintenance, les organisations peuvent réduire considérablement les risques liés aux API fantômes.
Mettre en œuvre une surveillance continue et une évaluation des risques
Une fois les API répertoriées, une surveillance continue permet de signaler tout modèle d'accès inhabituel, toute demande de données excessive ou tout comportement suspect. De nombreux outils avancés utilisent l'apprentissage automatique pour détecter les utilisations anormales, aidant ainsi les équipes de sécurité à réagir avant que les attaquants ne causent des dommages importants.
Appliquer des politiques strictes de mise hors service des API
Une gestion appropriée du cycle de vie des API est essentielle pour éviter que des API zombies ne subsistent en production. Lorsqu'une API n'est plus nécessaire, elle doit être mise hors service et entièrement supprimée du système. La mise en œuvre de procédures de dépréciation automatisées minimise le risque lié aux API oubliées.
Audits réguliers et contrôles de conformité
Des audits de sécurité réguliers axés sur les API garantissent que tous les points de terminaison actifs sont conformes aux normes de sécurité et aux exigences réglementaires actuelles. Ces audits permettent d'identifier et de corriger les failles de sécurité, en particulier au sein des API fantômes et zombies créées sans supervision adéquate.
Conclusion : les API, des risques silencieux
En tant que vecteurs silencieux de connectivité, les API deviennent également des risques silencieux lorsqu'elles ne sont pas surveillées. À mesure que les organisations deviennent plus dépendantes des API, les API fantômes et zombies continueront de poser des défis de sécurité si elles ne sont pas gérées de manière proactive. En comprenant et en traitant ces menaces, les entreprises peuvent s'assurer que leurs API travaillent pour elles, et non contre elles, renforçant ainsi leur sécurité globale et leur résilience dans un monde de plus en plus interconnecté.
Pour en savoir plus sur la façon dont Salt peut aider à protéger votre organisation contre les menaces cachées des API fantômes et zombies, planifiez une démonstration dès aujourd'hui !