OWASP API Top 10

A autorização de nível de função quebrada (BFLA) foi identificada como a quinta ameaça mais crítica às APIs no OWASP API Security Top 10, e com razão.

As requisições de API consomem recursos como rede, CPU, memória e armazenamento. A quantidade de recursos necessária para atender a uma requisição depende muito da entrada do usuário e da lógica de negócios do endpoint.

Uma solução de segurança de API deve ser capaz de identificar e relatar a grande variedade de tipos de dados sensíveis que podem ser enviados em solicitações e respostas de API, bem como qualquer atividade anômala em que invasores enviem solicitações de API manipuladas com parâmetros não autorizados.

A autenticação quebrada é a segunda ameaça mais crítica à segurança de APIs listada no OWASP API Security Top 10. Exemplos comuns de ataques que visam a autenticação quebrada incluem a enumeração de APIs e ataques de força bruta que realizam grandes volumes de solicitações de API com pequenas alterações.

A falha em aplicar a autorização no nível do objeto pode levar à exfiltração de dados, bem como à visualização, modificação ou destruição não autorizada de dados.

Salt Security shares insights on the initial release candidate for the API Security Top 10 2023.