Пи и Пи Сикьюр подчеркивает важность детального контроля доступа в свете угроз безопасности API

padlock on laptop with light trails — FlyD / Unsplash

Недавние инциденты утечки личных данных через API (интерфейс прикладного программирования) подчеркивают необходимость всесторонней переоценки прав доступа к данным и процесса их обработки.

В ходе анализа случаев инцидентов выявлено, что проверка только факта входа в систему не является достаточной для подтверждения прав на доступ к информации. Также были обнаружены случаи, когда ненужные личные данные оставались в ответах API. Даже если в новых версиях API были внедрены меры безопасности, устаревшие API могли оставаться без надлежащего контроля, что создавало возможность несанкционированного доступа.

API служит каналом передачи данных между веб-приложениями, мобильными приложениями и облачной средой. Простое соответствие запросов установленным стандартам или успешная аутентификация не гарантируют прав доступа к данным. Важным аспектом является проверка диапазона прав для каждого субъекта запроса, предела доступных данных и наличия массовых или повторных вызовов.

Пи и Пи Сикьюр отмечает необходимость управления правами доступа и фактическими действиями пользователей в веб- и облачной средах. Они подчеркивают важность системы контроля, позволяющей идентифицировать пользователей и отслеживать их действия после входа в систему.

Система веб-контроля доступа 'ДибиСейфер WAC' от Пи и Пи Сикьюр контролирует доступ к веб-системам управления. Она предлагает функции записи экранов и детального отслеживания действий пользователей, что помогает в аудите аномальных действий.