تم تأمين بيانات عملاء منصة التجارة الإلكترونية من ثغرة API

التحدي:

اكتشفت CloudSek BeVigil واجهة برمجة تطبيقات Swagger غير المحمية للذراع اللوجستي لشركة تجارة إلكترونية هندية كبرى. يمكن الوصول إلى واجهة برمجة التطبيقات المكشوفة هذه بدون مصادقة، مما يسمح للمستخدمين غير المصرح لهم بعرض وتعديل وثائق API، مما يشكل مخاطر أمنية كبيرة.

التأثير:

يشمل التأثير الفني إعطاء المهاجمين خريطة مفصلة لبنية API الأساسية، والتي يمكن استخدامها لصياغة هجمات مستهدفة، مما يؤدي إلى انتهاكات البيانات واختراق النظام. يمكن أن يؤدي الوصول غير المصرح به إلى التلاعب بالشحنات وكشف بيانات العملاء واللوجستيات الحساسة. لا يؤدي ذلك إلى تعريض بيانات الشركة الحساسة للخطر فحسب، بل قد يؤدي أيضًا إلى تآكل الثقة في المؤسسة، مما يؤدي إلى الإضرار بالسمعة والخسائر المالية.

الحل:

قام حل مراقبة سطح الهجوم من CloudSek، BeVigil Enterprise، باكتشاف ومعالجة واجهات برمجة تطبيقات Swagger المكشوفة، مما أدى إلى تأمين النظام الأساسي ومنع الوصول غير المصرح به.

‍

التنفيذ:

الكشف:

• قامت شركة CloudSek BeVigil Enterprise بتحديد واجهة برمجة تطبيقات Swagger المكشوفة من بين الأصول المدرجة التي تنتمي إلى شركة التجارة الإلكترونية الرئيسية.
• يمكن أن تكون واجهة برمجة تطبيقات Swagger تم الوصول إليه بدون مصادقة، مما يسمحالمستخدمون غير المصرح لهم بإنشاء بيانات الشحن أو تعديلها أو حذفها، مما يشكل خطرا أمنيا كبيرا.

‍
تحليل التهديدات:

• وثائق API المكشوفة زود المهاجمين بخريطة مفصلة لبنية API الأساسية، بما في ذلك نقاط النهاية والمعلمات والمخططات.
• هذه المعلومات يمكن الاستفادة منها للهجمات المستهدفة، مما قد يؤدي إلى انتهاكات البيانات واختراق النظام والوصول غير المصرح به داخل الشبكة.

إجراءات فورية:

بناءً على نصيحة وتقرير مفصل من CloudSek BeVigil Enterprise، اتخذ فريق أمن المعلومات في عملاق التجارة الإلكترونية الخطوات التالية:

• أجريت مراجعة وتدقيق تكوينات API لتحديد ومعالجة أي ثغرات أمنية.
• وصول IP مقيد إلى واجهة مستخدم Swagger، مما يسمح فقط لعناوين IP المدرجة في القائمة البيضاء بالوصول إلى الوثائق.

‍
تدابير وقائية:

• استخدم أداة مراقبة سطح الهجوم الشاملة مثل مكتب كلاود بيفيجيل إنتربرايز.
• بوابات API ذات الرافعة المالية لطبقات الأمان الإضافية مثل الاختناق والحصص واكتشاف الحالات الشاذة.
• تم إجراء عمليات مسح منتظمة للثغرات الأمنية وعمليات تدقيق على Swagger API لاكتشاف التهديدات الجديدة أو التكوينات الخاطئة على الفور.
• المطورين المتعلمين وأصحاب المصلحة ذوي الصلة حول أهمية أمان API وممارسات الترميز الآمنة.

‍