أدى انتشار الخدمات السحابية و DevOps إلى زيادة استخدام واجهات برمجة التطبيقات (APIs). ويعتمد العديد من المطورين على خدمات مثل Postman لتصميم وبناء واختبار وتبسيط واجهات برمجة التطبيقات الخاصة بهم. لاحظ xviGil من CloudSek ارتفاعًا في حالات Postman المكشوفة. هذا الاتجاه مثير للقلق بشكل خاص لأن Postman تستخدمه 500000 منظمة و 20 مليون مطور في جميع أنحاء العالم.

التهديد

مع شعبية Postman وانتشاره في كل مكان، أظهر ممثلو التهديد اهتمامًا متزايدًا بحالات Postman المتاحة للجمهور من أجل استخراج المعلومات الهامة. اكتشف xviGil العديد من مساحات العمل العامة لـ Postman ووثائق API التي تعرض بيانات الاعتماد ونقاط نهاية API الحساسة. [معرف التسمية التوضيحية = «المرفق _21881" align= «alignnone» width="1362"] تنبيه xviGil لمساحة عمل عامة لساعي البريد يعرض بيانات الاعتماد ونقاط نهاية API الحساسة [/caption]

التأثير

يمكن استغلال مثيلات Postman المتاحة للجمهور والتي تحتوي على معلومات حساسة من قبل الجهات الفاعلة في مجال التهديد بالطرق التالية:

• يمكن استخدام أسرار API للوصول إلى نقاط نهاية API وسرقة البيانات أو تعديلها أو حذفها، اعتمادًا على وظيفة API.
• يمكن استخدام بيانات الاعتماد للحصول على وصول غير مصرح به إلى الحسابات والشبكات الداخلية لسرقة الملفات والمعلومات الحساسة.
• يمكن الاستفادة من معلومات تحديد الهوية الشخصية لتنظيم هجمات الهندسة الاجتماعية وحملات التصيد وسرقة الهوية.
• يمكن للجهات الفاعلة في مجال التهديد بيع البيانات المسروقة، أو الوصول نفسه، على الويب المظلم.

[معرف التسمية التوضيحية = «المرفق _21882" align= «alignnone» العرض = «613"] الجهات الفاعلة في مجال التهديد التي تبيع البيانات المسروقة عبر الوصول غير المصرح به إلى واجهة برمجة التطبيقات [/caption]

تدابير التخفيف

عروض الأبحاث أن الشركات يمكن أن تواجه خسائر تصل إلى المليارات، بسبب مشكلات الأمان المتعلقة بواجهة برمجة التطبيقات. ومن ثم فمن المهم للمنظمات القيام بذلك

• راقب مستودعات التعليمات البرمجية العامة ومثيلات Postman بحثًا عن التسريبات السرية لواجهة برمجة التطبيقات وتسريبات بيانات الاعتماد.
• تأكد من عدم إتاحة مفاتيح API للجمهور في مساحات عمل Postman.
• حاول الاحتفاظ بها مساحة عمل ساعي البريد الخاصة.

الملحق

• مساحة عمل عامة لـ Postman تعرض مجموعة API التي تحتوي على أسرار وبيانات اعتماد تتعلق بشركات تأمين متعددة. هذه الأسرار مخصصة للاستخدام الداخلي للشركات فقط.

[معرف التسمية التوضيحية = «المرفق _21883" align= «alignnone» العرض = «1751"] لقطة شاشة لمثيل Postman يحتوي على أسرار التفويض [/caption]

• مساحة عمل عامة لشركة Postman تشير إلى تسرب مجموعة API التي تحتوي على أسرار وبيانات اعتماد تتعلق بشركات تأمين متعددة.

[معرف التسمية التوضيحية = «المرفق _21884" align= «alignnone» width="1374"] لقطة من التهديد المصنف بواسطة xviGil [/caption]