Dengan melibatkan semua pemangku kepentingan dalam keamanan API dan memfasilitasi keterlibatan, tim bisa berkolaborasi secara efektif dan mendapatkan keuntungan bersama.
6. Jangan abaikan API pihak ketiga
Salah satu kesalahan umum dalam strategi keamanan API adalah berasumsi hanya API Anda saja yang membutuhkan perlindungan. Meskipun terlihat komprehensif, gateway API mungkin tidak memperhitungkan API bayangan atau kerentanan API pihak ketiga.
Untuk memastikan perlindungan yang kuat, integrasikan strategi keamanan API Anda dengan teknologi utama seperti API gateway dan kumpulkan informasi dari berbagai sumber termasuk perangkat jaringan, platform cloud dan tool untuk mengorkestrasi layanan mikro.
Pendekatan holistik ini memberikan pandangan lengkap mengenai permukaan serangan API dan memungkinkan Anda membuat penjagaan jadi lebih terarah untuk mengatasi kerentanan keamanan yang teridentifikasi.
7. Jangan berikan respons, maju terus!
Walaupun respons cepat terhadap peringatan itu penting, mencari ancaman secara proaktif bisa mencegah munculnya peringatan. Dengan akses ke query data, Anda bisa menguji hipotesis, mengidentifikasi hubungan, dan mendeteksi potensi ancaman sebelum memburuk.
Sebagai contoh, terdeteksinya penggunaan API yang buruk oleh salah satu mitra bisa mendorong pencarian perilaku yang sama oleh yang lain. Mitra keamanan API yang efektif menyimpan data historis di data lake, sehingga menjamin akses untuk melakukan investigasi yang mendalam. Idealnya, kemampuan query yang kuat tersedia untuk tim Anda agar secara proaktif bisa mencari ancaman tersembunyi atau apapun yang mungkin terlihatnya tidak pada tempatnya di seluruh trafik API Anda.
8. Pendekatan keamanan API sebagai siklus hidup berkelanjutan
Mengintegrasikan pengujian API ke dalam siklus hidup API akan mencegah API yang mengalami miskonfigurasi atau yang rentan mencapai produksi, sehingga mengurangi kesulitan, menghemat waktu, dan mengurangi biaya. Baik tim pengembang maupun keamanan harus mengelola living inventory API, terus menemukan dan mengawasinya untuk menghilangkan masalah-masalah seperti API bayangan, rogue, tidak terdokumentasi, zombie, orphaned dan tidak digunakan lagi. Saat dalam produksi, deteksi ancaman saat runtime, terutama yang berupa penyalahgunaan logika bisnis, sangat penting, dan bandingkan perilaku dengan pola dasar untuk mengidentifikasi kelainan.
Ketika ancaman atau anomali terdeteksi, respons otomatis seperti pemblokiran menggunakan WAF atau menginformasikan pengembang untuk memperbaiki kerentanan yang teridentifikasi secara real time seharusnya dilakukan, untuk memastikan proses loop tertutup di mana kita mengamankan API, mulai dari code hingga runtime.
Baca juga: Akamai Akuisisi Noname Security untuk Tingkatkan Solusi Keamanan API
| Penulis | : | Liana Threestayanti |
| Editor | : | Liana Threestayanti |
KOMENTAR