Barracuda API security

Mettez fin aux attaques contre les API et améliorez l'expérience client.

Sécurité de base des API

En tant que proxy inverse, Barracuda Web Application Firewall et WAF-as-a-Service interceptent et sécurisent toutes les URL contre les attaques. Cela signifie que les attaques qui utilisent la surface réelle de l'URL sont contrecarrées et que l'URL entière est examinée à la recherche d'entrées malveillantes.

Les demandes entrantes font l'objet d'une vérification de validité des contenus (en termes d'exactitude du protocole et de tailles autorisées) afin de protéger l'analyseur de l'application back-end contre les attaques ciblées.

Le trafic API est inspecté pour détecter des modèles d'attaque à l'aide de notre technologie Smart Signature. Toutes les entrées utilisateur sont validées par rapport à ces signatures intelligentes pour détecter les attaques telles que les entités externes XML, les injections SQL et plus.

À l'aide des spécifications de l'API, Barracuda crée et applique automatiquement une sécurité positive progressive jusqu'au niveau de la clé. Une couche de protection est ainsi ajoutée à celle de la signature.

Le trafic sortant peut être inspecté à la recherche de données spécifiques comme les numéros de sécurité sociale, les numéros d'identité nationale, les numéros de carte de crédit, etc. afin de les éliminer et d'éviter les fuites de données.

Diffusion sécurisée des API

L'architecture sécurisée du proxy inverse fournit un front-end HTTPS renforcé. Ce front-end applique des protocoles et des chiffrages HTTPS spécifiques, ce qui assure une meilleure conformité avec des normes telles que NIST et PCI-DSS, tout en protégeant votre stack back-end contre les attaques de protocole.

Qu'il s'agisse de fournir différentes réponses en fonction des versions de l'application, des en-têtes ou des plateformes, ou d'effectuer des tests A/B, des déploiements Canary, etc., le module de routage de contenu de Barracuda Web Application Firewall permet une configuration rapide et une distribution facile des API.

Les API REST sont par nature bavardes, ce qui augmente la surcharge sur le serveur back-end. Barracuda regroupe les connexions pour réduire la charge sur le serveur back-end en équilibrant la charge des requêtes entrantes sur un pool de connexions ouvert en permanence. La mise en cache et la compression des réponses accélèrent les réponses aux requêtes API, ce qui améliore les performances pour l'utilisateur final et vous aide à respecter les accords de niveau de service.

Un seul client avec un mauvais comportement peut parfois surcharger une API. Avec des limites de débit et des tarpits basés sur IP, vous pouvez choisir de bloquer ou de ralentir les clients qui envoient un grand nombre de requêtes, protégeant ainsi votre serveur back-end contre les surcharges.

Protection contre les bots

Barracuda Web Application Firewall et WAF-as-a-Service peuvent détecter et bloquer les bots avancés qui lancent des attaques automatisées contre vos API. La couche d'apprentissage automatique basée dans le cloud détecte même les bots quasi-humains les plus avancés qui tentent de contourner les méthodes de détection et de prévention standard.

Brute Force attacks are typically used during reconnaissance attempts, and include attacks like directory traversal, credential cracking, and others. Barracuda Web Application Firewall solutions can identify brute force attempts from individual clients and block them.

De nombreuses API de service Web RESTful sont exploitées par des agrégateurs tiers. Par exemple, il peut arriver que les sites Web de comparaison de prix surchargent massivement les API REST des services d'e-commerce. La force brute et les politiques anti-DDoS de Barracuda Web Application Firewall et WAF-as-a-Service contribuent à garantir un accès discipliné à l'API.

Les solutions Barracuda Web Application Firewall offrent une protection complète contre les attaques DDoS volumétriques et celles ciblant les applications.

Contrôle d’accès

Les applications REST lient généralement les méthodes HTTP aux politiques opérationnelles et au contrôle d'accès basé sur les rôles. Bien souvent, les verbes ne conviennent pas à toutes les ressources. Les solutions Barracuda Web Application Firewall permettent d'appliquer les méthodes autorisées sur les ressources qui utilisent des capacités de profilage positif précis.

Les solutions Barracuda Web Application Firewall permettent une authentification préalable des services API ou de décharger complètement l'authentification sur elles-mêmes dans la DMZ. Outre l'authentification de base, OpenID Connect, SAML, LDAP, RADIUS, elles prennent également en charge les certificats client, CRL et OCSP. En outre, les clés API peuvent être répertoriées et validées dans n'importe quelle partie de la requête, y compris l'en-tête.

Facilité d'utilisation et visibilité

Barracuda Web Application Firewall et WAF-as-a-Service peuvent importer des spécifications API XML et JSON afin de configurer automatiquement la sécurité de vos API. Basée sur un assistant, l'interface conviviale reprend les spécifications et vous permet de configurer les différentes composantes de la sécurité, notamment la protection contre les attaques DDoS et par force brute et l'authentification, à partir d'une même interface, ce qui réduit la surcharge de travail des administrateurs.

Les solutions Barracuda Web Application Firewall offrent des fonctions complètes de journalisation et de reporting pour toutes les requêtes HTTP, le tout assorti d'une intégration prête à l'emploi avec les principaux fournisseurs SIEM. Cela fournit un cadre centralisé d'audit et de conformité réglementaire pour les services API d'entreprise qui gèrent des données confidentielles, sensibles ou à caractère personnel.

En outre, le tableau de bord d'analyse avancée basé dans le cloud est alimenté par les données de vos sites Web connectés à la solution Barracuda Advanced Bot Protection. Le tableau de bord offre une vue approfondie sur les statistiques de trafic de vos bots. Vous pouvez descendre jusqu'au niveau de chaque bot détecté et voir les détails de ses visites sur votre application, la quantité de trafic qu'il a généré, l'adresse IP source, etc. Les données obtenues vous offrent des informations historiques sur le trafic de bots, ainsi que sur les répercussions sur votre application.