TechTalkThai ศูนย์รวมข่าว Enterprise IT ออนไลน์แห่งแรกในประเทศไทย
Application Programming Interface หรือ API เป็นหัวใจสำคัญของธุรกิจยุคดิจิทัล หลายองค์กรเริ่มเปิดให้บริการออนไลน์และแอปพลิเคชันของตนเชื่อมต่อกับระบบต่างๆ ทั้งภายในและภายนอกมากขึ้น เช่น ระบบฐานข้อมูล โซเชียลมีเดีย แอปพลิเคชันของพันธมิตรทางธุรกิจ เกม เป็นต้น ซึ่ง API ในปัจจุบันนอกจากจะช่วยเรื่องการสื่อสารและแลกเปลี่ยนข้อมูลระหว่างกันแล้ว ยังสามารถควบคุมระบบอื่นๆ ได้อีกด้วย
เมื่อ API ถูกใช้งานและมีความสามารถมากขึ้น ถ้าบริหารจัดการไม่ดีเพียงพอ อาจเสี่ยงถูกอาชญากรไซเบอร์โจมตีช่องโหว่เพื่อเจาะเข้าสู่ระบบขององค์กรและขโมยข้อมูลออกไปได้ Thales ผู้ให้บริการโซลูชันด้าน Cybersecurity & Trust ระดับโลก จึงให้บริการ Imperva API Security สำหรับค้นหา ประเมินความเสี่ยง และปกป้อง API ขององค์กรแบบครบวงจร ออกแบบมาสำหรับทีม Security โดยเฉพาะ ไม่ต้องยุ่งเกี่ยวกับโค้ด สอดคล้องกับแนวทางการใช้ API อย่างมั่นคงปลอดภัยของธนาคารแห่งประเทศไทยและ สกมช. พร้อมบริการ Clinic Health-check Programs สำหรับตรวจสุขภาพ Web Apps & API ขององค์กรตามมาตรฐานสากล
มี API Gateway แล้ว ต้องมี API Security หรือไม่?
หลายองค์กรเข้าใจว่า แค่มี API Gateway ก็เพียงพอต่อการรักษาความมั่นคงปลอดภัย API แต่ที่จริงแล้ว API Gateway ถูกออกแบบมาสำหรับบริหารจัดการและควบคุม API Requests เป็นหลัก และมีฟีเจอร์ด้านความมั่นคงปลอดภัยเพียงพื้นฐานเท่านั้น เช่น Authentication, Schema Protection, Rate-limiting และ Input Validation ในขณะที่โซลูชัน API Security เฉพาะทางจะเน้นที่การตรวจจับและป้องกันภัยคุกคาม API เป็นหลัก ทำให้มีฟีเจอร์ด้านความมั่นคงปลอดภัยที่เจาะลึกและหลากหลายมากกว่า เช่น การตรวจหา Shadow API, การตรวจสอบช่องโหว่ตาม OWASP Top 10 API Security Risks, การติดตามทราฟฟิก API เพื่อป้องกันข้อมูลสำคัญรั่วไหล หรือการใช้ Machine Learning เพื่อตรวจจับพฤติกรรมต้องสงสัยหรือการโจมตีที่มีความซับซ้อน เป็นต้น การมี API Security ทำงานร่วมกับ API Gateway จึงจะทำให้ระบบ API ขององค์กรทำงานได้อย่างมั่นคงปลอดภัยและมีประสิทธิภาพสูงสุด
ปัจจุบันมีผู้ให้บริการโซลูชัน API Security เป็นจำนวนมาก แต่ส่วนใหญ่มักต้องไปยุ่งเกี่ยวกับโค้ดของแอปพลิเคชัน ทำให้เกิดคำถามขึ้นมาว่า “ใครจะเป็นผู้รับผิดชอบ ทีม Security ทีม Developer หรือทั้งคู่?” ผลลัพธ์ที่ตามมาคือปัญหาเรื่องการประสานงานระหว่างทั้ง 2 ทีม ส่งผลให้การรักษาความมั่นควงปลอดภัย API ขององค์กรกลายเป็นงานที่ยุ่งยากและขาดประสิทธิภาพ
ค้นหา ประเมินความเสี่ยง และปกป้อง API ขององค์กรแบบครบวงจร ตามแนวทางของ BOT และ NCSA
Thales ให้บริการ Imperva API Security ที่ออกแบบมาสำหรับให้ทีม Security ใช้งานโดยเฉพาะ ครอบคลุมตั้งแต่การตรวจจับและค้นหา API ที่องค์กรเปิดให้ใช้งาน ประเมินความเสี่ยงของ API เหล่านั้น ไปจนถึงการทำงานร่วมกับ Web Application and API Protection (WAAP) เพื่อป้องกันการโจมตีช่องโหว่ นอกจากนี้ยังสามารถแสดงข้อมูลความเสี่ยงเชิงลึกเพื่อให้ทีม Developer นำไปใช้เพื่อแก้ไขโค้ด อุดช่องโหว่ที่ต้นทางได้ สอดคล้องตามแนวทางปฏิบัติการใช้เทคโนโลยี API ของธนาคารแห่งประเทศไทยและ สกมช.
Imperva API Security ของ Thales มีแนวทางการรักษาความมั่นคงปลอดภัย API 3 ขั้นตอน คือ
- Discovery & Classification – ค้นหาและจำแนกประเภทของ API ไม่ว่าจะเป็น Public หรือ Private API พร้อมจัดลำดับความสำคัญ เช่น API ใดเป็น Sensitive API ที่ใช้กับข้อมูลส่วนบุคคลหรือข้อมูลการเงิน รวมถึงเปิดเผย Shadow API ที่ซ่อนอยู่ภายในแอปพลิเคชัน
- Risk Assessment – ประเมินความเสี่ยงของ API ตาม OWASP Top 10 API Security Risks พร้อมตรวจสอบข้อบกพร่องของโครงสร้างการออกแบบ ตรวจจับช่องโหว่การพิสูจน์ตัวตน ไปจนถึงการตั้งค่าที่ผิดพลาด
- Mitigation – นำเสนอข้อมูลเชิงลึกเพื่อให้จัดลำดับความสำคัญของความเสี่ยงและแก้ไขปัญหาได้อย่างมีประสิทธิภาพ ผสานการตรวจจับแบบ Rule-based เข้าด้วยกันกับ Behavioral Analysis เพื่อค้นหาพฤติกรรมที่มีความเสี่ยงของการโจมตี BOLA และสามารถทำงานร่วมกับ WAAP เพื่อป้องกันการโจมตีช่องโหว่ API ได้แบบเรียลไทม์
ออกแบบมาสำหรับทีม Cybersecurity ไม่ต้องยุ่งกับโค้ดของแอปพลิเคชัน
จุดเด่นของ Imperva API Security คือการออกแบบมาสำหรับใช้ทีม Security ใช้งานโดยเฉพาะ จะไม่มีการแก้ไขหรือยุ่งเกี่ยวกับโค้ดของแอปพลิเคชันใดๆ ทั้งสิ้น แต่ทีม Developer สามารถนำข้อมูลความเสี่ยงของ API ที่ตรวจพบไปใช้ประโยชน์เพื่ออุดช่องโหว่ที่ต้นเหตุอย่างถาวรและปรับปรุง API ให้มั่นคงปลอดภัยยิ่งขึ้นได้
คุณสมบัติที่น่าสนใจของ Imperva API Security ได้แก่
- อัปเดตการตรวจจับและรับมือกับ Business Logic Abuse อย่างสม่ำเสมอ
- ประเมินความเสี่ยง API ตาม OWASP Top 10 API Security Risks เช่น BOLA, Broken User Authentication, Excessive Data Exposure รวมถึง Injection Flaws
- ติดตามการทำงานและพฤติกรรมของ API ได้ในรายละเอียดเชิงลึก
- ผสานการทำงานร่วมกับ Imperva WAAP เพื่อใช้ประโยชน์จากฟีเจอร์ SSL Decryption ในการตรวจสอบทราฟฟิก API ที่เข้ารหัส และยับยั้งการโจมตีช่องโหว่ API แบบเรียลไทม์
- สามารถทำงานร่วมกับ API Gateway ชั้นนำ เช่น Kong, Apigee, Azure, AWS, APIM, F5 ได้อย่างไร้รอยต่อ
- รองรับการทำงานทั้งแบบ SaaS, Hardware/Virtual Appliance, Plug-in และ Container
ดาวน์โหลดเอกสาร Imperva API Threat Report – The Battleground ได้ที่ https://www.imperva.com/resources/resource-library/reports/imperva-api-threat-report/
ให้บริการ Clinic Health-check Programs สำหรับ Wep Apps & API พร้อมแนวทางปฏิบัติตามมาตรฐานสากล
เพื่อสนับสนุนธุรกิจไทยให้สามารถพัฒนาบริการออนไลน์และแอปพลิเคชันต่างๆ สำหรับให้บริการแก่ลูกค้าในยุคดิจิทัลได้อย่างมั่นคงปลอดภัย Thales จึงได้ร่วมมือกับเหล่าตัวแทนและผู้จัดจำหน่ายในประเทศไทย เปิดให้บริการ Clinic Health-check Programs สำหรับตรวจสุขภาพและประเมินความเสี่ยงระบบ Web Apps และ API ขององค์กรตามมาตรฐานสากล ซึ่งนอกจากจะช่วยให้องค์กรทราบถึงช่องโหว่บน Web Apps แล้ว ยังช่วยให้องค์กรเห็นถึงภาพรวมของ API ทั้งหมด ไม่ว่าจะเป็นจำนวน Public & Private API จำนวน API ที่ใช้กับข้อมูลสำคัญอย่าง PII, Financial, Health ไปจนถึง API ที่มีพฤติกรรมสุ่มเสี่ยง และ API ที่ได้รับการปกป้องเรียบร้อยแล้ว เป็นต้น ทีม Security, DevOps และ Developer สามารถนำข้อมูลเหล่านี้ไปปรับปรุงระบบ Web Apps และ API ให้มีประสิทธิภาพและมั่นคงปลอดภัยยิ่งขึ้นได้
นอกจากนี้ Thales ยังนำเสนอแนวทางปฏิบัติสำหรับการรักษาความมั่นคงปลอดภัย API รวม 10 ขั้นตอน โดยอ้างอิงจากแนวทางของธนาคารแห่งประเทศไทย สกมช. และบริษัทที่ปรึกษาชั้นนำอย่าง Gartner, TechTarget และ KuppingerCole ซึ่งครอบคลุมตั้งแต่การค้นหาและจำแนกประเภท API การออกแบบและพัฒนา API อย่างมั่นคงปลอดภัย การตรวจสอบช่องโหว่และประเมินความเสี่ยง คำแนะนำในการพิสูจน์ตัวตนและควบคุมการเข้าถึง การติดตามและเฝ้าระวังพฤติกรรมที่ผิดปกติ การป้องกัน รับมือ และฟื้นฟูการทำงานให้กลับสู่สภาพปกติ ไปจนถึงการกำกับดูแลและดำเนินการให้สอดคล้องกับกฎระเบียบและข้อบังคับต่างๆ
ต้องการทราบข้อมูลเพิ่มเติมเกี่ยวกับ Imperva API Security หรือเข้ารับบริการ Clinic Health-check Programs for Web Apps & API สามารถติดต่อทีม Thales ประจำประเทศไทยได้ที่ https://engage-cybersec.thalesgroup.com/th-collateral-ekiosk.html
