Архітектура забезпечення безпеки API в мікросервісних ВЕБ-системах

Abstract

У статті запропоновано архітектуру забезпечення безпеки API у мікросервісних веб-системах, що поєднує засоби аутентифікації та авторизації, захисту від типових вразливостей, виявлених у OWASP API Security Top 10, а також механізми контролю доступу на основі принципів zero trust. Показано, що зі зростанням кількості мікросервісів та публічних API суттєво зростає площина атаки, а класичні підходи до периметрового захисту виявляються недостатніми. Запропонована формальна модель мікросервісної веб-системи розглядає множину сервісів, їхні кінцеві точки API та відповідні атрибути безпеки, зокрема політики аутентифікації, авторизації, швидкісні обмеження та механізми фільтрації трафіку. На основі цієї моделі визначено множину загроз, що відповідають основним категоріям уразливостей API, та побудовано матрицю відповідності між кінцевими точками і класами атак. Для кожної кінцевої точки вводиться функція ризику, яка залежить від імовірності реалізації загрози, потенційних збитків та ефективності застосованих засобів захисту. Запропоновано математичну модель зниження інтегрального ризику шляхом впровадження набору технічних контролів на рівні шлюзу API, сервісної сітки та окремих мікросервісів. Введено показники ефективності архітектури, що враховують кількість блокованих атак, частку захищених кінцевих точок, додаткові затримки обробки запитів та витрати ресурсів. Наведено схему архітектури безпеки API, яка ілюструє взаємодію клієнтів, шлюзу API, служби ідентифікації, сервісної сітки, журналювання та системи моніторингу. Отримані результати можуть бути використані для проєктування нових та модернізації існуючих мікросервісних веб-систем, а також для кількісного обґрунтування вибору засобів захисту. Додатково проаналізовано характерні сценарії атак на API у мікросервісних архітектурах, зокрема зловживання токенами доступу, маніпуляції з параметрами запитів, масове створення запитів з метою виснаження ресурсів та обхід міжсервісної автентифікації. На основі аналізу сформульовано рекомендації щодо побудови багаторівневої системи захисту, яка поєднує класифікацію запитів, централізоване керування політиками доступу та безперервний моніторинг.