Setelah serangan terhadap server API terus meningkat selama beberapa tahun terakhir, Cloudflare kali ini telah meluncurkan alat keamanan baru untuk mengamankan API dari upaya eksploitasi otomatis.
Diberi nama Cloudflare API Shield, layanan baru ini akan tersedia secara gratis untuk semua pemegang akun Cloudflare, terlepas dari paket harga yang diambil.
API tentunya digunakan dalam berbagai cara. Mereka dapat disematkan di dalam aplikasi yang berdiri sendiri dan memungkinkan komponen untuk berkomunikasi satu sama lain, atau mereka dapat menjadi sistem berbasis web yang memungkinkan “klien” jarak jauh (aplikasi, perangkat, server, pengguna) untuk terhubung ke server API dan menyampaikan kueri atau perintah dan menerima data.
Sistem berbasis web ini sangat rentan terhadap serangan, karena sistem tersebut selalu online, dan selalu terbuka.
Menurut laporan industri, serangan pada endpoint API berbasis web telah meningkat jumlah dan volumenya dalam beberapa tahun terakhir, dan diperkirakan akan terus meningkat, karena saat ini lebih banyak perusahaan pindah ke cloud, di mana API adalah perekat yang menyatukan sebagian besar infrastruktur perusahaan.
Cloudflare API Shield hadir untuk sistem ini, yang terpapar online sepanjang waktu dan rentan terhadap serangan seperti upaya login otomatis, injeksi perintah, enumerasi data pengguna, dan banyak lagi.
Alat tersebut bekerja dengan menggunakan kebijakan keamanan “deny-all“, yang oleh Cloudflare sebut sebagai “positive security“.
Setelah dikonfigurasi untuk server API, API Shield akan menolak semua koneksi masuk jika mereka tidak memberikan sertifikat dan kunci kriptografi yang telah dibuat oleh pemilik API di dasbor API Shield dan diinstal pada semua perangkat klien yang disetujui, baik itu adalah aplikasi seluler , perangkat IoT, server web, atau lainnya.
Baca Juga: “Trojan Astaroth Menggunakan Cloudflare Workers Untuk Bypass Antivirus“
Bekerja dengan enkripsi dan sertifikat terdengar rumit, tetapi Cloudflare mengatakan inilah mengapa ia membuat API Shield di tempat pertama, sebagai tempat untuk mengotomatiskan semua operasi ini sebagai bagian dari dasbor web.
“Awalnya kami akan mendukung lalu lintas [API] JSON dan, berdasarkan masukan pelanggan, kami akan mempertimbangkan untuk memperluas perlindungan skema ke protokol biner, seperti gRPC,” kata Cloudflare dalam siaran persnya. “Setelah kami yakin bahwa permintaan yang mencapai origin pelanggan mematuhi skema yang dirancang, kami akan mulai menyertakan fungsi keamanan tambahan.”
Fitur yang direncanakan termasuk pembatasan rate, perlindungan DDoS, aturan aplikasi web yang dirancang khusus untuk API, dan analisis API.
