مع تحول واجهات برمجة التطبيقات (APIs) إلى أساس للأعمال الرقمية، أصبحت أيضاً ساحة الهجوم المُفضّلة لدى عدد متزايد من الجهات الفاعلة و واجهت مخاطر مختلفة ومنها هجمات منطق الأعمال (BLAs). ليست هذه الهجمات تقنية بالمعنى التقليدي، فلا تتضمن مثلاً عمليات حقن أو استغلال لضعف المصادقة. لكن تستغل هجمات منطق الأعمال سلوك واجهة برمجة التطبيقات، مُستغلةً سير العمل، ومتجاوزةً الضوابط، ومتلاعبةً بالمعاملات بطرق غالباً ما تتجاوز أدوات الأمن التقليدية. بالنسبة لمحترفي الأمن، يتطلب هذا التحوّل إعادة تقييم لكيفية مراقبة واجهات برمجة التطبيقات واكتشافها والدفاع عنها.
ما هي هجمات منطق الأعمال؟
يُعد منطق الأعمال (Business logic) العمود الفقري لأي تطبيق، إذ يُحدد كيفية عمله وتفاعله مع المستخدمين والأنظمة الأخرى. بشكل عام، تُعتبر هجمات منطق الأعمال نوعاً من الهجمات السيبرانية، حيث يستغل مجرمو الانترنت وظائف وعمليات التطبيق بدلاً من ثغراته التقنية.
تتميز هجمات منطق الأعمال (BLA) بخصائص فريدة لكل تطبيق وفق منطقه الخاص، مما يُصعّب اكتشافها باستخدام أدوات الأمان التقليدية التي تعتمد على أنماط أو تواقيع هجومية مُحددة مسبقاً. على سبيل المثال، تعتمد جدران حماية تطبيقات الويب (WAF) التقليدية على أنماط هجومية معروفة، بينما تتلاعب هجمات منطق الأعمال (BLA) بمنطق التطبيق المُحدد.
على عكس هجمات البرامج الضارة أو هجمات الشبكات المعروفة، يُمكن أن تختلف هجمات منطق الأعمال (BLA) بشكل كبير من تطبيق لآخر، مما يجعل الكشف القائم على التواقيع غير فعال. يُمكن للمهاجمين محاكاة سلوك حركة عمليات مشروعة، واستغلال الميزات الأصلية، وتجاوز دفاعات الأمان التقليدية، والتلاعب بسير العمل للحصول على وصول غير مُصرح به أو التسبب في ضرر، كل ذلك دون أن يثير ذلك أي تنبيهات أمنية.
كيف تتم هجمات منطق الأعمال؟
- إساءة استخدام الوظائف داخل التطبيق عبر استخدام وظائف مشروعة لتنفيذ أعمال ضارة، مثل منح صلاحيات أو منح وصول إلى بيانات غير مصرح بها.
- تغيير سير عمل التطبيق لتجاوز ضوابط الأمان أو القيام بأعمال غير مصرح بها.
- استغلال مدخلات واجهة برمجة التطبيقات (API) للوصول إلى بيانات تخص مستخدمين آخرين. يصعب منع هذا الأمر، وقد يكون مربحاً للغاية للمهاجمين الذين يسعون إلى تسريب معلومات حساسة.
لسنوات، بُنيت حماية واجهات برمجة التطبيقات (API) على التنبه للبرمجيات الضارة، وثغرات المصادقة، وسوء التكوين – وهي مشاكل تنتج عادةً عن ثغرات في الأكواد البرمجية أو مكونات لم يتم تحديثها. لا تزال هذه المشاكل قائمة، ولكنها مفهومة جيداً ويتم التخفيف من آثارها على نطاق واسع من خلال تجهيزات الأمان ومنها مثلاً جدران حماية تطبيقات الويب (WAFs).
تختلف طلبات BLA. فهي لا تعتمد على طلبات مشوهة أو ثغرات على مستوى الشيفرة البرمجية. بل تستغل الثغرات في كيفية عمل واجهات برمجة التطبيقات (APIs). قد تتضمن طلبات BLA تسلسل إجراءات مشروعة بتسلسل غير مقصود، أو تغيير معلمات الطلب للحصول على أسعار أقل، أو تجاوز حدود السرعة لجمع البيانات على نطاق واسع. إنها ليست انتهاكات للسياسات التقنية، بل هي انتهاكات لقواعد العمل مما يُصعّب اكتشافها.
مخاطر تتجاوز الدفاعات
تحاكي طلبات BLA حركة البيانات المشروعة، لا يوجد توقيع ضار للإبلاغ عنه. يستخدم المهاجمون نفس نقاط نهاية واجهة برمجة التطبيقات وهياكل الطلبات التي يستخدمها المستخدمون الحقيقيون، مما يعني أن سلوكهم يتداخل ما لم تعرف الفرق ما الذي تبحث عنه.
كما تستهدف طلبات BLA سير عمل الأعمال فهي لا تحتاج إلى اختراق. كل ما تحتاجه هو تحديد إحدى العمليات التي لم تُصمم بطريقة تمنع إساءة الاستخدام. تخيّل أن مهاجماً يُرسل مرتجعات بطريقة تُولّد أرصدة دون عملية شراء مقابلة. تعتمد اتفاقيات ترخيص المستخدم (BLAs) على الأتمتة والذكاء الاصطناعي وبالتالي، يستخدم مهاجمو اليوم أدوات تعتمد على الذكاء الاصطناعي لإجراء هندسة عكسية لواجهات برمجة التطبيقات (APIs)، ورسم خرائط للتدفقات المعقدة، ومحاكاة سلوك المستخدم لتحديد نقاط الضعف. تُسهّل هذه الأدوات توسيع نطاق الهجمات التي كانت في السابق تستغرق وقتاً طويلاً وتتطلب فحصاً يدوياً.
تتجاوز اتفاقيات ترخيص المستخدم الدفاعات التقليدية، فواجهات تطبيقات الويب (WAFs) وبوابات واجهات برمجة التطبيقات (APIs) غير مصممة لفهم سلوك التطبيق، فهي تعرف فقط ما هو محظور صراحةً. وبدون فهم منطق العمل، ستغفل أدوات الأمن التقليدية عن هذا النوع من الهجمات.
ضعف خطط الأمن التقليدية
لطالما اعتمدت فرق الأمن على دفاعات محيطية ومجموعات قواعد ثابتة لحماية واجهات برمجة التطبيقات. ورغم أهمية هذه الضوابط، إلا أنها تعجز عن مواجهة الإساءة القائمة على المنطق. هناك عدة ثغرات رئيسة يجب الانتباه إليها:
- ضعف في إدارة واجهات برمجة التطبيقات (APIs)، بحيث لا يتم عزل أو إغلاق الـ API القديمة وغير المُستخدمة دون مراقبة أو حماية.
- عدم فهم السياق الذي تعمل ضمنه الـ APIK، بحيث لا تُراعي حدود المعدلات الثابتة أو أنماط الطلبات كيفية تفاعل هذه الطلبات عبر سير العمل.
- بطء التكيف مع التغيير بحيث تتطور واجهات برمجة التطبيقات أسرع من تطور سياسات الأمن.
- طبقات حماية غير مترابطة مما يصعب مواجهة الهجمات متعددة الخطوات.
للدفاع ضد هجمات منطق الأعمال (BLAs)، تحتاج فرق الأمن إلى نهج أكثر ديناميكية وذكاءً.
الكشف عن تهديدات واجهات برمجة التطبيقات (API)
لكشف هجمات منطق الأعمال والتخفيف من حدتها بفعالية، يجب على المؤسسات تجاوز الضوابط القائمة على التوقيع واعتماد نماذج قائمة على السلوك. تشمل ما يلي:
المعرفة الشاملة بواجهات برمجة التطبيقات (API) ورسم خرائطها للحصول على رؤية كاملة لجميع واجهات برمجة التطبيقات (API) المستخدمة – الداخلية والخارجية، والمهملة (shadow)، والموجهة للشركاء. يُعد توثيق سير العمل وأنماط الوصول والتبعيات أمراً بالغ الأهمية.
الخطوط الأساسية (baselines) للسلوك الطبيعي في الوقت الفعلي. يمكن الوصول لهذه المعرفة عبر استخدم التعلم الآلي والذكاء الاصطناعي لنمذجة سلوك واجهات برمجة التطبيقات (API) الطبيعي، بناءً على الاستخدام الفعلي. يتيح ذلك للفرق اكتشاف الانحرافات، مثل الطلبات المتكررة التي تتجاوز حدود المعدلات أو تسلسلات الإجراءات غير المتوقعة.
المراقبة المستمرة لمنطق الأعمال. لا يكفي نمذجة الطلبات بشكل فردي. بل يجب فهم كيفية عمل تسلسلات واجهات برمجة التطبيقات معاً، ومراقبة التدفقات، وليس فقط نقاط النهاية، والبحث عن أي شذوذ في منطق المعاملات.
تكييف سياسات الأمان وأتمتة عملية تحديد قواعد منطق الأعمال وتطبيقها. مع ظهور أنماط جديدة، سواءً من خلال تطبيقات متطورة أو تجارب المهاجمين، ينبغي أن تتطور ضوابط المؤسسة أيضاً.
التكامل مع منظومة الأمن الأوسع و ربط النتائج بالرؤى المستمدة من جدار حماية تطبيقات الويب (WAF)، واكتشاف الروبوتات، والقياس عن بُعد من جانب العميل، وأنظمة DDoS، ومنصات منع الاحتيال. تُعد الرؤية متعددة الطبقات أمراً بالغ الأهمية للكشف عن التهديدات المعقدة.
كيف نبدأ الدفاع؟
يتطلب الدفاع ضد هجمات منطق الأعمال تغييراً جذرياً في طريقة تفكيرها. يجب أن يمتلك مسؤلو الأمن ليس فقط بالثغرات الأمنية، بل أيضاً بسير العمل، وحالات الاستخدام، وأهداف العمل التي تدعمها واجهات برمجة التطبيقات (APIs). يتطلب ذلك العمل بشكل وثيق مع فرق التطوير خلال مرحلة التصميم، ومراقبة واجهات برمجة التطبيقات في مرحلة العمل (production) باستمرار للكشف عن إساءة استخدام المنطق في الوقت الفعلي. كما يعني أيضاً إدراك أن الدفاعات المحيطية وحدها لا تكفي. فكما تقدمت تقنيات المهاجمين، يجب على المدافعين أيضاً أن يتنبهوا إلى هجمات منطق الأعمال بدل التركيز فقط على ثغرات البنية التحتية.
كلمة أخيرة
لم يعد أمن واجهات برمجة التطبيقات يقتصر على منع الأكواد البرمجية السيئة فحسب ولكنه يشمل أيضاً منع استخدام الوظائف الشرعية بطرق سيئة. إن هجمات واجهات برمجة التطبيقات (BLAs) دقيقة وقابلة للتطوير، ومؤتمتة بشكل متسارع. يتطلب الدفاع ضدها أكثر من مجرد أدوات تقليدية. بل يتطلب القدرة على نمذجة سلوك الأعمال وتطبيقه بشكل ديناميكي.
