Typ útoku
Nebezpečné spracovanie dát z cudzieho API
Aplikácia dôveruje dátam alebo presmerovaniam z partnerského API viac než bežnému vstupu a prenesie kompromitáciu dodávateľa do vlastného prostredia.
Prečo je tento scenár dôležitý
Útočník kompromituje integrovanú službu alebo zneužije jej odpoveď. Nedostatočná validácia, timeouty, TLS kontrola, redirect politika, sanitizácia a izolácia môžu viesť k injekcii, úniku dát, SSRF, nedostupnosti alebo vykonaniu škodlivého obsahu.
Externé API treba považovať za nedôveryhodný vstup, používať schémy a limity, bezpečné TLS, circuit breaker, sanitizáciu, minimálne oprávnenia integrácie a monitoring dodávateľského rizika.
Scenár používa MITRE ATT&CK® ako referenčný model. Ide o odbornú interpretáciu SecTec a neznamená schválenie alebo odporúčanie zo strany MITRE.
Relevantné taktiky ATT&CK
- Command And Control
- Initial Access
Relevantné techniky ATT&CK
Referenčné rámce
Technológie a vendori SecTec
Nasledujúca hierarchia je odvodená zo schváleného mapovania ATT&CK na technológie a technológií na vendorov.