API8 Security Logging and Monitoring

Définition

API8 Security Logging and Monitoring Failures est le huitième risque de l'OWASP API Security Top 10, couvrant l'insuffisance des mécanismes de journalisation et de surveillance des APIs. Sans logs appropriés et sans surveillance active, les incidents de sécurité (tentatives d'exploitation, violations de données, abus) peuvent se produire sans être détectés pendant des semaines ou des mois. L'API8 est fondamentalement un risque de détection : les attaquants ont tout le temps qu'ils souhaitent pour explorer et exploiter une API si personne ne surveille. Les défaillances de logging et monitoring API les plus critiques incluent : l'absence de journalisation des tentatives d'authentification échouées (qui masque les attaques de credential stuffing), l'absence de journalisation des accès aux données sensibles (impossible de détecter l'exfiltration de données), les logs sans identité de l'appelant (impossible d'attribuer les actions à un utilisateur ou un système spécifique), l'absence de monitoring des anomalies de débit (impossible de détecter un scan ou une extraction de données en masse), et les logs stockés dans des systèmes accessibles à l'application elle-même (un attaquant ayant compromis l'application peut effacer ses traces). La journalisation appropriée des APIs doit capturer pour chaque requête : l'identité de l'appelant (userID, apiKeyID, service ID), l'action effectuée (méthode + endpoint), l'adresse IP source, le timestamp précis (UTC, millisecondes), le statut de la réponse (code HTTP), le temps de traitement, et les données clés accédées (identifiants, pas le contenu complet). Ces informations permettent la reconstruction complète d'une session d'attaque a posteriori. La surveillance active des logs API nécessite des règles d'alerte sur les patterns anormaux : taux élevé de réponses 401/403 (attaque de force brute ou de credential stuffing), accès à une grande volumétrie d'objets différents en peu de temps (scraping ou exfiltration), requêtes depuis des IPs géographiquement inhabituelles sur des endpoints sensibles, et pics de consommation d'une API spécifique dépassant le profil habituel.