Глава 11

До сих пор мы рассматривали атаки натрадиционное приложение–приложе- ние с пользовательским интерфейсом и панелью входа в систему и, возможно, какой-либо панелью управления. Современные приложения, как правило, реализуют несвязанную инфраструктуру и, в отличие от традиционных приложений, делятся на более мелкие приложения, или микросервисы, которые работают совместно, чтобы обеспечить пользователю функциональность.

Интерфейсы прикладного программирования (API) не являются новой концепцией. Термин API используется для чего угодно – от кодовой библиотеки Windows,которая позволяетнашему пользовательскому коду взаимодействовать с ядром операционной системы,до службы в сети, поддерживающей работу редакторов заметок. Очевидно, что мы не будем фокусироваться на Windows API (WinAPI),а станем рассматривать веб-приложения,которые,ка- жется, приводят в действие все, что есть в интернете. Когда я говорю об API в этой главе, я имею в виду веб-сервисы.

Микросервисы–относительно новая концепция,принятая разработчиками приложений для перехода от типичного проектирования монолитных приложений к более изолированному подходу. Идея состоит в том, чтобы разделить компоненты на собственные экземпляры и получать к ним доступ с помощью распространенного языка, обычно по сети, а точнее, по протоколу HTTP. Это даетпревосходныерезультатыприразработке,обеспечиваягибкость,поскольку позволяет асинхронно передавать код каждому компоненту. Разработчики могутсосредоточиться на конкретном компоненте,не опасаясьнарушитьчтолибо еще, при условии что интерфейс этого компонента соответствует согласованному стандарту.

Однако при использовании такого подхода не все так радужно. С появлением этоймоделивозникаютновыепроблемы,связанныесинформационнойбезопас­ ностью.Разъединенныеслужбыозначаютбольшуюповерхностьатакиснесколькими экземплярами, будь то виртуальные машины или контейнеры Docker. Дополнительное количество компонентов обычно означает бóльшую вероятность неправильной конфигурации,чем мы,конечно,можем воспользоваться.

Применение аутентификации и авторизации между компонентами – это также проблема, которую необходимо решить. Если в моем монолитном при-