Современные атаки на API все чаще обходятся без эксплуатации уязвимостей, используя штатную функциональность приложений. Межсетевые экраны (WAF) не блокируют такую активность, так как каждый отдельный запрос выглядит легитимным, проходит авторизацию и соответствует спецификации, не содержа вредоносных сигнатур.
Специалисты NGENIX выделяют три типа таких атак: Burst, Shortwave и Carpet Bombing. Burst-атаки представляют собой интенсивные всплески нагрузки на ресурсоемкие методы API. Они длятся несколько секунд, перегружая приложение, а не канал связи, что затрудняет автоматическое реагирование систем защиты.
Сценарий Shortwave направлен на эксплуатацию состояния гонки (race condition). Злоумышленники отправляют короткие импульсы запросов, чтобы обойти логику бизнес-процессов, например, применить промокод несколько раз. Такие действия не превышают лимиты частоты запросов, поэтому остаются незамеченными для стандартных инструментов мониторинга.
Ковровые атаки (Carpet Bombing) распределяют активность по сотням методов API, что делает невозможным обнаружение аномалий на уровне отдельных эндпоинтов. Этот метод часто используется для разведки структуры приложения и сбора данных. Для защиты от подобных угроз эксперты рекомендуют анализировать сценарии поведения пользователей, а не отдельные запросы.
