La cooperativa Ailos refuerza la seguridad de sus aplicaciones y API con F5

La cooperativa brasileña Ailos cuenta con una estrategia de transformación digital destinada a ampliar los servicios financieros que impulsan el crecimiento económico de particulares, empresas y núcleos urbanos. El objetivo es alcanzar los 2 millones de clientes para 2025. Reconocida por su innovación, Ailos fue pionera en ofrecer transferencias instantáneas y gratuitas antes de la llegada de PIX, el sistema de pagos instantáneos del Banco Central de Brasil. La organización protege sus activos digitales con los servicios de F5 Distributed Cloud.

Desafío empresarial

Fundada hace 20 años en Santa Catarina, Brasil, la Cooperativa Ailos presta servicio a 1,6 millones de clientes en todo el país. En ciudades como Presidente Getúlio, el 90 % de la población es cliente de Ailos. Conscientes de su papel en este ecosistema, los responsables de Ailos han estado renovando procesos y aplicaciones para mejorar la experiencia de atención al cliente. También se han centrado en crear una infraestructura escalable que respalde la futura expansión empresarial de la Cooperativa.

Como parte de este proceso, el entorno bancario central de Ailos se basa en una aplicación monolítica heredada que coexiste con aplicaciones modernas en la nube alojadas en AWS y Azure. La Cooperativa también utiliza MuleSoft, una plataforma nativa de la nube que facilita la publicación de API. Los clientes acceden a estas aplicaciones y servicios a través del sitio web y la aplicación móvil de Ailos.

Los procesos de desarrollo, publicación y consumo de aplicaciones y API de la Cooperativa Ailos siguen las prácticas recomendadas de DevSecOps. Aunque el equipo de Ailos diseña las aplicaciones, el desarrollo se lleva a cabo en colaboración con socios externos y debe satisfacer los requisitos de gran agilidad del sector de los servicios financieros. Para garantizar la integridad de los datos, la empresa necesitaba una solución multinube que proporcionara visibilidad y control unificados de todas sus API y aplicaciones, independientemente de dónde estuvieran implementadas.

Además, la seguridad de los datos críticos alojados tanto en las instalaciones como en la nube requiere una plataforma integrada capaz de dar servicio a la infraestructura distribuida de la organización. La latencia fue un factor clave a la hora de elegir una solución. Por ejemplo, si un empresario de Santa Catarina viajara a Alemania, la plataforma de Ailos en Europa tendría que ofrecer un rendimiento comparable al que experimentaría en Brasil.

Por último, los responsables de Ailos centraron sus futuras inversiones tecnológicas en el SaaS y el software para reducir los gastos de capital. Su objetivo era tratar todos los recursos, incluida la seguridad digital, como software para mejorar la flexibilidad y la eficiencia de la gestión. Mediante la adopción de una plataforma de seguridad y rendimiento basada en software, capaz de proporcionar información sobre todo el espectro de aplicaciones heredadas y API modernas, Ailos pretendía simplificar la gestión de su entorno en expansión y eliminar gradualmente las laboriosas tareas de gestión manual en diversas plataformas. A principios de 2023, Ailos inició una solicitud de propuestas (RFP) para encontrar la solución adecuada con la que alcanzar estos ambiciosos objetivos.

Solución

Durante años, la Cooperativa Ailos confió en F5 BIG-IP Local Traffic Manager (LTM) y F5 BIG-IP Application Security Manager (ASM) para garantizar el rendimiento y la seguridad de su aplicación principal. Sin embargo, el auge de las aplicaciones modernas y la proliferación de las API hicieron necesario adoptar un modelo de seguridad centrado en la nube. Tras realizar varias evaluaciones de prueba de concepto (POC) con distintos proveedores, los responsables de Ailos optaron por implementar F5 Distributed Cloud Services para proteger 200 aplicaciones y miles de API.

Entre los servicios implementados por Ailos se incluyen F5 Distributed Cloud Network Connect, Distributed Cloud DNS Load Balancer y Distributed Cloud App Stack. Esta infraestructura se implementa mediante un modelo SaaS híbrido. Para las aplicaciones de acceso público, Distributed Cloud Network Connect proporciona servicios basados en SaaS entre las nubes públicas de AWS, Azure y MuleSoft, a través de la red global de F5, hasta los sitios Regional Edge gestionados por F5, lo que garantiza la continuidad de los procesos que dependen de las nubes públicas de Ailos.

Mientras tanto, en los centros de datos locales, Ailos optó por implementar un paquete de software F5 Customer Edge (CE) para dar soporte a la aplicación local de la empresa, eliminando cualquier dependencia de los sitios Regional Edge para la prestación del servicio y garantizando, al mismo tiempo, que la aplicación no se anuncie públicamente en Internet. El CE funciona de forma automatizada como un mini-PoP dentro de los centros de datos de Ailos. El ciclo de vida de estas instancias se gestiona desde la consola SaaS central. En conjunto, estos modelos de implementación ofrecen un enfoque híbrido para proteger y mejorar el rendimiento de todo el catálogo de aplicaciones y API de Ailos.

La infraestructura global en la nube de F5 garantiza el rendimiento y la seguridad para los clientes de Ailos de todo el mundo. Tanto si acceden al núcleo bancario de Ailos desde Santa Catarina como desde Berlín, los clientes interactúan a través del sitio web o la aplicación de la empresa. El acceso se filtra y verifica rigurosamente mediante varias instancias de Distributed Cloud Services, que utilizan inteligencia artificial y aprendizaje automático (ML) para realizar análisis precisos del comportamiento, lo que garantiza un rendimiento óptimo a la vez que protege la experiencia digital. A continuación, el tráfico se dirige a una nube privada o pública de Ailos, donde se procesan las aplicaciones y las API para satisfacer las necesidades de los clientes. La solución Web Application and API Protection (WAAP) de F5 Distributed Cloud desempeña un papel crucial a la hora de identificar y frustrar posibles ataques contra las aplicaciones y las API de Ailos.

La importancia estratégica de las API dentro del ecosistema digital de Ailos también llevó a la implementación de Distributed Cloud API Security con funciones de descubrimiento de API. Esta plataforma nativa de la nube funciona las 24 horas del día, los 7 días de la semana, y ofrece información exhaustiva sobre las API publicadas y consumidas en todo el mundo. Una de sus principales funciones es la capacidad de identificar API en la sombra —API no conformes y, a menudo, no documentadas o sin soporte que están en uso—, al tiempo que distingue las API legítimas esenciales para el negocio. Los controles automatizados impiden que los desarrolladores de Ailos accedan a API de terceros que podrían poner en riesgo la seguridad.

Como parte de la migración a Distributed Cloud Services, Ailos renovó sus políticas de seguridad para establecer una gestión sostenible de sus redes, aplicaciones y API distribuidas. Esta transición permitirá a Ailos retirar progresivamente su aplicación monolítica y depender exclusivamente de sistemas basados en la nube.

Resultados

Reduzca en un 75 % el tiempo dedicado a gestionar entornos diversos y distribuidos

La introducción de los servicios de F5 Distributed Cloud marcó el comienzo de una nueva era para Ailos, al simplificar la gestión de entornos heterogéneos y distribuidos mediante una única plataforma. La solución proporciona información sobre las aplicaciones y las API en toda la infraestructura de red, desde los entornos locales que alojan el núcleo bancario original hasta las nubes públicas de AWS, Azure y MuleSoft.

«Empezamos analizando los riesgos actuales y futuros de nuestro entorno y, a partir de ahí, buscamos una solución que respaldara la expansión de nuestro negocio», afirma Sidnei Fernando da Silveira, CISO de Ailos. «Llegamos a la conclusión de que era esencial contar con una solución integrada y de baja complejidad administrativa. F5 Distributed Cloud Services se perfiló como la solución fiable, mejorando la productividad de nuestro equipo y proporcionando una visibilidad completa de los distintos entornos, todo ello gestionado desde una única plataforma».

El análisis de Daniel Devegili, analista de seguridad de la información en Ailos, indica una reducción del 75 % en el tiempo dedicado a gestionar los múltiples entornos de la empresa. Según explica: «Antes de adoptar los servicios de F5 Distributed Cloud, teníamos que utilizar cuatro plataformas diferentes y, posteriormente, realizar acciones manuales para correlacionar los datos generados por cada panel y obtener una visión integral del entorno».

Consiga una visibilidad del 100 % de las API

Una de las principales preocupaciones era reforzar la seguridad de las API de servicios financieros de Ailos, que se enfrentan a amenazas cada vez mayores. «Se reasignó el presupuesto para incluir en la solicitud de propuestas tecnologías dinámicas y automatizadas destinadas a identificar y bloquear API maliciosas», afirmó Silveira.

«Con F5 Distributed Cloud API Security, el equipo de ciberseguridad de Ailos logró una visibilidad del 100 % de las API», afirma Devegili. Varios tipos de ataques, incluidos los ataques DDoS, se centran en las API. La solución de F5 actúa de forma predictiva para identificar esas amenazas e incluso distingue las API en la sombra de las legítimas. El bloqueo automatizado agiliza el trabajo de los desarrolladores de Ailos, que ahora pueden consumir API verificadas previamente por F5.

Además, los responsables de Ailos disponen ahora de visibilidad diaria de los entornos locales y de nube pública, así como de las aplicaciones y API asociadas. Desde un único panel, pueden realizar análisis pormenorizados y optimizar los recursos de sus aplicaciones. Este enfoque simplificado permite al equipo centrarse en la innovación y en mejorar la seguridad de los servicios financieros digitales.

Ailos también puede comparar las ventajas de migrar de la anterior solución basada en hardware de la cooperativa a F5 Distributed Cloud Services. Devegili afirma: «Ahora la empresa ha pasado de la visibilidad a la observabilidad, cruzando datos de varias plataformas en F5 Distributed Cloud Services para generar un diagnóstico preciso y detallado de lo que ocurre con las API de la empresa».

Acelerar en un 120 % la publicación de aplicaciones y API

La dependencia de la empresa de las páginas web y las aplicaciones para realizar transacciones financieras convierte el desarrollo de software en el núcleo de su negocio. Por eso, Silveira considera que establecer un proceso de desarrollo conforme a las mejores prácticas de DevSecOps es uno de los principales frentes de batalla de su empresa en materia de ciberseguridad. «Actualmente, el 60 % de nuestros esfuerzos se centra en esta área. Las cuestiones relacionadas con la protección de la infraestructura están bien cubiertas, por lo que representan el 40 % de nuestra atención».

Distributed Cloud WAAP se implementó como parte de una estrategia más amplia centrada en concienciar a los desarrolladores sobre la seguridad de las aplicaciones y las API. La automatización resultante garantiza que los desarrolladores solo tengan acceso a componentes de software que ya hayan sido revisados, verificados y autorizados para su uso en el proceso de desarrollo de la empresa por Distributed Cloud API Security.

Según Devegili, esta estrategia ha acelerado la publicación segura de aplicaciones y API de Ailos. «Logramos aumentar en un 120 % la velocidad del proceso de publicación de aplicaciones y API», afirma.

Ver todos los casos de éxito de clientes›