15 preguntas que debes hacerte sobre la postura de seguridad de tus API

Chuck Herrin

Tengo un secreto que voy a compartir hoy contigo. De los seis puestos de director de seguridad de la información (CISO) que he ocupado durante los últimos 20 años, solo en uno me contrataron a raíz de una brecha de seguridad. Solo uno.

Los otros cinco casos se debieron bien a una baja voluntaria, bien a la sustitución de la persona que ocupaba el puesto por la pérdida de confianza de las principales partes interesadas. La mitad de ellos fueron sustituidos por una pérdida de confianza, no por una brecha de seguridad.

Por qué los CISO deben comprender su entorno de API

En el ámbito de la seguridad de las API, podemos resumir en unas cuantas afirmaciones claras por qué los CISO deben conocer su exposición a través de las API.

En primer lugar, para crear un modelo de amenazas para un entorno determinado, es necesario conocer cuatro elementos: los activos, los actores, las interfaces y las acciones. En otras palabras: «¿Quién hace qué, a qué y a través de qué?»

En segundo lugar, la «I» de API significa «interfaz». Las interfaces de programación de aplicaciones se utilizan ampliamente en múltiples plataformas, lenguajes y frameworks, y casi todo el desarrollo de software moderno adopta un enfoque API-first. Puede darse por seguro que hay APIs en su entorno.

En tercer lugar, si como CISO no dispone de un inventario de las interfaces que exponen y proporcionan acceso a sus datos confidenciales, ya sea internamente o a sus aplicaciones web y móviles, su modelo de amenazas está incompleto y presenta los consiguientes puntos ciegos en los que los servicios y los datos quedan expuestos.

Por último, los modelos de amenazas incompletos carecen de una supervisión integral de la seguridad y de la demostración de la diligencia debida, dos aspectos fundamentales cuya aplicación deben garantizar los auditores y los organismos reguladores. Es su responsabilidad asegurarse de que los activos, los actores, las interfaces y las acciones de un entorno determinado se comprendan y gestionen adecuadamente.

Evaluación de la exposición de seguridad de tus API

En F5, siempre queremos que nuestros clientes sean las personas mejor informadas de la sala, por lo que hemos creado una breve lista de preguntas que puede utilizar para evaluar el estado actual de su ecosistema de API. Si responde ahora a estas preguntas, estará preparado en caso de que se las planteen más adelante durante una inspección sobre el terreno o una auditoría externa.

He compartido personalmente estas preguntas con reguladores y examinadores de diversos organismos. Ahora que la Comisión Federal de Comunicaciones de Estados Unidos ha empezado a imponer multas y a emitir decretos de consentimiento específicamente por problemas relacionados con las API, y que la versión actual del Estándar de Seguridad de Datos para la Industria de Tarjetas de Pago (PCI DSS) 4.0+ exige específicamente el cumplimiento normativo de las API durante el desarrollo, nunca ha habido un momento mejor para que los responsables de la defensa tengan estas respuestas a mano.

Aunque no pueda responderlas todas, saber cuál es su situación y demostrar una actitud proactiva es de vital importancia para los CISO. Al demostrar que está al tanto de su postura de seguridad de las API y que trabaja para comprenderla y mejorarla, conservará la confianza que tanto esfuerzo le ha costado ganarse.

Esta es la lista, ordenada de menor a mayor dificultad. Si le cuesta avanzar en ella tanto como le gustaría, llame a su equipo de cuenta de F5. Estamos aquí para ayudarle.

1. ¿Quién es responsable de la seguridad de las API en nuestra empresa?
2. ¿Nuestras API tienen propietarios asignados?
3. ¿Qué parte de nuestros ingresos procede de las API?
4. ¿Cuántas API tenemos?
5. ¿Cuántas de estas se utilizan activamente y cuántas están inactivas?
6. ¿Cuántas son vulnerables a los 10 problemas más comunes de las API?
7. ¿Nuestras pruebas de penetración cubren adecuadamente las vulnerabilidades de las API y los ataques a la lógica de negocio en producción?
8. ¿Cuáles de nuestras API transmiten o reciben datos sujetos al cumplimiento de requisitos legales o normativos?
9. ¿Estamos detectando tráfico malicioso? ¿En qué endpoints de API?
10. ¿Cuál es nuestro riesgo general de seguridad de las API? ¿Ha mejorado o empeorado con respecto a estas mismas fechas del año pasado?
11. ¿Hay equipos de desarrollo que generen más problemas relacionados con las API que otros? ¿Cómo se les forma y se les proporciona información sobre los problemas de seguridad de las API?
12. ¿Existe un proceso de revisión del código y de los cambios en las API antes de que pasen a producción?
13. ¿Quién recibe alertas sobre los incidentes de seguridad detectados en nuestras API?
14. ¿Cuál es el tiempo medio de respuesta, en minutos, cuando se detecta un ataque de autorización de nivel de objeto rota (BOLA) contra una de nuestras API de producción?
15. Y, por último, volviendo a lo más básico, al principio de la lista: ¿las personas que creemos que son responsables de la seguridad de las API saben y aceptan que lo son?

Refuerza tu postura de seguridad

Evaluar su entorno de API y la amenaza potencial que plantean las API es el primer paso para detectar puntos ciegos y reforzar su postura de seguridad.

Acompañe a F5 esta semana en API World en Santa Clara, California, para descubrir todo lo relacionado con las API. El jueves a las 13:00 PST participaré junto con dos de mis compañeros en una sesión abierta titulada «Un mundo de IA es un mundo de API: cómo proteger las aplicaciones más modernas», que también se celebrará virtualmente el jueves 14 de noviembre a las 13:00.

F5 también organizará la sesión virtual «API CTF: aprende los fundamentos de la seguridad de las API» el martes 12 de noviembre a las 9:00.

¿No vas a asistir a API World? Echa un vistazo a nuestra demostración de seguridad de API.

Sobre el autor

Chuck Herrin

Más artículos de Chuck Herrin