La transformación de aplicaciones monolíticas en ecosistemas de microservicios ha convertido las API en un punto de control estratégico y crítico. Si bien los firewalls de aplicaciones web (WAF) han sido una herramienta fundamental para proteger las aplicaciones basadas en HTTP, las API no han contado con controles equivalentes que garanticen un cumplimiento normativo, una seguridad y una auditoría adecuados. A medida que el tráfico de las API y el tráfico no humano superan al de las aplicaciones web, los controles de seguridad también deben evolucionar. Los responsables de seguridad deben aprovechar las tendencias emergentes como una oportunidad para aprender más sobre la protección de las API y como un medio para impulsar mejoras en la seguridad de las API dentro de su propia organización.
La explosión de las API está por todas partes – La proliferación de las API continuará. Además, puede que no sea solo el equipo de DevOps el que publique API. Otras áreas de la organización, como el equipo de marketing, pueden publicar sus propias API o incluso utilizar API de terceros como parte de sus iniciativas de marketing. Para el equipo de seguridad, disponer de un inventario preciso de las API en uso es un primer paso fundamental.
La colaboración es clave – Los equipos de seguridad deben colaborar con DevOps para diseñar e implementar controles adecuados de seguridad de las API. DevOps quiere avanzar con rapidez. Los equipos de seguridad deben comprender los procesos de DevOps y establecer controles de seguridad que puedan gestionarse de forma centralizada y automatizarse dentro de los procesos de CI/CD.
La seguridad de las puertas de enlace de API se está quedando atrás – Las puertas de enlace de API actuales suelen centrarse en la autenticación, el control de versiones y el análisis (para la medición y la facturación). Aunque estos controles de seguridad son importantes, no ofrecen una protección completa para las API. Una seguridad adecuada de las API debe proteger frente a ataques contra los servicios de autenticación, ataques DoS de capa 7, exfiltración de datos, exploits, inyecciones y anomalías.
En el punto de mira, las API siguen siendo vulnerables
Las API constituyen el núcleo de las plataformas empresariales digitales actuales como puntos de control fundamentales. Por lo general, están diseñadas para estar expuestas al exterior y permitir el acceso a socios comerciales, clientes y microservicios. Al igual que las aplicaciones web, las API pueden ser una puerta de entrada a datos sensibles que deben protegerse adecuadamente. Los recientes incidentes relacionados con las API en organizaciones como Venmo, Facebook y Salesforce sirven para ilustrar la importancia de la seguridad de las API. F5 Labs destaca otros incidentes relevantes relacionados con las API aquí.
Como ocurre con muchos avances tecnológicos, la seguridad suele ir a la zaga. La seguridad de las API no es una excepción a esta regla. Mientras la economía impulsada por las API sigue avanzando, los profesionales de la seguridad pueden verse desbordados por el volumen, el ritmo y la complejidad que supone abordar la seguridad de las API.
La proliferación masiva de las API continuará. A medida que las aplicaciones se conviertan en el eje central de las empresas, la proliferación de las API seguirá aumentando. El directorio de API de Programable Web experimentó un rápido aumento de las API publicadas en 2019 (cientos de API nuevas cada mes). Esperamos que esta cifra siga creciendo, especialmente a medida que los sectores industriales impulsen la interoperabilidad basada en API. La PSD2 de la UE (Directiva revisada sobre servicios de pago) es un buen ejemplo.
La seguridad debe seguir el ritmo del pipeline de CI/CD. Las puertas de enlace de API compatibles con el «versionado» permiten a los proveedores de API añadir continuamente nuevas funciones y características sin afectar a las integraciones existentes de los clientes. Esto resulta muy útil para la CI/CD; sin embargo, si la seguridad ralentiza el proceso, puede repercutir directamente en el negocio y anular las ventajas del desarrollo ágil. Para seguir el ritmo de estos entornos, los controles de seguridad deben automatizarse e integrarse en el proceso de publicación, de modo que el equipo de seguridad pueda aplicar controles comunes de forma centralizada sin afectar a los ciclos de publicación.
La disparidad en la responsabilidad sobre la seguridad de las API es un factor importante. Las API se utilizan en toda la organización: en aplicaciones móviles, microservicios, la nube y entornos locales. Las capacidades de visibilidad e inventario de API en toda la organización aún están en desarrollo, por lo que algunas API quedan fuera del ámbito de supervisión del equipo de seguridad. Es necesario formar a los responsables y las partes interesadas de las distintas áreas de la organización para que apliquen prácticas y controles de seguridad coherentes.
La seguridad de las puertas de enlace de API aún es inmadura. Actualmente, muchos proveedores ofrecen puertas de enlace de API, entre ellos MuleSoft, Google (Apigee), Kong, Istio y Oracle. Estas soluciones proporcionan las funcionalidades necesarias de una puerta de enlace de API, como el control de versiones, el enrutamiento, el análisis y la medición, y la autenticación. Cada una tiene sus propios puntos fuertes y aporta un valor añadido; sin embargo, es necesario implementar controles de seguridad completos que protejan frente a infracciones de acceso, inyecciones, ataques de denegación de servicio (DoS) y vulnerabilidades, junto con otros servicios de seguridad de la puerta de enlace.
_____
Una vez expuesto el contexto, no te pierdas la entrada del blog de la próxima semana (enlace añadido aquí) en la que analizaremos qué puedes hacer para afrontar los retos descritos anteriormente…
Sobre el autor
Artículos relacionados del blog
Cree servicios públicos seguros, resilientes y preparados para la IA con F5 y AWS
Descubre cómo las organizaciones del sector público pueden modernizar de forma segura sus aplicaciones y soluciones de IA, al tiempo que gestionan los sistemas heredados, el cumplimiento normativo y el riesgo operativo.
Protección de los sistemas de IA: por qué la seguridad debe avanzar al ritmo de la innovación
Desde acelerar avances revolucionarios en medicina y educación hasta transformar la vida cotidiana, la IA está cambiando nuestra forma de vivir y trabajar. Pero también ofrece grandes oportunidades a los ciberdelincuentes.
Avanzar hacia la optimización digital tras la transformación
Descubre estrategias de optimización digital para garantizar políticas de seguridad coherentes, impulsar la madurez de la transformación digital y superar los retos de la transformación.
Proyecto de código abierto destacado: mayor observabilidad con F5 Cloud Logger iApp
En el punto de mira del código abierto: cómo aumentar la observabilidad. Lee el blog de F5 para descubrir cómo exportar fácilmente la telemetría de BIG-IP a plataformas modernas de análisis en la nube.
El estado de la entrega de aplicaciones en 2018: la transformación digital impulsa la automatización y la multinube pese a las preocupaciones de seguridad
Descubre las principales conclusiones del cuarto informe anual de F5 sobre el estado de la entrega de aplicaciones.
Estado de la entrega de aplicaciones en 2017: automatización, API y DevOps
Descubre el informe sobre el estado de la entrega de aplicaciones de 2017. Lee el blog retrospectivo de F5 sobre los inicios del auge de las redes declarativas y los flujos de DevOps.