La transformación digital ya no es una expresión de moda, sino una realidad para la mayoría de las organizaciones. Según el Informe sobre el estado de la estrategia de aplicaciones de 2023, nueve de cada diez organizaciones participan activamente en un programa de transformación digital.1 Aunque inicialmente se centraba en las funciones orientadas al cliente, la modernización está llegando progresivamente a las operaciones internas, lo que está dando lugar al desarrollo y la implantación de numerosas aplicaciones nuevas, tanto empresariales como orientadas al cliente. El mismo informe ya indicaba que un porcentaje significativo de organizaciones (el 41 %) gestiona entre 200 y 1.000 aplicaciones.2
Reconozca la realidad de la entrega de aplicaciones nativas de la nube
Este aumento de la complejidad plantea desafíos, especialmente en lo que respecta a la asignación de recursos, las competencias y la disponibilidad. La persistente brecha de competencias sigue ampliándose, y un asombroso 98 % de las organizaciones de TI reconoce que carece de la información necesaria para alcanzar los objetivos empresariales actuales:3
Estos conocimientos se centrarían en:
- Causa raíz de la degradación del rendimiento de las aplicaciones (39 %)
- Posible ataque (38 %)
- Causa raíz de los problemas e incidentes de la aplicación (37 %)
- Comparaciones del rendimiento histórico (35 %)
- Información relevante para el negocio (32 %)
La realidad es que las aplicaciones nativas de la nube son tan seguras como los componentes sobre los que se crean y la infraestructura en la que se ejecutan.
Comprenda la creciente amenaza para la seguridad de las aplicaciones
El Informe de investigaciones sobre filtraciones de datos de Verizon de 2022 (DBIR) destaca el aumento de los riesgos de seguridad asociados al creciente volumen y complejidad de las aplicaciones. Los principales activos afectados por las brechas de seguridad son los servidores, concretamente los servidores de aplicaciones web, que representan el 56 % de todos los activos comprometidos.4
Al estar expuestos a Internet, estos servidores de aplicaciones web constituyen un atractivo punto de entrada para que los atacantes eludan las defensas de una organización. Solo en 2022, el DBIR de Verizon registró 4751 incidentes, de los cuales 1273 dieron lugar a divulgaciones de datos confirmadas que afectaron a datos personales (69 %), credenciales (67 %), otros tipos de datos (29 %) e historiales médicos (15 %).5
Cabe esperar que la superficie de ataque siga ampliándose
La superficie de ataque de una aplicación comprende todos los puntos únicos —los «vectores de ataque»— del sistema, de un elemento del sistema o situado en él, o de cualquier lugar a lo largo de los límites de su entorno. Estos puntos ofrecen vías para que usuarios no autorizados intenten aprovechar vulnerabilidades del sistema con el fin de insertar datos, modificar o manipular los datos o el sistema, o extraer datos del sistema. La superficie de ataque de una aplicación puede quedar expuesta de diversas formas; estas son solo algunas:
Uso indebido de la infraestructura: La infraestructura en la nube puede estar mal configurada y ser vulnerable a la exfiltración de datos, los inicios de sesión no autorizados en contenedores y el robo de credenciales.
Explotación de vulnerabilidades de software: Si la aplicación presenta alguna vulnerabilidad, como software sin parchear, errores o configuraciones incorrectas, podría quedar expuesta a posibles atacantes.
Compromiso de componentes de terceros: El uso de bibliotecas o servicios de terceros sin una evaluación de seguridad adecuada puede introducir vulnerabilidades en la aplicación.
Manipulación de interfaces de programación de aplicaciones (API): Dado que las aplicaciones suelen comunicarse mediante API, cualquier deficiencia de seguridad en estas API (como la ausencia de limitación de solicitudes, de una autenticación adecuada o de cifrado) puede exponer una aplicación a ataques.
A medida que las organizaciones siguen modernizando su cartera de aplicaciones e innovando en la nueva economía digital, se prevé que el número de API alcance los mil millones en 2031.6 Al igual que el crecimiento general de las aplicaciones, esta expansión en el ámbito de las API agrava aún más los retos que plantea una gestión eficaz de la seguridad de las aplicaciones.
Tome la delantera en la seguridad de aplicaciones y API
Al implementar aplicaciones a través de Amazon Web Services (AWS), diversas herramientas de seguridad especializadas y nativas pueden ayudar a repeler ataques, proteger sus datos y garantizar la seguridad de los datos y las transacciones de sus clientes. Con este fin, casi el 90 % de las organizaciones adoptan un enfoque basado en plataformas para agilizar la seguridad.7
Sin embargo, para que sea eficaz, la plataforma también debe admitir varias capas de protección integradas que cubran adecuadamente toda la superficie de ataque mencionada anteriormente. El amplio conjunto de funcionalidades de F5 y AWS protege frente a estos ataques dirigidos contra las vulnerabilidades inherentes a las aplicaciones nativas de la nube y sus API:
AWS Web Application Firewall (WAF) en Amazon CloudFront: Proporciona una capa nativa de protección de aplicaciones que se puede añadir fácilmente a su CDN.
F5 Advanced Web Application Firewall (WAF): Protege tus aplicaciones frente a los ataques más frecuentes sin necesidad de actualizarlas.
NGINX App Protect WAF: Combina la eficacia demostrada de la tecnología WAF avanzada de F5 con la agilidad y el rendimiento de NGINX para evitar interrupciones y brechas de seguridad protegiendo sus aplicaciones y API.
F5 Distributed Cloud WAAP y F5 Distributed Cloud Bot Defense: F5 Distributed Cloud Services ofrece una solución SaaS nativa de la nube que proporciona seguridad uniforme para aplicaciones, API y bots, así como rendimiento a escala en distintas plataformas en la nube.
Inteligencia sobre amenazas de seguridad de F5: Un equipo de investigadores de primer nivel mundial explora foros y recursos de terceros, investiga ataques, aplica ingeniería inversa al malware y analiza vulnerabilidades para determinar métodos eficaces de detección y mitigación.
Para obtener más información sobre cómo proteger las aplicaciones basadas en la nube frente a amenazas avanzadas mediante las capas de seguridad integradas de forma nativa de F5 y AWS, visite f5.com/aws.
Fuentes:
1,7 Informe sobre el estado de la estrategia de aplicaciones de 2023, F5, marzo de 2023
2,3 Informe sobre el estado de la estrategia de aplicaciones de 2022, F5, abril de 2022
4,5 Informe de investigaciones sobre filtraciones de datos de 2022, Verizon, junio de 2022
6 Informe de la Oficina del CTO: proliferación continua de las API, F5, noviembre de 2021
Sobre el autor
Artículos relacionados del blog
Cree servicios públicos seguros, resilientes y preparados para la IA con F5 y AWS
Descubre cómo las organizaciones del sector público pueden modernizar de forma segura sus aplicaciones y soluciones de IA, al tiempo que gestionan los sistemas heredados, el cumplimiento normativo y el riesgo operativo.
Protección de los sistemas de IA: por qué la seguridad debe avanzar al ritmo de la innovación
Desde acelerar avances revolucionarios en medicina y educación hasta transformar la vida cotidiana, la IA está cambiando nuestra forma de vivir y trabajar. Pero también ofrece grandes oportunidades a los ciberdelincuentes.
Avanzar hacia la optimización digital tras la transformación
Descubre estrategias de optimización digital para garantizar políticas de seguridad coherentes, impulsar la madurez de la transformación digital y superar los retos de la transformación.
Proyecto de código abierto destacado: mayor observabilidad con F5 Cloud Logger iApp
En el punto de mira del código abierto: cómo aumentar la observabilidad. Lee el blog de F5 para descubrir cómo exportar fácilmente la telemetría de BIG-IP a plataformas modernas de análisis en la nube.
El estado de la entrega de aplicaciones en 2018: la transformación digital impulsa la automatización y la multinube pese a las preocupaciones de seguridad
Descubre las principales conclusiones del cuarto informe anual de F5 sobre el estado de la entrega de aplicaciones.
Estado de la entrega de aplicaciones en 2017: automatización, API y DevOps
Descubre el informe sobre el estado de la entrega de aplicaciones de 2017. Lee el blog retrospectivo de F5 sobre los inicios del auge de las redes declarativas y los flujos de DevOps.