Según un reciente informe de investigación de Google Cloud, la mitad de las organizaciones encuestadas ha sufrido un incidente de seguridad relacionado con las API en los últimos 12 meses.1 El aumento de los ataques de apropiación de cuentas a través de las API incrementa el riesgo empresarial —lo que puede provocar una pérdida de ingresos y de la confianza de los clientes— y añade presión a los equipos de aplicaciones responsables de los lanzamientos de productos, al alterar los procesos de entrega, despliegue y mantenimiento.
Analiza los problemas más acuciantes de seguridad de las API para desenvolverte mejor en el panorama de amenazas
A medida que las organizaciones se enfrentan a la realidad de los incidentes de seguridad basada en API, muchas buscan enfoques sencillos y prácticos para anticiparse a las amenazas sin perjudicar sus flujos de trabajo operativos. Se preguntan: «¿Qué medidas estamos tomando para analizar el tráfico de las API, detectar bots y usos indebidos, y evitar accesos no autorizados que puedan dar lugar a fraudes o robos de datos?»
Recientemente, varios desarrolladores de aplicaciones y expertos en seguridad se reunieron con F5 y Google Cloud para conversar sobre cómo frustrar la amenaza de la apropiación de cuentas, que puede causar estragos a través de las numerosas API de sus aplicaciones.
Este seminario web, «Frene la amenaza del secuestro de cuentas: únase a la conversación sobre la seguridad de las API», se diseñó para ayudar a los equipos de DevOps y seguridad de la información a unir fuerzas para abordar con éxito estos retos de seguridad de las API. Entre los temas tratados se incluyeron:
- El panorama actual de amenazas dirigidas a las API
- Por qué las técnicas tradicionales de detección de bots han dejado de ser eficaces
- Formas de mitigar posibles daños a la marca y a la reputación
Si no pudiste asistir a la sesión en directo, no te preocupes: puedes consultar algunos de los aspectos más destacados en esta entrada del blog y también acceder a la grabación bajo demanda.
Prepárate, protégete y responde
A medida que avanzaba la conversación, nuestros expertos explicaron cómo las API pueden generar riesgos de seguridad y qué pueden hacer las organizaciones para evitar la toma de control de cuentas a través de API. Destacaron que la superficie de ataque digital ha crecido exponencialmente debido a la enorme cantidad de API que se utilizan actualmente y que muchas organizaciones sencillamente carecen de la visibilidad necesaria para protegerse eficazmente. Para obtener una visibilidad adecuada, nuestros expertos animaron a las organizaciones a responder a las siguientes preguntas:
- ¿Qué API existen en nuestro entorno?
- ¿A qué recursos se puede acceder mediante esas API?
- ¿Quién utiliza las API?
- ¿Qué vulnerabilidades empresariales específicas exponen esas API?
Para combatir eficazmente las ciberamenazas facilitadas por las API, las organizaciones deben determinar cuál es la mejor manera de coordinar a sus equipos de DevOps, seguridad de la información y negocio para implementar medidas de protección antes de que los ciberdelincuentes logren hacerse con el control de las cuentas de usuario. Un programa de ciberseguridad eficaz requiere una estrategia integral que incluya las herramientas y la inteligencia adecuadas, un plan interfuncional sólido, una colaboración eficaz entre los equipos, la capacidad de evaluar y medir los avances y el nivel de seguridad, y la confianza necesaria para informar con honestidad a la dirección y al conjunto de la organización sobre el funcionamiento de la estrategia.
Para mejorar las defensas, nuestros expertos recomiendan añadir medidas de protección durante el desarrollo y la entrega de las aplicaciones e incorporar una supervisión en tiempo real tras la entrega, lo que permite a los equipos responder con rapidez antes de que ocurra algo grave. Este enfoque integral y multicapa permite capturar de forma escalable una combinación de tráfico de red multinube y datos de aplicaciones distribuidas y API, al tiempo que distingue automáticamente los comportamientos y las actividades legítimos de los maliciosos.
En última instancia, la seguridad de las API se reduce a obtener la máxima visibilidad posible y disponer de inteligencia en tiempo real sobre el entorno de ejecución para gestionar adecuadamente cada situación.
Escale y proteja el crecimiento impulsado por las API
Los debates mantenidos durante el seminario web pusieron de manifiesto que muchos expertos en DevOps y seguridad de la información ya comprenden la importancia de la seguridad de las API y reconocen el valor de equilibrar una experiencia de cliente sin fricciones con una protección avanzada frente a la toma de control de cuentas automatizada y facilitada por bots. Sin embargo, aunque existe esta concienciación, muchos siguen teniendo dificultades para encontrar formas eficaces y escalables de abordar estos retos.
Para abordar estas dificultades, los ponentes presentaron varios casos de uso y casos prácticos que ponen de relieve las mejores prácticas para comunicarse con las principales partes interesadas responsables de proteger el crecimiento impulsado por las aplicaciones que esperan sus organizaciones. Estas tácticas incluyen formular preguntas estratégicas y específicas como las siguientes:
Desarrollo de aplicaciones: ¿Cómo protege actualmente las API frente a ataques de apropiación de cuentas? ¿Cómo se asegura de que las API no expongan datos de clientes ni generen riesgos de incumplimiento normativo?
Operaciones de seguridad: ¿Tiene una visibilidad completa de las cuentas que pueden ser vulnerables? ¿Puede supervisar el tráfico de las API para detectar indicios de uso indebido o vulneración?
Operaciones de red: ¿Cómo protege el tráfico de las API en toda su infraestructura de red? ¿Le preocupa que bots o scripts maliciosos hagan un uso indebido de las API?
Gestión empresarial: La seguridad de las cuentas es fundamental para mantener la confianza de los clientes y evitar la pérdida de ingresos por transacciones fraudulentas. ¿Qué métricas utiliza para hacer un seguimiento de las brechas de seguridad?
Google y F5 hacen realidad la protección de las API en tiempo de ejecución y en tiempo real
La mayoría de las amenazas basadas en API están ahora automatizadas, se adaptan rápidamente a los cambios dinámicos del entorno y evolucionan para eludir las protecciones y evitar la detección de formas cada vez más sofisticadas. Una seguridad de las API eficaz depende de la capacidad de una organización para integrar protecciones avanzadas y automatizadas en su canalización de integración continua y entrega continua (CI/CD), sus operaciones, su infraestructura y sus flujos de trabajo, sin generar fricciones en el proceso de entrega ni en la experiencia del usuario.
Google Cloud y F5 cuentan con las soluciones y la experiencia necesarias para ayudar a las organizaciones a combatir el fraude por apropiación de cuentas de forma unificada en todos los entornos: centros de datos, nubes y arquitecturas. Las protecciones de las API en tiempo de ejecución y en tiempo real facilitan la colaboración entre los equipos de DevOps y de seguridad de la información para:
- Detectar automáticamente los endpoints asociados a las aplicaciones
- Defina y aplique listas de permitidos o listas de bloqueados para las conexiones no deseadas
- Analizar la telemetría de la red, los dispositivos y el entorno
- Detectar comportamientos anómalos en tiempo real
Le invitamos a conocer los retos de seguridad de las API a los que se han enfrentado otras organizaciones y las soluciones que han aplicado accediendo a la grabación completa bajo demanda del seminario web Frene la amenaza del secuestro de cuentas: únase a la conversación sobre seguridad de las API. Estamos convencidos de que encontrará respuestas a muchas de sus preguntas sobre sus propias medidas de protección frente al secuestro de cuentas mientras trata de definir e implementar un programa de seguridad de las API más eficaz.
Si tiene alguna otra pregunta, estaremos encantados de seguir conversando. Póngase en contacto con uno de los expertos en protección de API de nuestro equipo de F5 Distributed Cloud, y no deje de probar aquí el simulador de protección de aplicaciones web y API (WAAP) de F5 Distributed Cloud: https://simulator.f5.com/s/waap
Referencia:
1 Google Cloud, Informe de investigación sobre seguridad de API de 2022: últimas conclusiones y tendencias clave, 2022
Sobre el autor
Artículos relacionados del blog
Cree servicios públicos seguros, resilientes y preparados para la IA con F5 y AWS
Descubre cómo las organizaciones del sector público pueden modernizar de forma segura sus aplicaciones y soluciones de IA, al tiempo que gestionan los sistemas heredados, el cumplimiento normativo y el riesgo operativo.
Protección de los sistemas de IA: por qué la seguridad debe avanzar al ritmo de la innovación
Desde acelerar avances revolucionarios en medicina y educación hasta transformar la vida cotidiana, la IA está cambiando nuestra forma de vivir y trabajar. Pero también ofrece grandes oportunidades a los ciberdelincuentes.
Avanzar hacia la optimización digital tras la transformación
Descubre estrategias de optimización digital para garantizar políticas de seguridad coherentes, impulsar la madurez de la transformación digital y superar los retos de la transformación.
Proyecto de código abierto destacado: mayor observabilidad con F5 Cloud Logger iApp
En el punto de mira del código abierto: cómo aumentar la observabilidad. Lee el blog de F5 para descubrir cómo exportar fácilmente la telemetría de BIG-IP a plataformas modernas de análisis en la nube.
El estado de la entrega de aplicaciones en 2018: la transformación digital impulsa la automatización y la multinube pese a las preocupaciones de seguridad
Descubre las principales conclusiones del cuarto informe anual de F5 sobre el estado de la entrega de aplicaciones.
Estado de la entrega de aplicaciones en 2017: automatización, API y DevOps
Descubre el informe sobre el estado de la entrega de aplicaciones de 2017. Lee el blog retrospectivo de F5 sobre los inicios del auge de las redes declarativas y los flujos de DevOps.