Combate el fraude de robo de cuentas con seguridad de API en tiempo real

A medida que las organizaciones enfrentan la realidad de los incidentes de seguridad basados en API , muchas buscan enfoques sencillos y prácticos para anticiparse a las amenazas sin destruir sus flujos de trabajo operativos. Se preguntan: "¿Qué medidas estamos tomando para analizar el tráfico de API, detectar bots y abusos y prevenir el acceso no autorizado que podría resultar en fraude o robo de datos?"

Recientemente, varios desarrolladores de aplicaciones y expertos en seguridad se unieron a F5 y Google Cloud para una conversación centrada en frustrar la amenaza de apropiación de cuentas que puede causar estragos a través de las numerosas API de sus aplicações.

Este seminario web , Frustrar la amenaza de apropiación de cuentas: únase a la conversación sobre seguridad de API , fue diseñado para ayudar a los equipos de DevOps e InfoSec a unir fuerzas para abordar con éxito estos desafíos de seguridad de API. Temas incluidos:

• El panorama actual de amenazas dirigidas a las API
• Por qué las técnicas de detección de bots tradicionales se han vuelto ineficaces
• Formas de mitigar posibles daños a la marca y a la reputación

Si no pudiste asistir a la sesión en vivo, no te preocupes; puedes ver algunos de los momentos destacados en esta publicación del blog y también acceder a la grabación a pedido .

A medida que se desarrollaba la conversación, nuestro panel compartió cómo las API pueden crear riesgos de seguridad y qué pueden hacer las organizaciones para evitar la apropiación de cuentas basadas en API. Destacaron que la superficie de ataque digital se ha expandido exponencialmente debido a la gran cantidad de API que se utilizan actualmente y muchas organizaciones simplemente carecen de la visibilidad necesaria para una protección efectiva. Para obtener una visibilidad adecuada, nuestros expertos animaron a las organizaciones a responder las siguientes preguntas:

• ¿Qué APIs existen en nuestro entorno?
• ¿A qué recursos se puede acceder mediante esas API?
• ¿Quién utiliza las API?
• ¿Qué vulnerabilidades comerciales específicas exponen esas API?

Para combatir eficazmente las ciberamenazas habilitadas por API , las organizaciones deben encontrar las mejores formas para que sus equipos de DevOps, InfoSec y comerciales se unan para implementar protecciones antes de que los actores maliciosos tengan éxito en sus intentos de apoderarse de las cuentas de los usuarios. Un programa de ciberseguridad eficaz requiere una estrategia integral que incluya las herramientas y la inteligencia adecuadas, un plan multifuncional sólido, una colaboración eficaz en equipo, la capacidad de evaluar y medir el progreso y la postura, y la confianza para informar honestamente al liderazgo y a la organización en su conjunto sobre cómo está funcionando la estrategia.

Para mejorar las defensas, nuestros expertos recomiendan agregar protecciones durante el desarrollo y la entrega de aplicação e incorporar monitoreo en tiempo real luego de la entrega, lo que permite a los equipos responder rápidamente antes de que suceda algo terrible. Este enfoque integral de múltiples capas permite la captura escalable de una combinación de tráfico de red multicloud y datos distribuidos de aplicação y API, al tiempo que discierne automáticamente el comportamiento y la actividad buenos y malos.

En última instancia, la seguridad de la API se reduce a obtener la mejor visibilidad posible y tener inteligencia de ejecución en tiempo real para manejar cada escenario adecuadamente.

Los debates celebrados durante el seminario web destacaron que muchos expertos en DevOps e InfoSec ya comprenden la importancia de la seguridad de las API y reconocen el valor de equilibrar una experiencia del cliente sin fricciones con una protección avanzada contra la apropiación automatizada de cuentas mediante bots. Pero si bien existe el reconocimiento, muchos aún luchan por encontrar formas efectivas y escalables de abordar estos desafíos.

Para abordar estas dificultades, el panel presentó algunos casos de uso y estudios de casos que destacaron las mejores prácticas para comunicarse con las partes interesadas clave responsables de proteger el crecimiento impulsado por las aplicaciones que sus organizaciones esperan. Estas tácticas incluyen hacer preguntas estratégicas y específicas como:

Desarrollo de aplicação : ¿Cómo están actualmente protegiendo las API contra ataques de apropiación de cuentas? ¿Cómo se asegura de que las API no expongan datos de los clientes ni creen riesgos de cumplimiento?

Operaciones de seguridad: ¿Tiene visibilidad completa sobre qué cuentas pueden ser vulnerables? ¿Puede supervisar el tráfico de API para detectar señales de abuso o compromiso?

Operaciones de red: ¿Cómo está protegiendo el tráfico de API en su infraestructura de red? ¿Tiene inquietudes acerca de bots o scripts maliciosos que abusan de las API?

Gestión Empresarial: La seguridad de la cuenta es fundamental para mantener la confianza del cliente y evitar la pérdida de ingresos por transacciones fraudulentas. ¿Qué métricas está rastreando con respecto a las infracciones?

La mayoría de las amenazas impulsadas por API ahora están automatizadas, se adaptan rápidamente a los cambios dinámicos del entorno y evolucionan para volverse aún más inteligentes a la hora de eludir las protecciones y evitar la detección. La seguridad eficaz de la API depende de la capacidad de una organización para integrar protecciones avanzadas y automatizadas en su canal de integración continua/entrega continua (CI/CD), operaciones, infraestructura y flujos de trabajo sin introducir fricción en el proceso de entrega o la experiencia del usuario.

Google Cloud y F5 tienen las soluciones y la experiencia para ayudar a las organizaciones a combatir el fraude de apropiación de cuentas de manera unificada en todos los entornos: centros de datos, nubes y arquitecturas. Las protecciones de API en tiempo de ejecución en tiempo real facilitan que los equipos de DevOps e InfoSec se unan para:

• Descubra automáticamente los puntos finales asignados a las aplicações
• Definir y aplicar listas de permitidos o denegados para conexiones no deseadas
• Analizar la telemetría de la red, el dispositivo y el entorno.
• Detectar comportamientos anómalos en tiempo real

Lo invitamos a conocer los desafíos de seguridad de API que otros han enfrentado y las soluciones que han empleado accediendo a la grabación completa a pedido del seminario web, Frustrar la amenaza de apropiación de cuentas: únase a la conversación sobre seguridad de API . Estamos seguros de que encontrará respuestas a muchas de sus preguntas sobre sus propias medidas de protección contra account takeover mientras intenta definir e implementar un programa de seguridad de API más eficaz.

Si tiene alguna pregunta adicional, estaremos encantados de conversarle de nuevo. Comuníquese con uno de los expertos en protección de API de nuestro equipo de F5 Distributed Cloud y asegúrese de probar el simulador de protección de API y aplicaciones web (WAAP) de F5 Distributed Cloud aquí: https://simulator.f5.com/s/waap