Las API facilitan la integración de servicios, la conexión de datos y la realización de actualizaciones, por lo que están tan extendidas en las aplicaciones modernas. A medida que las organizaciones siguen modernizando sus carteras de aplicaciones, se prevé que el número de API en uso supere los mil millones en 2031.1Hacer un seguimiento de todas esas API —y más aún protegerlas— supone todo un reto, lo que lleva a las organizaciones a tener que lidiar con numerosas API «en la sombra» no gestionadas en su entorno.
Por desgracia, los atacantes se han dado cuenta de que las API suelen ser un objetivo más fácil que las aplicaciones, como demuestra el hecho de que, según un análisis de F5, el 90 % de los ciberataques basados en la web se dirigen a endpoints de API.2Las API no gestionadas suponen un riesgo especial, ya que no se puede proteger lo que no se ve. Además, muchas API las desarrollan equipos distintos o incluso empresas diferentes de los que crean las aplicaciones, lo que limita la visibilidad de los posibles riesgos.
Cómo desenvolverse con las API y el modelo de responsabilidad compartida
Gestionar y proteger eficazmente grandes volúmenes de API requiere una solución multicapa. Para los usuarios de AWS, Amazon API Gateway es un servicio totalmente gestionado que permite a los desarrolladores crear, publicar, mantener, supervisar y proteger API a cualquier escala. API Gateway admite diversas integraciones de backend, lo que permite ejecutar cargas de trabajo en contenedores, sin servidor y tradicionales basadas en instancias.
Sin embargo, la seguridad es una responsabilidad compartida entre AWS y sus clientes. Aunque AWS se encarga de proteger la infraestructura y los servicios, los clientes también deben proteger sus datos y aplicaciones.
AWS recomienda los siguientes principios de diseño de seguridad.3
- Mitigar los efectos de los ataques de denegación de servicio distribuido (DDoS)
- Implemente la inspección y la protección mediante un firewall de aplicaciones web (WAF)
- Habilite la auditoría y la trazabilidad mediante una supervisión prácticamente en tiempo real
- Automatice las prácticas recomendadas de seguridad
- Aplique medidas de seguridad en todas las capas para adoptar un enfoque de defensa en profundidad
Protege las API en AWS con F5
Como socio de AWS, F5 ofrece una solución de seguridad que funciona con Amazon API Gateway para proteger sus aplicaciones y API. F5 BIG-IP Advanced WAF o F5 Distributed Cloud WAF pueden identificar el tráfico malicioso que intenta llegar a Amazon API Gateway o a sus servicios de API. Puede implementar el WAF delante o detrás de Amazon API Gateway. Sin embargo, implementarlo delante de la puerta de enlace ofrece la ventaja adicional de impedir llamadas maliciosas a la API que le supondrían un coste.
Las soluciones WAF de F5 utilizan análisis del comportamiento para identificar amenazas con precisión y proporcionar mitigación de ataques DoS de capa 7, cifrado en la capa de aplicación y servicios de inteligencia sobre amenazas. La implementación de un WAF protege sus aplicaciones y API frente a ataques, incluidos los recogidos en el Top 10 de OWASP.
Otro requisito importante para la protección de las API es su detección. Integre F5 Distributed Cloud API Security con su canalización de CI/CD para detectar los cambios en las API sin interrumpir el proceso de desarrollo. Cargue un esquema de API existente para aplicar el comportamiento adecuado de las API y generar automáticamente políticas basadas en patrones de aplicación a aplicación y de API a API. F5 Distributed Cloud API Security también controla las conexiones y supervisa el tráfico de las API para detectar comportamientos anómalos, lo que le permite bloquear actividades sospechosas.
Los bots suponen otra amenaza importante para la seguridad de las API. Varias de las 10 principales amenazas para la seguridad de las API de OWASP son vulnerabilidades que los bots pueden explotar fácilmente, como el consumo ilimitado de recursos o los fallos de autenticación. La incorporación de F5 Distributed Cloud Bot Defense permite combinar la experiencia humana y el aprendizaje automático para detectar el tráfico de bots maliciosos, al tiempo que se permite el acceso a usuarios legítimos y bots beneficiosos.
Obtenga seguridad de API multicapa
F5 ofrece todo lo que necesita para proteger sus API con F5 Distributed Cloud Web App and API Protection (WAAP), que proporciona seguridad multicapa con una gestión unificada. Distributed Cloud WAAP ofrece una seguridad uniforme para sus aplicaciones y API, independientemente de dónde estén implementadas: en AWS, en otras nubes públicas o privadas, en las instalaciones o en el edge.
Encuentre F5 Distributed Cloud WAAP en AWS Marketplace, lo que le permitirá añadir protección fácilmente y cumplir con su parte del modelo de responsabilidad compartida.
Obtenga más información sobre las soluciones de F5 para AWS en f5.com/aws.
Fuentes
1. F5, La proliferación continua de las API, nov. de 2021
2. F5, F5 adopta un enfoque «shift left» para proteger las API, feb. de 2024
3. Amazon, Descripción general de la seguridad de Amazon API Gateway: documento técnico de AWS, 2023
Sobre el autor
Artículos relacionados del blog
Cree servicios públicos seguros, resilientes y preparados para la IA con F5 y AWS
Descubre cómo las organizaciones del sector público pueden modernizar de forma segura sus aplicaciones y soluciones de IA, al tiempo que gestionan los sistemas heredados, el cumplimiento normativo y el riesgo operativo.
Protección de los sistemas de IA: por qué la seguridad debe avanzar al ritmo de la innovación
Desde acelerar avances revolucionarios en medicina y educación hasta transformar la vida cotidiana, la IA está cambiando nuestra forma de vivir y trabajar. Pero también ofrece grandes oportunidades a los ciberdelincuentes.
Avanzar hacia la optimización digital tras la transformación
Descubre estrategias de optimización digital para garantizar políticas de seguridad coherentes, impulsar la madurez de la transformación digital y superar los retos de la transformación.
Proyecto de código abierto destacado: mayor observabilidad con F5 Cloud Logger iApp
En el punto de mira del código abierto: cómo aumentar la observabilidad. Lee el blog de F5 para descubrir cómo exportar fácilmente la telemetría de BIG-IP a plataformas modernas de análisis en la nube.
El estado de la entrega de aplicaciones en 2018: la transformación digital impulsa la automatización y la multinube pese a las preocupaciones de seguridad
Descubre las principales conclusiones del cuarto informe anual de F5 sobre el estado de la entrega de aplicaciones.
Estado de la entrega de aplicaciones en 2017: automatización, API y DevOps
Descubre el informe sobre el estado de la entrega de aplicaciones de 2017. Lee el blog retrospectivo de F5 sobre los inicios del auge de las redes declarativas y los flujos de DevOps.