El panorama digital evoluciona constantemente y, con él, las amenazas para el sector público y las infraestructuras críticas nacionales. Ataques recientes y ampliamente documentados, como la brecha de seguridad del Departamento del Tesoro de EE. UU. ocurrida a finales del año pasado y el ciberataque al operador de red T-Mobile revelado en 2023, ponen claramente de manifiesto las vulnerabilidades existentes.
Y, cada vez más, estas vulnerabilidades se encuentran en las interfaces de programación de aplicaciones, o API. De hecho, Gartner predijo recientemente que las API se están convirtiendo en el principal vector de ataque para las aplicaciones web, y mi experiencia confirma esta tendencia.
En el AppWorld Public Sector Symposium de esta semana, que comienza mañana en Tysons Corner, Virginia, hablaremos sobre la protección de las API, además de otras tendencias emergentes en la entrega y la seguridad de aplicaciones. Este evento supone una oportunidad crucial para analizar estos retos y explorar soluciones eficaces.
Al descubierto la amenaza de las API en la sombra
Uno de los mayores retos que observo una y otra vez es la falta de visibilidad sobre las vulnerabilidades de la red. Muchas organizaciones sencillamente no saben cuántas API tienen en uso. Hemos llevado a cabo procesos de detección de API para clientes que creían tener unas 100, ¡pero acabamos descubriendo cerca de 30.000! Esto no es algo inusual y supone un riesgo de seguridad considerable.
Las API operan en ecosistemas complejos, ocultas entre un entramado de arquitecturas, componentes, tipos y protocolos. De media, las organizaciones utilizan más de 20.000 API. Para 2030, se espera que el número total de API utilizadas en los sectores público y privado supere los 2.000 millones. Los principales retos para gestionarlas y protegerlas suelen deberse a la falta de documentación o a la dificultad para detectarlas.
“La complejidad de gestionar API en múltiples nubes puede desbordar fácilmente a los equipos de seguridad que no pueden obtener una visión completa de todas las API y de su estado de seguridad.”
Este fenómeno de la «TI en la sombra», en el que proliferan API desconocidas o sin gestionar, crea un caldo de cultivo para las vulnerabilidades. Estas API suelen carecer de controles de seguridad adecuados, lo que las convierte en objetivos fáciles para los actores maliciosos. Es como dejar las puertas y ventanas de casa sin cerrar: una invitación abierta para quienes quieran entrar.
Comprender la explotación de las API y los vectores de ataque
Las API son cada vez más el objetivo tanto de actores estatales como de organizaciones ciberdelictivas. Las API gubernamentales y relacionadas con la defensa son tan vulnerables como las de acceso público. De hecho, podría decirse que resultan aún más atractivas como objetivo debido a los datos confidenciales que gestionan.
Las API pueden utilizarse como puntos de entrada para llevar a cabo ataques más profundos en las redes. Una API comprometida puede dar acceso a sistemas internos, bases de datos y otros recursos críticos. Es como encontrar un pasadizo secreto hasta el corazón de su organización. Como vimos en el caso de T-Mobile, el operador de red estadounidense, los actores maliciosos pueden aprovechar las vulnerabilidades de las API para acceder sin autorización a datos confidenciales que tienen valor en la web oscura. En este caso, los atacantes robaron la información personal de 37 millones de cuentas de clientes activos.
Para complicar aún más las cosas, es posible que una organización no tenga un control total sobre todas las API que interactúan con sus sistemas.
Los atacantes del Departamento del Tesoro de Estados Unidos consiguieron acceder a través de una vulnerabilidad en un componente de software de terceros; irónicamente, un software que formaba parte de sus defensas cibernéticas. Estos ataques a la cadena de suministro pueden afectar a organizaciones de cualquier tamaño y condición, como demuestran numerosos casos que han ocupado titulares, entre ellos el ataque de SolarWinds y el del grupo Volt Typhoon.
Unas medidas sólidas de seguridad de las API exigen no dejar ningún cabo suelto. Nuestro Informe sobre el estado de la estrategia de aplicaciones de 2024: seguridad de las API revela qué API parecen estar más expuestas a riesgos, cuáles suelen quedar desprotegidas y cómo podrían tener que adaptarse los modelos y las responsabilidades de seguridad de las API para mantenerlas protegidas en la era de la IA. Aviso: la seguridad de confianza cero también tiene un punto ciego, a menos que incluya las API.
¿Puede la IA ser tu aliada en la seguridad de las API? Aprovecha la defensa basada en IA
La IA agrava los problemas de seguridad de las API, pero también ayuda a resolverlos. Gartner estima que la adopción de la IA generará más del 30 % del aumento de la demanda de API de aquí a 2026, debido a la cantidad de API que los modelos de lenguaje de gran tamaño necesitan para recopilar e intercambiar datos. Cada API requiere documentación y medidas de seguridad, lo que crea numerosas oportunidades para fines maliciosos.
Afortunadamente, las organizaciones no están indefensas, y la IA se está consolidando como una potente herramienta de defensa. La IA y el aprendizaje automático pueden analizar el tráfico de las API en tiempo real y detectar anomalías y comportamientos sospechosos que sería imposible identificar manualmente.
La IA puede clasificar las API, comprender los patrones de comportamiento normales y detectar posibles usos indebidos o vulnerabilidades de seguridad. También puede utilizarse para generar políticas de seguridad de forma dinámica, adaptándose a las amenazas en constante evolución y garantizando que tus API estén siempre protegidas. Es como contar con un guardia de seguridad inteligente e incansable que supervisa constantemente el tráfico de tus API.
Lograr una protección uniforme en todos los entornos
Las organizaciones actuales del sector público aprovechan los entornos híbridos y multicloud —con AWS, Azure, Google Cloud y otros— para lograr escalabilidad y resiliencia, pero esto también complica la seguridad de las API. Las diferencias inherentes entre los proveedores de servicios en la nube, cada uno con sus propias herramientas y configuraciones de seguridad, dan lugar a una estrategia de seguridad fragmentada. Depender únicamente de la seguridad nativa de la nube deja brechas que los atacantes no dudan en aprovechar. Es como intentar defender un castillo con distintos ejércitos que no se coordinan entre sí.
La complejidad de gestionar las API en múltiples nubes puede desbordar fácilmente a los equipos de seguridad que no pueden obtener una visión completa de todas las API y de su estado de seguridad. Para afrontar este reto se requiere un enfoque unificado, empezando por un conjunto único y coherente de políticas de seguridad para todas las nubes, que abarque la autenticación, la autorización y otros aspectos. Los controles de seguridad estandarizados también son fundamentales para garantizar un nivel básico de protección en todos los entornos.
Las pruebas de seguridad automatizadas integradas en el ciclo de vida del desarrollo de las API también permiten identificar vulnerabilidades en una fase temprana. La supervisión en tiempo real y la detección de amenazas aportan visibilidad y permiten responder rápidamente a los incidentes, mientras que un sistema sólido de gestión de identidades y accesos (IAM) controla el acceso a las API y unas políticas claras de gobernanza de las API garantizan prácticas de seguridad coherentes.
Proteger las API en un entorno multinube exige un enfoque proactivo, centralizado y estandarizado. Al aplicar estos principios, las organizaciones modernas del sector público y de infraestructuras críticas pueden mitigar los riesgos y garantizar la seguridad continua de sus API. En última instancia, se trata de crear una defensa sólida y adaptable frente a amenazas en constante evolución.
¿Quieres saber más? Escucha el reciente episodio de Federal Tech Podcast en el que converso con John Gilroy. También puedes visitar la página web de Soluciones de F5 para el sector público.
Sobre el autor
Artículos relacionados del blog
Cree servicios públicos seguros, resilientes y preparados para la IA con F5 y AWS
Descubre cómo las organizaciones del sector público pueden modernizar de forma segura sus aplicaciones y soluciones de IA, al tiempo que gestionan los sistemas heredados, el cumplimiento normativo y el riesgo operativo.
Protección de los sistemas de IA: por qué la seguridad debe avanzar al ritmo de la innovación
Desde acelerar avances revolucionarios en medicina y educación hasta transformar la vida cotidiana, la IA está cambiando nuestra forma de vivir y trabajar. Pero también ofrece grandes oportunidades a los ciberdelincuentes.
Avanzar hacia la optimización digital tras la transformación
Descubre estrategias de optimización digital para garantizar políticas de seguridad coherentes, impulsar la madurez de la transformación digital y superar los retos de la transformación.
Proyecto de código abierto destacado: mayor observabilidad con F5 Cloud Logger iApp
En el punto de mira del código abierto: cómo aumentar la observabilidad. Lee el blog de F5 para descubrir cómo exportar fácilmente la telemetría de BIG-IP a plataformas modernas de análisis en la nube.
El estado de la entrega de aplicaciones en 2018: la transformación digital impulsa la automatización y la multinube pese a las preocupaciones de seguridad
Descubre las principales conclusiones del cuarto informe anual de F5 sobre el estado de la entrega de aplicaciones.
Estado de la entrega de aplicaciones en 2017: automatización, API y DevOps
Descubre el informe sobre el estado de la entrega de aplicaciones de 2017. Lee el blog retrospectivo de F5 sobre los inicios del auge de las redes declarativas y los flujos de DevOps.