La reciente divulgación de una filtración de datos por parte de T-Mobile pone de relieve los retos del creciente «salvaje oeste» de la seguridad de las aplicaciones: las API. Una persona (o grupo) logró recopilar los datos personales de más de 30 millones de clientes mediante el uso (o abuso) de una API, extrayendo información a diario durante más de un mes antes de que se detectara.
En el momento de redactar este artículo, no se conocen muchos detalles sobre cómo o por qué se hizo un uso indebido de la API en este caso (por ejemplo, abuso de funciones, autorización deficiente a nivel de objeto o exposición excesiva de datos), ni sobre cómo se acabó detectando la brecha. Si nos limitamos a analizar las cifras, cada día se extrajeron a través de esta API datos de una media de 902.000 clientes sin que se activara ningún umbral de limitación de solicitudes, ninguna alerta por anomalías de comportamiento en series temporales, etc. O quizá sí se activaron, pero no con el nivel de amenaza adecuado para que los equipos de operaciones pudieran identificarlas rápidamente y tomar medidas de mitigación; todo apunta a un ataque lento y de baja intensidad.
Las brechas de seguridad como esta nos brindan la oportunidad de reflexionar sobre la omnipresencia de las API, su importancia crítica para las organizaciones actuales y el papel único que pueden desempeñar en la seguridad (o inseguridad) de cualquier aplicación y, por tanto, de toda una organización. En un análisis de las brechas de seguridad de los últimos años, F5 Labs ha observado que, en la mayoría de los casos en los que los incidentes están relacionados con API, el método utilizado para provocar la brecha es técnicamente muy sencillo y afecta a endpoints de API de acceso público con una protección deficiente.
Cuando se trata de las API, garantizar su seguridad es más fácil de decir que de hacer (al menos, de hacer bien). Ante la avalancha de datos sobre eventos de seguridad de las aplicaciones que genera el creciente número de aplicaciones y endpoints que supervisan actualmente la mayoría de las organizaciones, mantenerse al tanto de todo parece una tarea imposible.
Sin embargo, este ataque pone de relieve tres elementos fundamentales relacionados específicamente con la seguridad de las API, de los que todas las organizaciones pueden aprender a la hora de priorizar tecnologías y servicios que ofrezcan:
Visibilidad y descubrimiento de API. En este caso, no está claro si se conocía esta API específica o si se supervisaba activamente. La seguridad positiva, basada en API desarrolladas de forma segura y bien documentadas, con funciones de aplicación de esquemas, es fundamental, pero solo representa la mitad de la solución. Lo más probable es que la mayoría de las organizaciones no tengan controladas todas las API que se ejecutan en su entorno, por lo que es de suma importancia poder detectar y cartografiar continuamente las API que aún no están documentadas en todas las rutas de comunicación de una aplicación. La tecnología de descubrimiento permite a las organizaciones cartografiar todo su ecosistema de API, sacar a la luz API desconocidas o en la sombra, API abandonadas u obsoletas que deben bloquearse o eliminarse, así como cualquier API «legítima» desconocida que deba someterse a gobernanza, lo que proporciona una supervisión más exhaustiva.
Saber que una API existe y disponer de funciones de control de acceso son dos piezas fundamentales del rompecabezas de la seguridad de las API. En nuestro Informe sobre el estado de la estrategia de aplicaciones de 2022, el 68 % de los encuestados consideró que la autenticación y la autorización eran los componentes más valiosos de la seguridad de las API, seguidos muy de cerca por el análisis del comportamiento y la detección de anomalías para supervisar las API, detectar comportamientos anómalos y posibles usos indebidos, y generar alertas al respecto, ya que los actores maliciosos pueden eludir fácilmente la autenticación y la autorización de muchas maneras. En este caso, algún aspecto de los datos transmitidos entre la API y el cliente debía de ser inusual. La capacidad de realizar un seguimiento del comportamiento de una API a lo largo del tiempo una vez que está en producción suele incluir el análisis de las solicitudes a la API y la detección de anomalías en series temporales para establecer patrones de comportamiento de referencia que permitan identificar anomalías en las tasas de solicitudes, los errores, la latencia, el rendimiento, etc. Con esta funcionalidad, es fundamental contar con un sistema de alertas que avise cuando se produzcan aumentos o descensos inesperados, se observen patrones de tráfico inusuales o se detecten solicitudes anómalas a la API.
Para completar una pila moderna de seguridad de API, se necesita un motor de aplicación de medidas de seguridad en línea para aplicaciones y API, que probablemente incluya un WAF con varias capas de funcionalidades de seguridad de aplicaciones, como la aplicación granular de políticas de capa 7 con limitación de velocidad, reputación de IP, listas de permitidos y bloqueados, y protección contra ataques DoS de capa 7, además de capacidades para investigar en mayor profundidad y actuar sobre endpoints maliciosos, usuarios y otras actividades. Esto permite a los equipos de operaciones identificar de forma rápida y sencilla posibles usos indebidos de las API a medida que se detectan anomalías, así como crear políticas para detenerlos, mejorando con el tiempo la protección de las API y los endpoints de las aplicaciones a medida que evolucionan y cambia su comportamiento.
Sin duda, con el paso del tiempo y a medida que sepamos qué ocurrió exactamente durante esta brecha de seguridad concreta, saldrán a la luz más detalles. No obstante, es fundamental que las organizaciones aprovechen estos tres elementos para evaluar y desarrollar mejor un plan que proteja sus aplicaciones y endpoints de API frente a abusos de este tipo.
Obtenga más información sobre los retos de seguridad de las API y los consejos para el desarrollo moderno de aplicaciones y la seguridad de las API
Este informe de Forrester «Inseguridad de las API» destaca los crecientes desafíos del desarrollo de aplicaciones modernas y la seguridad de las API, y ofrece consejos para integrar la seguridad en los flujos de trabajo modernos de desarrollo de aplicaciones y API.
Sobre el autor
Artículos relacionados del blog
Cree servicios públicos seguros, resilientes y preparados para la IA con F5 y AWS
Descubre cómo las organizaciones del sector público pueden modernizar de forma segura sus aplicaciones y soluciones de IA, al tiempo que gestionan los sistemas heredados, el cumplimiento normativo y el riesgo operativo.
Protección de los sistemas de IA: por qué la seguridad debe avanzar al ritmo de la innovación
Desde acelerar avances revolucionarios en medicina y educación hasta transformar la vida cotidiana, la IA está cambiando nuestra forma de vivir y trabajar. Pero también ofrece grandes oportunidades a los ciberdelincuentes.
Avanzar hacia la optimización digital tras la transformación
Descubre estrategias de optimización digital para garantizar políticas de seguridad coherentes, impulsar la madurez de la transformación digital y superar los retos de la transformación.
Proyecto de código abierto destacado: mayor observabilidad con F5 Cloud Logger iApp
En el punto de mira del código abierto: cómo aumentar la observabilidad. Lee el blog de F5 para descubrir cómo exportar fácilmente la telemetría de BIG-IP a plataformas modernas de análisis en la nube.
El estado de la entrega de aplicaciones en 2018: la transformación digital impulsa la automatización y la multinube pese a las preocupaciones de seguridad
Descubre las principales conclusiones del cuarto informe anual de F5 sobre el estado de la entrega de aplicaciones.
Estado de la entrega de aplicaciones en 2017: automatización, API y DevOps
Descubre el informe sobre el estado de la entrega de aplicaciones de 2017. Lee el blog retrospectivo de F5 sobre los inicios del auge de las redes declarativas y los flujos de DevOps.