Riesgos y desafíos modernos de seguridad de las API resueltos con soluciones de protección de aplicaciones web y API (WAAP)

Ian DinnoResponsable sénior de marketing de producto | F5

Las aplicaciones modernas requieren un conjunto avanzado de funcionalidades para proteger adecuadamente toda su superficie de ataque. Los firewalls de aplicaciones web (WAF) siguen desempeñando un papel importante, pero, a medida que las aplicaciones evolucionan y las API siguen proliferando, se necesitan más herramientas para supervisar, rastrear y proteger toda la superficie de las aplicaciones, incluida una red cada vez mayor de conexiones de API.

Algunas posibles limitaciones de los WAF para proteger las API

Aunque los WAF son herramientas valiosas para la seguridad de las API, no todos ofrecen las mismas prestaciones y algunos presentan limitaciones a la hora de proteger las API. Entre estas limitaciones se pueden incluir:

• Gestión de autorizaciones de API complejas: Las API suelen emplear mecanismos de autorización más complejos que la autenticación tradicional basada en sesiones utilizada en las aplicaciones web. Los WAF pueden tener dificultades para gestionar esquemas de autorización complejos, como OAuth 2.0, JWT (tokens web JSON) o la autenticación personalizada basada en tokens.
• Análisis de las variaciones de protocolos y cargas útiles: Las API pueden utilizar diversos protocolos (REST, GraphQL, SOAP) y formatos de carga útil (JSON, XML) con diferentes estructuras y esquemas de datos. Es posible que los WAF ofrezcan una compatibilidad limitada para analizar y validar estas variaciones, lo que puede reducir la visibilidad y aumentar los falsos positivos —o falsos negativos— en la detección de amenazas.
• Limitación de la tasa de solicitudes: La limitación de la tasa de solicitudes de las API es fundamental para protegerlas frente a comportamientos abusivos y al agotamiento de sus recursos. Los WAF pueden tener dificultades para limitar con precisión la tasa del tráfico de las API debido a la naturaleza dinámica de las solicitudes y a la necesidad de aplicar límites basados en parámetros específicos de cada API.
• Información sobre ataques específicos contra API: Las API son vulnerables a vectores de ataque específicos, como la contaminación de parámetros, los ataques de inyección específicos contra API o los casos de abuso de API. Es posible que los WAF no dispongan de reglas o heurísticas especializadas para detectar y mitigar eficazmente estos ataques específicos contra API.
• Funcionalidad de gestión de API: Los WAF se centran principalmente en aspectos de seguridad y pueden carecer de las capacidades integrales de gestión de API necesarias para la gobernanza, la documentación y el control de versiones de las API, así como para las funcionalidades del portal para desarrolladores.

Mejora de los WAF para la seguridad de las API

Es importante señalar que, aunque los WAF siguen siendo la piedra angular de la seguridad de las aplicaciones y constituyen una capa fundamental para proteger las API, se necesitan medidas adicionales. Las organizaciones están evaluando e implementando diversos enfoques por una combinación de motivos —costes, complejidad, ideas erróneas y malentendidos sobre cómo proteger adecuadamente las API, entre otros—. Muchas organizaciones están complementando sus WAF actuales con puertas de enlace de API para crear, gestionar y publicar sus API, al tiempo que aplican políticas de uso y controlan el acceso. Este es un buen punto de partida, pero aún deja muchas carencias en la estrategia de seguridad de las API.

Entonces, ¿cuál es el siguiente paso? ¿Cómo se gestionan las API desconocidas o en la sombra? ¿Y el control granular de los endpoints de las API? ¿Qué ocurre con las API de terceros que no necesariamente se controlan? Centrémonos en el reto de las API desconocidas... las API en la sombra. Estas pueden llevar a una organización a buscar una herramienta especializada de detección de API y vulnerabilidades para incorporarla a su conjunto de soluciones mientras trata de cubrir todos los frentes de la seguridad de las API.

¿Veis adónde conduce todo esto? La situación se vuelve muy compleja muy rápidamente. Algunas organizaciones con presupuesto, conocimientos especializados y recursos prefieren optar por las mejores soluciones de cada categoría, pero, para la mayoría, cubrir la superficie de amenazas de seguridad de las API con un mosaico de soluciones diferentes no hace sino perpetuar uno de los mayores retos de seguridad: la COMPLEJIDAD. Añadir más soluciones específicas puede volverse insostenible rápidamente, por no hablar de que dificulta considerablemente una supervisión y una visibilidad eficaces.

Cómo pueden ayudar las WAAP: seguridad integral para aplicaciones y API

Aquí entran en juego las soluciones de protección de aplicaciones web y API (WAAP). ¿Por qué añadir más tecnologías independientes, probablemente de distintos proveedores y que no correlacionan la información de forma coherente, a un ecosistema de seguridad de aplicaciones que ya es complejo? De ahí la evolución hacia las ofertas de WAAP y su desarrollo. Las soluciones WAAP modernas pueden ser parte de la respuesta a las necesidades de seguridad de los entornos de aplicaciones modernos, híbridos, multinube y basados en microservicios, ya que combinan las capacidades de los WAF tradicionales con funciones especializadas esenciales para supervisar y proteger las API, todo ello en una única solución consolidada (a menudo ofrecida como SaaS).

Conceptos erróneos comunes sobre las soluciones WAAP y su capacidad para supervisar y proteger las API

Existen ideas erróneas sobre las WAAP, como que carecen de las funcionalidades necesarias para ofrecer una seguridad integral de las API. Entre los mitos que quizá haya oído se encuentran que las WAAP no pueden supervisar ni realizar un seguimiento de las API a lo largo del tiempo para detectar anomalías, que carecen de capacidades avanzadas de aprendizaje para mantenerse al tanto de los endpoints nuevos y cambiantes de aplicaciones y API, o que no pueden rastrear ni determinar la intención del usuario final.

Esto es sencillamente falso. Muchas soluciones WAAP modernas, como F5 Distributed Cloud WAAP, se han desarrollado con capacidades de IA y aprendizaje automático que sustentan funciones esenciales de seguridad de las API, como la detección automática de API, la aplicación de esquemas, la detección de anomalías en usuarios y API, entre otras. Además, a diferencia de muchos productos específicos de seguridad para API, que dependen de análisis fuera de banda, las soluciones WAAP analizan el tráfico y bloquean el tráfico de aplicaciones y API mediante una única solución en línea. No es necesario transmitir ni replicar los datos en una solución independiente (o varias), lo que puede retrasar el análisis, la detección y la mitigación de amenazas.

Para obtener más información sobre F5 Distributed Cloud WAAP y sus capacidades de seguridad de las API, visite nuestro sitio web y vea una breve demostración de la solución en funcionamiento.

Sobre el autor

Ian DinnoResponsable sénior de marketing de producto | F5

Más artículos de Ian Dinno