NGINX App Protect aporta seguridad al ecosistema de las API

NGINX | 17 de marzo de 2021

En los últimos años, las API se han convertido en el enfoque de facto para construir la economía moderna de las aplicaciones. Estas interfaces de software se han convertido en la principal vía para permitir que sistemas, aplicaciones y dispositivos se comuniquen y compartan una enorme variedad de datos y funcionalidades. En esencia, las API se han convertido en la moderna Ruta de la Seda de la información y ofrecen realmente al cliente la posibilidad de acceder a soluciones que combinan las mejores herramientas de distintos proveedores.

De las organizaciones encuestadas en el informe anual de MuleSoft, Connectivity Benchmark Report, el 80 % utiliza API públicas o privadas, o ambas. Entre los beneficios señalados se incluyen el aumento de la productividad (54 %), una mayor innovación (47 %) y el ahorro de costes (34 %), entre otros. Según la encuesta, las API también generan importantes ingresos para las empresas que las publican: de media, un 31 % de sus ingresos totales.

Sin embargo, no todo es de color de rosa. Una investigación de F5 Labs reveló que los incidentes de seguridad de las API durante el primer semestre de 2020 iban camino de superar el número total de incidentes de los dos años anteriores. Un reto importante al que se enfrentan los equipos de DevOps es la existencia de numerosas vulnerabilidades en la seguridad de las API, desde la ausencia total de autenticación en los endpoints de las API hasta fallos de autenticación y autorización, pasando por errores básicos de configuración.

La pregunta ahora es: ¿cómo puede proteger toda la actividad de sus API? En este blog explicamos por qué un enfoque de «seguridad como código» centrado en NGINX App Protect es clave para proteger sus API y se integra perfectamente en su canalización de CI/CD junto con las soluciones de otros proveedores de seguridad en los que ya confía.

Las API están al servicio tanto de los empleados como de los socios

Según los datos de ProgrammableWeb, se utilizan más de 20.000 API privadas, para socios y públicas, que hacen posibles las aplicaciones de las que dependemos a diario. El atractivo de las API —y, por extensión, de los microservicios basados en contenedores en los que se ejecutan o con los que se conectan— radica en que permiten poner las funcionalidades y los datos de su software a disposición de una amplia variedad de usuarios, incluidos sus empleados y todos sus socios estratégicos y comerciales. (Naturalmente, este enfoque también resulta atractivo para los equipos de DevOps, ya que pueden seleccionar los mejores proveedores para sus necesidades específicas).

Por ejemplo, muchas empresas aprovechan las API privadas y de socios para habilitar el autoservicio de TI; hacer que los activos de TI sean fáciles de encontrar y reutilizar permite que más miembros de la organización hagan más cosas sin depender constantemente de DevOps. Cuando se implementa correctamente, el autoservicio de TI se traduce en una mayor agilidad, una comercialización más rápida, soluciones centradas en el cliente que integran a diversos proveedores, más eficiencia e innovación, y unos ingresos con mayores márgenes.

Esta dinámica también se da en el ámbito del desarrollo y la producción: el software en contenedores y las API permiten al equipo de DevOps interactuar con una amplia variedad de socios. Entre ellos se incluyen socios de gestión de identidades y accesos (IAM) como Okta, AuthO y Microsoft, así como socios de gestión del ciclo de vida como MuleSoft, Akana y Kong.

Seguridad como código, políticas como protección

En los entornos de CI/CD dinámicos y vertiginosos de hoy en día, los desarrolladores y los equipos de DevOps necesitan un enfoque integral para proteger las aplicaciones web y las API, con herramientas de seguridad de aplicaciones que les ayuden a implementar soluciones y lanzar software de forma rápida y segura. Los equipos necesitan proteger su código sin dejar de mantener una estrecha integración con los proveedores de gestión de accesos y del ciclo de vida que elijan.

A medida que DevOps ha evolucionado hacia DevSecOps en los últimos años, se ha impulsado la implementación de la propia seguridad como código. Esto no es más que otra forma de decir que las empresas están empezando a reconocer la necesidad de integrar la seguridad en todos los aspectos del nuevo software, en lugar de considerarla algo que se añade una vez finalizada toda la programación. Esto incluye prácticas como:

Automatizar la seguridad siempre que sea posible, integrándola directamente en el flujo de CI/CD
Concebir la seguridad como una barrera de protección, no como una puerta de acceso (es decir, proporcionar orientación y herramientas en lugar de limitarse a conceder o denegar el acceso)
Colaborar con diversos socios para garantizar que las soluciones de seguridad sean coherentes, estén centralizadas y disponibles mediante autoservicio para cualquier entorno, incluidos los entornos distribuidos y en contenedores

«Seguridad como código» significa integrar la seguridad en todos los aspectos del nuevo software, en lugar de limitarse a añadirla al final.

Seguridad avanzada de API para infraestructuras de aplicaciones modernas

F5 es uno de los principales defensores del enfoque de seguridad como código para lograr que la seguridad de las aplicaciones sea adaptable, escalable y fiable, y NGINX App Protect desempeña un papel importante para hacerlo posible. NGINX App Protect combina la seguridad de las API con funcionalidades esenciales de nuestro producto líder del mercado, firewall avanzado para aplicaciones web (Advanced WAF), y la protección contra bots para ayudar a los equipos de DevOps a:

Integrar controles de seguridad no disruptivos (según lo autorizado por el equipo de seguridad) en los procesos de automatización y CI/CD
Implementar y gestionar controles de seguridad de aplicaciones en entornos distribuidos, como contenedores y microservicios
Implemente controles de seguridad rentables sin afectar negativamente a la velocidad de lanzamiento ni al rendimiento de las aplicaciones

Con NGINX App Protect, puede implementar la seguridad de las aplicaciones como un paquete de software ligero e independiente de la infraestructura subyacente. De este modo, el desarrollador de software puede utilizar políticas declarativas («seguridad como código») para proteger todo lo que entra y sale de una puerta de enlace de API u otro controlador de Ingress. Con este modelo, aunque una API no sea segura de forma predeterminada, la seguridad con NGINX App Protect puede aplicarse en varios puntos, ya sea en el ingreso, dentro de un pod de Kubernetes o entre servicios.

Al colaborar con otros líderes del sector que son prioritarios para nuestros clientes y adoptar los proveedores y productos que ya utilizan los equipos de DevOps de todo el mundo, F5 y NGINX se comprometen a ofrecer soluciones de vanguardia para todo el ecosistema de aplicaciones.

Conclusión

A medida que las API se convierten en la nueva Ruta de la Seda para el intercambio de información y permiten conectar con sus usuarios como nunca antes, NGINX App Protect está aquí para defender sus aplicaciones y datos frente a todo tipo de amenazas potenciales. NGINX App Protect está diseñado para adaptarse a la forma en que distribuye sus aplicaciones, incluida la posibilidad de integrarse estrechamente con su ecosistema de socios. Esta solución líder del sector funciona a la perfección en entornos DevOps e integra controles de seguridad no disruptivos en todos los procesos de automatización de DevOps y CI/CD, lo que garantiza que la seguridad de las aplicaciones no se añada a posteriori ni se incorpore como una medida provisional, sino que esté integrada desde el principio.

¿Quieres probar NGINX App Protect? Empieza hoy mismo una prueba gratuita de 30 días o ponte en contacto con nosotros para hablar sobre tus casos de uso.