Ahora que comprende la importancia de la seguridad de las API…

F5

(Para ponerse rápidamente al día sobre el auge de la seguridad de las API como tema de actualidad en el sector, consulte esta entrada reciente del blog. Las siguientes recomendaciones parten de ahí y le ayudarán a saber qué puede hacer al respecto.)

Complemente su puerta de enlace de API con una puerta de enlace de seguridad

El crecimiento explosivo de las API está impulsando nuevos mercados tanto para las puertas de enlace de API como para la seguridad de las API. Aunque es posible que estos mercados converjan en el futuro, hoy en día puede anteponer a su puerta de enlace de API un firewall de aplicaciones web (WAF) eficaz para mitigar las amenazas. Los WAF pueden bloquear el tráfico malicioso conocido antes de que llegue a la puerta de enlace de API mediante funciones listas para usar, como la inteligencia de IP, las firmas de ataques, la detección de bots maliciosos y los conjuntos de reglas del OWASP Top 10. Los WAF más avanzados, como F5 Advanced WAF, cuentan con funciones específicas y permiten personalizar las políticas de seguridad para proteger varias API dentro de un mismo dominio, en lugar de limitarse a un conjunto de reglas global por dominio.

A la hora de abordar las necesidades actuales y emergentes, conviene recordar tres aspectos:

1. Las puertas de enlace de API se han convertido en puntos de control estratégicos. A medida que las transiciones tecnológicas generan aún más tráfico no humano, la API se convierte en el eje central del negocio. Las puertas de enlace de API se sitúan en el perímetro y constituyen el punto de entrada de todo el tráfico de las API. Para que la seguridad de las API sea eficaz, se necesita un contexto más completo, análisis, identificación del emisor y capacidades de correlación.
   
   
2. La brecha entre las pasarelas de API y las soluciones de seguridad de API es considerable. Los proveedores tradicionales de seguridad de aplicaciones carecen de las funciones básicas de las pasarelas de API, como el control de versiones, la orquestación y la medición. La mayoría de las soluciones de pasarela de API no incluyen los controles de seguridad estándar disponibles en la mayoría de las soluciones WAF. Necesitará ambas para garantizar una funcionalidad y una seguridad adecuadas.
   
   
3. Esta brecha puede abordarse mediante una puerta de enlace de seguridad. La incorporación de un WAF avanzado con funciones de protección de API puede ayudar a subsanar las carencias de seguridad de la mayoría de las puertas de enlace de API. F5 Advanced WAF ha ampliado sus funciones de seguridad para incluir API y microservicios. Aunque no puede sustituir las funciones avanzadas de una puerta de enlace de API, sí puede mejorar y aplicar controles de seguridad comunes. F5 Advanced WAF también admite API declarativas, lo que permite orquestar y automatizar las políticas de seguridad de las API en entornos ágiles.
   

Las puertas de enlace de seguridad pueden compensar las deficiencias de seguridad, pero no hay que confiarse

A medida que la tecnología madure, las puertas de enlace de API ayudarán a abordar otros problemas de seguridad de las API, pero aún no hemos llegado a ese punto. La planificación y las buenas prácticas contribuirán en gran medida a mantener sus API debidamente protegidas a corto plazo. Para proteger eficazmente sus API, no olvide:

1. Utilice siempre una puerta de enlace de seguridad. No permita que los clientes accedan directamente a su API sin autenticarse. Obligue a que todo el tráfico pase por una puerta de enlace de seguridad o un proxy capaz de descartar el tráfico malicioso conocido. Aproveche un WAF existente si dispone de uno. Incluso un WAF básico puede sacarle de un apuro mientras valora una solución más completa.
   
   
2. Simplifique. Haga que los equipos de DevOps y SecOps acuerden un conjunto de estándares (por ejemplo, OpenAPI/Swagger) para desarrollar API. Los estándares le ayudarán a documentar y probar sus API. OpenAPI 3.0 cuenta con componentes de seguridad específicos que pueden reutilizarse para facilitar la implementación de un diseño seguro. El uso de los estándares de OpenAPI también permite utilizar herramientas de auditoría y conformidad como Crunch42 para automatizar las pruebas de diseño y seguridad.
   
   
3. Defina los requisitos de seguridad. El alcance de los requisitos de una API suele incluir únicamente la funcionalidad deseada, es decir, definir qué capacidades debe ofrecer. Los requisitos de la API también deben incluir requisitos de seguridad (lo que la API NO debe poder hacer). Al incorporar la seguridad a las especificaciones de diseño, esta pasa a formar parte de las pruebas funcionales de la API.
   
   
4. Cree modelos de amenazas para los servicios de API – clientes y servidores de API. Realizar un modelado de amenazas del sistema propuesto ayudará a identificar los activos y componentes clave, así como las categorías de amenazas. A continuación, se pueden añadir requisitos de diseño de seguridad para mitigar las amenazas identificadas. Asegúrese de que los controles estén en consonancia con el modelo de riesgos deseado para la API y la aplicación.
   
   
5. Externalice la autenticación y la autorización. Utilice la puerta de enlace de API para gestionar la autenticación y autorización modernas. Todas las API deben contar con autenticación como parte de la implementación. No es necesario integrar esta funcionalidad en la propia aplicación (y tampoco es una práctica recomendada, ya que reenviar tráfico no autenticado directamente a la API puede dejarla expuesta a ataques). Se pueden utilizar varios métodos de autenticación, y un enfoque basado en el riesgo puede ayudarle a elegir el más adecuado. OAuth 2.0 suele considerarse una de las mejores opciones para las API REST. F5 BIG-IP APM es una buena solución para implementar estos controles.
   
   
6. Cífrelo todo. No hay excusa para no utilizar el cifrado. El uso de SSL/TLS se acerca al 100 % en todo el tráfico de Internet. Todo el tráfico de las API públicas debe estar cifrado. Si es posible, utilice claves efímeras para reforzar la seguridad (¿recuerda Heartbleed?). Si su puerta de enlace de API no puede gestionar la carga criptográfica por motivos de rendimiento o coste, considere la posibilidad de transferirla a un sistema específico como F5 SSL Orchestrator.
   
   
7. Desaliente la «creatividad» de los desarrolladores en materia de seguridad. Implementar correctamente la seguridad es difícil; la comunidad especializada lleva décadas haciéndolo y, aun así, seguimos encontrando fallos. Aunque sus desarrolladores sean brillantes, extreme las precauciones si pretenden crear controles de seguridad personalizados, como un nuevo modelo de cifrado. Para evitar este tipo de «creatividad» en materia de seguridad, asegúrese de proporcionar a DevOps controles de seguridad de referencia estandarizados y rigurosamente validados. Si se necesitan controles de seguridad adaptados específicamente, debe consultarse al equipo de SecOps.

El uso de las API puede resultar transformador al posibilitar nuevos modelos de negocio y fuentes de ingresos. Sin embargo, si se implementan sin las medidas de protección adecuadas, las API también pueden provocar disrupciones y poner en riesgo a las empresas. Aunque la seguridad de las API todavía puede considerarse un ámbito tecnológico relativamente incipiente, las prácticas descritas anteriormente pueden ayudar a subsanar las carencias actuales en materia de seguridad de las API a medida que maduran las soluciones relacionadas.

Sobre el autor

F5

Más artículos de F5