No faltan estadísticas sobre la (in)seguridad de las API. Una búsqueda superficial en Internet le permitirá encontrar prácticamente cualquier perspectiva que desee sobre el tema. Baste decir que (a) los ataques a las API van en aumento y (b) algunos de esos ataques tienen éxito.
También es habitual señalar que las organizaciones tienen dificultades incluso para localizar todas las API ocultas en su infraestructura. Esto no se debe únicamente a que dichas API estén dispersas entre el núcleo, la nube y el extremo de la red. Se debe a que, aparte de la conocida especificación OpenAPI (OAS), no existen verdaderos «estándares» en los que basarse para definir las API y, mucho menos, para encontrarlas.
Eso no significa que los necesitemos. Al fin y al cabo, tuvimos SOAP, WSDL y UDDI y, bueno, aunque todavía hay quienes los utilizan y confían en XML como formato de datos, la mayor parte del mundo ha adoptado REST, JSON, GraphQL y gRPC.
Aunque tuviéramos estándares, eso no cambiaría el hecho de que las API son difíciles de proteger.
Esto se debe a que el término API engloba muchos conceptos. Por ejemplo, la API de OpenTelemetry es simplemente una forma de decir: «Ponemos las funcionalidades de OpenTelemetry a disposición de los desarrolladores». No es que se pueda disponer de una política de seguridad que abarque «la» API de OpenTelemetry. Eso sería lo ideal y facilitaría mucho las cosas. Pero no es así. Lo que tenemos son políticas de seguridad que abarcan los endpoints de la API de OpenTelemetry.
Profundicemos en ello, ¿de acuerdo?
API y endpoints
Usemos la API de Open AI para nuestro ejemplo, porque ahora mismo todo el mundo está entusiasmado con la IA generativa.
Lo primero de lo que te darás cuenta es de que, aunque solo hay «una» API, existen muchos endpoints. ¿Cuántos? La cifra cambia cada vez que se incorporan nuevas funcionalidades.
Aquí tienes una lista (no exhaustiva):
- https://api.openai.com/v1/chat/completions
- https://api.openai.com/v1/audio/speech
- https://api.openai.com/v1/audio/transcriptions
- https://api.openai.com/v1/audio/translations
- https://api.openai.com/v1/embeddings
- https://api.openai.com/v1/fine_tuning/jobs
- https://api.openai.com/v1/files
La IA generativa multimodal incorpora contenidos multimedia —audio y vídeo— a la lista de tipos de contenido, pero también añade nuevos endpoints para gestionar las solicitudes de procesamiento. Las funcionalidades adicionales, como el uso de herramientas, también pueden ampliar el número de endpoints. Cada avance —cada nueva capacidad que nos entusiasma— suele añadir otro endpoint a la API.
También observará el «v1» en esos endpoints. Esto significa que, cuando se publique v2, será necesario crear otro conjunto de políticas de seguridad para cubrir estos endpoints, y algunas de ellas deberán modificarse en función de los cambios que se hayan realizado en el endpoint correspondiente.
Esto también ocurre en la infraestructura de TI, donde la automatización se lleva a cabo mediante las API de los dispositivos. El número de endpoints depende en gran medida de su entorno. Cuantos más dispositivos tenga bajo gestión, más endpoints tendrá que gestionar y proteger. Ah, y no olvidemos que no hay dos dispositivos que utilicen la misma API. Sería una locura, ¿verdad? Casi como si dos proveedores de servicios en la nube acordaran utilizar la misma API. Probablemente por eso la «complejidad» sigue siendo el motivo más citado para no automatizar diversas tareas operativas. El exceso de herramientas y API dificulta la automatización y complica aún más la seguridad.
Pero la seguridad de las API debe abarcar todos esos endpoints, porque son la vía de entrada de los atacantes. Además, cada endpoint requiere un conjunto diferente de parámetros que acaban en la carga útil como objetos JSON (o XML, GraphQL o <insertar formato aquí>). Es necesario establecer límites sobre lo que puede contener cada parámetro: ¿Puede ser alfanumérico? ¿Qué caracteres admite? ¿Qué intervalo de valores? ¿Qué longitud máxima puede tener? ¿Qué caracteres no están permitidos? Toda esta información se traduce en una política que determina el formato que debe tener el contenido y, de este modo, evita que los ataques se cuelen.
Crear una política solo para la API de Open AI llevará algún tiempo. Y no es más que una API. La mayoría de las organizaciones tienen una media de 442,8 API, según nuestro próximo estudio de 2024, y esa cifra se dispara en el caso de las organizaciones muy grandes. Si pensamos en la cantidad de endpoints —y versiones de estos— que eso puede suponer, enseguida queda claro por qué la seguridad de las API es tan sumamente difícil.
Y por qué los atacantes tienen suficiente éxito como para seguir atacándolos.
Sobre el autor
Lori MacVittie es ingeniera distinguida y evangelista jefe en la Oficina del CTO de F5, y cuenta con una amplia experiencia en entrega de aplicaciones, estrategia de automatización e infraestructura. Es conocida por convertir la complejidad en claridad, ya sea definiendo mecanismos de protección para agentes de IA, analizando arquitecturas multinube frágiles o explorando los límites de los sistemas escalables. Aporta más de treinta años de experiencia en el sector en desarrollo de aplicaciones, arquitectura de TI y operaciones de redes y sistemas. Antes de incorporarse a F5, fue una galardonada editora de tecnología. MacVittie posee un máster en Informática y es una autora prolífica cuyas publicaciones abarcan la seguridad, la nube y la arquitectura empresarial. También es una apasionada de los juegos de mesa y los videojuegos, y expresa sin complejos sus firmes opiniones sobre el queso.
Más artículos de Lori Mac VittieArtículos relacionados del blog
Proteger los endpoints de las API dificulta la seguridad de las API
Descubre las complejidades de la seguridad de las API, los retos a los que se enfrentan las organizaciones, la evolución de los ataques contra endpoints de API y la necesidad de políticas de seguridad adaptadas.
¿Qué es el sesgo de la IA y por qué es importante para TI?
Descubre los fundamentos del aprendizaje de la IA. Aprende cómo pueden surgir sesgos en la IA y qué riesgos plantean para las TI y la transformación digital.
Redefiniendo la ciberseguridad en el extremo de la nube distribuida con IA y telemetría en tiempo real
La transformación digital y la adopción de tecnologías en la nube están provocando cambios en las arquitecturas de las aplicaciones. Estos cambios introducen nuevas superficies de ataque, que son el objetivo de métodos de ataque avanzados, altamente organizados y con motivaciones económicas. Mediante el uso del framework Morpheus de NVIDIA, F5 está investigando técnicas para detectar estas amenazas avanzadas con telemetría en tiempo real y análisis basados en IA.
El papel de la nube en las aplicaciones nativas del edge
No debería sorprender que, al igual que la aparición de la nube dio lugar a las aplicaciones nativas de la nube, el edge esté impulsando un conjunto de aplicaciones nativas del edge. Sin embargo, estas aplicaciones no residirán únicamente en el edge. Al mismo tiempo, están surgiendo nuevos patrones arquitectónicos que aprovechan las aplicaciones alojadas en la nube y en el centro de datos.
La creciente diversidad de ubicaciones y usuarios está impulsando a las empresas hacia el edge
En el contexto del ámbito de las aplicaciones, el término «usuario» siempre se ha referido a la entidad que interactúa con una aplicación. Del mismo modo que los cambios en las arquitecturas de las aplicaciones impulsan cambios en las tecnologías que permiten ofrecerlas y protegerlas, los cambios en la definición de usuario han provocado cambios en los lugares donde se despliegan las aplicaciones.
El edge está impulsando un renacimiento de las infraestructuras
A medida que las organizaciones aumentan la generación de datos y tratan de extraer valor empresarial de ellos, sin duda recurrirán a la analítica y la automatización basadas en la IA y el aprendizaje automático. Precisamente este tipo de cargas de trabajo son las que más se beneficiarían de una infraestructura optimizada y, sin embargo, hoy en día son las que menos probabilidades tienen de poder aprovecharla.