A medida que las API siguen evolucionando hasta convertirse en la piedra angular de las aplicaciones modernas, especialmente las de IA, las organizaciones se enfrentan a retos cada vez mayores para protegerlas frente a nuevos riesgos de seguridad. Mantener la visibilidad, detectar vulnerabilidades y garantizar una protección sólida son requisitos innegociables para cualquier empresa que dependa de las API.
“Esta versión incorpora nuevas e interesantes opciones de descubrimiento de API, escenarios de pruebas ampliados y capacidades de detección mejoradas, todo ello orientado a reducir los riesgos de seguridad de las API y, al mismo tiempo, mejorar la visibilidad general y el cumplimiento normativo.”
Como parte de F5 Application Delivery and Security Platform (ADSP), en nuestra última versión de F5 Distributed Cloud Services, presentamos numerosas mejoras nuevas diseñadas para abordar estos retos de frente con mayor flexibilidad y eficiencia. Esta versión incorpora nuevas e interesantes opciones de descubrimiento de API, escenarios de pruebas ampliados y capacidades de detección mejoradas, todo ello orientado a reducir los riesgos de seguridad de las API y, al mismo tiempo, mejorar la visibilidad general y el cumplimiento normativo.
Analicemos estas nuevas funcionalidades con más detalle.
Opciones ampliadas de descubrimiento de API
La detección eficaz de las API es fundamental para gestionar inventarios de API en constante evolución, especialmente ante el creciente número de API en la sombra y no gestionadas que pueden convertirse en puntos ciegos de seguridad. Ahora, con la incorporación en F5 ADSP de opciones de detección ampliadas para F5 BIG-IP y F5 NGINX, proxies/puertas de enlace adicionales y entornos aislados, las organizaciones disponen de mayor flexibilidad para detectar y proteger las API en sus distintas aplicaciones y entornos. Cada nueva opción de detección está diseñada para satisfacer requisitos específicos de las aplicaciones y la infraestructura, lo que ofrece a las organizaciones un conjunto más completo de funcionalidades para mejorar la visibilidad de las API.
- Descubrimiento de API para BIG-IP: Para las organizaciones que utilizan BIG-IP TMOS, ampliamos nuestras funcionalidades de descubrimiento de F5 Distributed Cloud API Security con opciones de descubrimiento de API fuera de banda. Esto permite a los clientes de BIG-IP (con las versiones 15.1 y posteriores) inspeccionar el tráfico de las API procesado a través de sus servidores virtuales y visualizarlo claramente en la consola de Distributed Cloud Services. Gracias a esta integración, los clientes de BIG-IP pueden asumir el control total de sus API mediante la detección de API desconocidas, ocultas y obsoletas, el enriquecimiento de sus inventarios de API con documentación precisa y actualizada, y la gestión fluida de la seguridad de las API mediante una solución unificada de un único proveedor. (Puede verlo en funcionamiento aquí.)
- Compatibilidad con la detección de API para proxies y puertas de enlace adicionales (acceso anticipado): Las solicitudes de API suelen pasar por diversos proxies y puertas de enlace, lo que dificulta que las organizaciones mantengan una visibilidad completa de todo su ecosistema de API. Conocer todas las API, independientemente de dónde estén implementadas, de los servicios que tengan delante o de cómo se desplacen las solicitudes por la infraestructura, permite a las organizaciones supervisar el comportamiento, detectar posibles amenazas y abordar de forma más eficaz la proliferación de API. Esta visibilidad es fundamental para garantizar una seguridad de API uniforme en distintos entornos.
Con esta versión, hemos ampliado las funciones de detección de API fuera de banda a los proxies NGINX OSS, NGINX Plus, Kong y Apigee mediante integraciones verificadas. También hemos incorporado una solución de detección universal que permite recopilar registros de prácticamente cualquier puerta de enlace o proxy, de modo que las organizaciones puedan analizar la actividad de las API, detectar API no gestionadas y visualizar de forma centralizada su ecosistema de API en la consola de Distributed Cloud Services.
Actualmente, esta función está disponible en acceso anticipado, lo que brinda a las organizaciones que utilizan diversas tecnologías de puertas de enlace y proxies la oportunidad de probar cómo pueden reforzar su estrategia de seguridad de API. - Descubrimiento local de API (acceso anticipado): Como parte de esta última versión, ahora ofrecemos el descubrimiento local de API para entornos aislados y regulados, en los que no es posible compartir datos externamente debido a restricciones normativas o de seguridad. Mediante un software desplegable para el descubrimiento local de API con una consola específica, las organizaciones pueden obtener información sobre las API que pasan por sus servidores virtuales BIG-IP de forma totalmente local, sin enviar datos confidenciales a la nube. El descubrimiento local de API se ha diseñado para sectores que operan en entornos estrictamente controlados o con acceso limitado a la nube.
Esta funcionalidad también está disponible actualmente en acceso anticipado, lo que permite a las organizaciones con entornos aislados probar cómo pueden reforzar su estrategia de seguridad de las API y cumplir los requisitos normativos o de conformidad.
Estas capacidades ampliadas de descubrimiento de API permiten a las empresas detectar API en la sombra (desconocidas), no gestionadas u olvidadas, generar esquemas y documentación de OpenAPI, y enriquecer los inventarios de API con la detección de datos confidenciales e información sobre riesgos.
Al ofrecer la flexibilidad necesaria para adaptarse a distintas arquitecturas de aplicaciones y requisitos de seguridad y cumplimiento normativo, estas nuevas opciones permiten a las organizaciones afrontar fácilmente los retos cambiantes de la seguridad de las API sin tener que modificar sus aplicaciones, tomar decisiones arquitectónicas importantes ni hacer concesiones en materia de cumplimiento normativo en aras de la seguridad de las API.
Suite ampliada de pruebas de API con nuevos escenarios
Como parte del refuerzo continuo de las capacidades de seguridad proactiva que ofrece F5 Distributed Cloud API Security, esta versión amplía el alcance de las capacidades de pruebas de API disponibles en el servicio y abarca más vulnerabilidades identificadas en el OWASP API Top 10. En concreto, se han añadido nuevos escenarios que permiten a las organizaciones realizar pruebas para detectar vulnerabilidades de API1 (autorización de nivel de objeto rota) y API4 (consumo de recursos sin restricciones). Estas incorporaciones ayudan a las organizaciones a comprender los riesgos ocultos en el código de sus API que pueden dar lugar a:
- Acceso no autorizado a recursos.
- Gestión insegura de tokens.
- Exposición excesiva de datos.
- Saturación de recursos y errores de configuración.
Al ampliar nuestro conjunto de pruebas de API, las organizaciones podrán detectar una gama más amplia de posibles vulnerabilidades en fases más tempranas del ciclo de vida del desarrollo mediante la integración con repositorios de código de API y la realización de pruebas automatizadas sobre ellos. De este modo, podrán aplicar medidas correctivas antes de la puesta en producción, lo que reducirá significativamente la exposición y el riesgo de explotación en toda su superficie de ataque de API.
Detección de amenazas mejorada para las vulnerabilidades del Top 10 de API de OWASP
No solo hemos mejorado nuestras pruebas de API, sino que también seguimos perfeccionando nuestros mecanismos de detección de amenazas basados en el tráfico, porque sabemos que proteger las API frente a amenazas emergentes supone un reto constante y que vosotros, nuestros clientes, necesitáis protección frente a una amplia variedad de amenazas en constante evolución.
Con esta última versión, hemos reforzado muchas de nuestras capacidades de detección existentes e incorporado algunas novedades para mejorar la protección frente a las amenazas críticas del OWASP API Top 10, lo que proporciona a las organizaciones información más detallada sobre los intentos de ataque o explotación y la actividad sospechosa de las API en producción.
Estas son, a grandes rasgos, las nuevas capacidades de detección:
- Detectar ataques de autorización de nivel de propiedad de objeto rota (BOPLA): La detección mejorada de exploits de BOPLA ayuda a identificar el uso indebido de parámetros en las solicitudes de API. Al detectar estas anomalías, las organizaciones pueden prevenir mejor los ataques que explotan vulnerabilidades de BOPLA y que pueden provocar filtraciones de datos e intentos de escalada de privilegios.
- Extracción automática de JWT: Al identificar y extraer los JWT de las solicitudes de API, mejoramos la identificación y el seguimiento de usuarios y clientes. Esto es fundamental para detectar fallos de autorización a nivel de objeto (BOLA), además de mejorar la precisión y la trazabilidad de los ataques para obtener información de seguridad a largo plazo.
- Mejoras en la detección de fallos de autenticación: La nueva versión señala los casos de acceso no autenticado a endpoints que requieren autenticación, lo que garantiza que las vulnerabilidades críticas en la lógica de autenticación sean visibles de inmediato. Esta información permite adoptar rápidamente medidas correctivas para reforzar la seguridad de los endpoints de la API.
- Detección de anomalías mejorada para ataques de autorización de nivel de función rota (BFLA): Nuestras capacidades ampliadas de detección de anomalías ayudan a identificar posibles vulnerabilidades BFLA dirigidas a endpoints administrativos. Al verificar las «claims» adecuadas de los usuarios autenticados, las organizaciones obtienen pruebas en tiempo real de intentos de acceso no autorizados dirigidos a funciones administrativas sensibles.
Estas mejoras en la detección permiten a las organizaciones obtener visibilidad en tiempo real de intentos de ataque críticos, como BOLA, BOPLA, BFLA y las vulnerabilidades de autenticación rota. Al identificar las amenazas con precisión, las organizaciones pueden mantener una postura de seguridad sólida en ecosistemas de API complejos y prevenir ataques y vulnerabilidades de forma más proactiva. Gracias a estas capacidades, las organizaciones están mejor preparadas para proteger sus API y reducir los riesgos de seguridad asociados a ellas.
Integración de la seguridad en el ciclo de vida de las API
Gracias a las capacidades ampliadas de descubrimiento, pruebas y detección de API, esta versión pone de relieve el compromiso continuo de F5, a través de nuestra plataforma de entrega y seguridad de aplicaciones, de ayudar a las organizaciones a mejorar la seguridad durante todo el ciclo de vida de las API. Desde descubrir con mayor eficacia API ocultas u obsoletas en todo tipo de aplicaciones y arquitecturas, independientemente del método de despliegue, hasta mitigar vulnerabilidades en fases tempranas y detectar amenazas activas de forma más eficaz, mantenemos nuestro compromiso de ayudarle a conservar la visibilidad y el control en los ecosistemas de aplicaciones y API más complejos, distribuidos y diversos.
Para obtener más información, lea nuestro comunicado de prensa. Además, descubra hoy mismo el conjunto completo de funcionalidades de seguridad de API de F5 en nuestra página del producto y dé el siguiente paso para optimizar su estrategia de seguridad de API con F5.
Si eres cliente y te interesan las ofertas de acceso anticipado mencionadas aquí, no dudes en ponerte en contacto con tu equipo de cuentas local de F5 para obtener más información.
Sobre el autor
Artículos relacionados del blog
El imperativo empresarial de la IA en un mundo de nube híbrida y multinube
Cómo la IA redefine los patrones de tráfico, el riesgo de las API y el cumplimiento normativo, y por qué el paquete Distributed Cloud Services Enterprise ofrece la profundidad necesaria en entornos híbridos multicloud.
STIG de F5 NGINX: un plan de seguridad para el sector público y los entornos regulados
Descubra cómo las STIG de F5 NGINX proporcionan un modelo de seguridad para el Departamento de Defensa de EE. UU. y los entornos regulados, ayudándole a cumplir la normativa mientras crea una infraestructura sólida de confianza cero con mayor visibilidad y resiliencia.
Cómo el marco AEGIS de Forrester valida un enfoque centrado en la inferencia
El auge de la IA agéntica está transformando el panorama de la seguridad empresarial. Estos agentes de IA autodirigidos funcionan de forma autónoma, toman decisiones en tiempo real y pueden interactuar entre distintos sistemas de maneras para las que las arquitecturas tradicionales de ciberseguridad no fueron diseñadas. Aunque esto abre nuevas posibilidades, también introduce riesgos sistémicos: fallos en cascada, secuestro de objetivos y superficies de ataque hasta ahora invisibles. El reciente […] de Forrester
La nueva superficie de riesgo de la IA: invisible, autónoma y ya está dentro
James White, vicepresidente de Ingeniería de F5 A mediados de 2025, es un buen momento para hacer balance de la adopción de la IA en las empresas y del estado de la seguridad de la IA. El uso de la IA generativa ya es habitual en las empresas En general, las empresas cuentan al menos con unos conocimientos básicos sobre la IA generativa. Entienden qué es y dónde puede […]
Protegiendo el futuro: cómo CalypsoAI se alinea con el Top 10 de OWASP para los LLM
Cuando OWASP publicó su Top 10 de 2025 para grandes modelos de lenguaje (LLM), proporcionó al sector un referente de seguridad muy necesario. Pero los referentes no sirven de nada si no se actúa. CalypsoAI aborda el 80 % del Top 10 de OWASP, dando prioridad a los riesgos reales más urgentes. La plataforma combina protección en tiempo real durante la ejecución y pruebas adversariales exhaustivas, ofreciendo una cobertura inigualable frente a las […]
Implementación de LLM en la empresa: mediante una API local
Por sí solos, sin medidas de protección ni protocolos adicionales de seguridad para la IA, el despliegue de modelos de IA generativa —en particular, modelos de lenguaje de gran tamaño (LLM)— en toda la empresa supone una oportunidad de alto riesgo y grandes beneficios para cualquier organización. Sin embargo, determinar exactamente cómo debe dar su organización este gran paso hacia el ámbito de la IA generativa requiere una planificación minuciosa. Quizá […]