Es evidente que la seguridad de las aplicaciones y las API se ha especializado. Las API ya no son meros puntos de entrada a una aplicación basados en URI. Han evolucionado hasta convertirse en entidades independientes con sus propias necesidades de seguridad.
La mayoría de estas necesidades de seguridad están relacionadas con la naturaleza de las interacciones de las API. En concreto, las API deben autorizarse para cada transacción. Esto difiere notablemente de las aplicaciones, que suelen aplicar la autorización por sesión.
La frecuencia de interacción también es mayor en las API, al igual que otras características que plantean retos específicos para protegerlas.
Aplicación APIFormatos de mensaje compatibles HTML, JSON, XML ProtoBuf, JSON, GraphQL, binario, XML, formatos de datosInteracciones Estáticas, cambios poco frecuentes Dinámicas, cambios frecuentesDatos Estructurados, transaccionales No estructurados/estructurados, en streaming y transaccionalesUsuario Persona Software, personaAgente de usuario Navegadores, aplicaciones Software, dispositivo, scripts, aplicaciones, navegadoresAutenticación Basada en sesiones Basada en transacciones (más similar a ZT)Protocolos compatibles HTTP/S, QUIC gRPC, WebSockets, HTTP/S, QUIC
Una comparación entre las aplicaciones y las API pone de manifiesto diferencias que han provocado una divergencia en las necesidades de seguridad.
Dicho esto, existen riesgos de seguridad comunes tanto a las aplicaciones como a las API que deben tenerse en cuenta al implementar soluciones de seguridad. Por ejemplo, la lista actualizada recientemente de los 10 principales riesgos de seguridad de las API de 2023 muestra claramente un subconjunto de riesgos que también afectan a las aplicaciones:
- Controles de autenticación/autorización débiles
- Configuración incorrecta
- Abuso de la lógica de negocio (relleno de credenciales, apropiación de cuentas)
- Falsificación de solicitudes del lado del servidor (SSRF)
Además de estos riesgos, sigue habiendo un número considerable de ataques dirigidos contra la disponibilidad. Es decir, ataques DDoS que afectan tanto a las aplicaciones como a las API, ya que, por lo general, ambas comparten las mismas dependencias de TCP y HTTP, protocolos que están expuestos a diversos ataques diseñados para interrumpir el acceso y la disponibilidad.
Un enfoque para afrontar los retos que plantea la protección de las aplicaciones, las API y la infraestructura que las sustenta consiste en implementar varias soluciones: defensa contra bots y fraudes, protección frente a ataques DDoS, seguridad de las aplicaciones y seguridad de las API. Aunque esto permite abordar los retos de seguridad, también plantea dificultades operativas y aumenta la complejidad de muchas tareas relacionadas con la seguridad, como la gestión de cambios en las políticas y la respuesta ante amenazas que afectan tanto a las aplicaciones como a las API. La complejidad no solo es enemiga de la seguridad, sino también de la velocidad.
Según nuestro estudio anual, la rapidez con la que se puede reaccionar ante las amenazas emergentes es uno de los principales factores que impulsan la adopción de la seguridad como servicio. Cada solución que requiere un parche, una actualización o la implementación de una nueva política para mitigar una amenaza emergente añade tiempo y aumenta la posibilidad de que se produzca un error de configuración o de otro tipo. Por tanto, el tiempo necesario para mitigar una amenaza aumenta con la complejidad, especialmente si una organización opera en varios entornos (TI híbrida) y utiliza soluciones de seguridad específicas para cada uno de ellos. No voy a hacer los cálculos para determinar si se trata de un aumento lineal o exponencial porque, sinceramente, todo lo que aumente el tiempo de respuesta ante una amenaza inminente es negativo.
Por eso, un enfoque mejor consiste en combinar soluciones, compartiendo así la gestión operativa y de la seguridad de las funciones diseñadas para combatir amenazas, al tiempo que se permiten políticas de seguridad específicas para abordar los protocolos y las cargas útiles propios de las aplicaciones y las API.
Esto conduce a una estrategia integrada de seguridad de aplicaciones y API, en la que se comparten funciones comunes y se aplican una granularidad y una especificidad cada vez mayores cuanto más cerca se está de la aplicación o la API. Al fin y al cabo, los bots son bots, y su impacto en la calidad de los datos, el coste de la prestación y el perfil de riesgo de las aplicaciones y las API constituye una preocupación común. Un ataque DDoS es un ataque DDoS. Utilizar el doble de servicios para abordar el mismo problema resulta ineficiente desde cualquier punto de vista.
Una estrategia integrada de seguridad para aplicaciones y API tiene sentido desde el punto de vista operativo, financiero y arquitectónico.
Sobre el autor
Lori MacVittie es ingeniera distinguida y evangelista jefe en la Oficina del CTO de F5, y cuenta con una amplia experiencia en entrega de aplicaciones, estrategia de automatización e infraestructura. Es conocida por convertir la complejidad en claridad, ya sea definiendo mecanismos de protección para agentes de IA, analizando arquitecturas multinube frágiles o explorando los límites de los sistemas escalables. Aporta más de treinta años de experiencia en el sector en desarrollo de aplicaciones, arquitectura de TI y operaciones de redes y sistemas. Antes de incorporarse a F5, fue una galardonada editora de tecnología. MacVittie posee un máster en Informática y es una autora prolífica cuyas publicaciones abarcan la seguridad, la nube y la arquitectura empresarial. También es una apasionada de los juegos de mesa y los videojuegos, y expresa sin complejos sus firmes opiniones sobre el queso.
Más artículos de Lori Mac VittieArtículos relacionados del blog
Proteger los endpoints de las API dificulta la seguridad de las API
Descubre las complejidades de la seguridad de las API, los retos a los que se enfrentan las organizaciones, la evolución de los ataques contra endpoints de API y la necesidad de políticas de seguridad adaptadas.
¿Qué es el sesgo de la IA y por qué es importante para TI?
Descubre los fundamentos del aprendizaje de la IA. Aprende cómo pueden surgir sesgos en la IA y qué riesgos plantean para las TI y la transformación digital.
Redefiniendo la ciberseguridad en el extremo de la nube distribuida con IA y telemetría en tiempo real
La transformación digital y la adopción de tecnologías en la nube están provocando cambios en las arquitecturas de las aplicaciones. Estos cambios introducen nuevas superficies de ataque, que son el objetivo de métodos de ataque avanzados, altamente organizados y con motivaciones económicas. Mediante el uso del framework Morpheus de NVIDIA, F5 está investigando técnicas para detectar estas amenazas avanzadas con telemetría en tiempo real y análisis basados en IA.
El papel de la nube en las aplicaciones nativas del edge
No debería sorprender que, al igual que la aparición de la nube dio lugar a las aplicaciones nativas de la nube, el edge esté impulsando un conjunto de aplicaciones nativas del edge. Sin embargo, estas aplicaciones no residirán únicamente en el edge. Al mismo tiempo, están surgiendo nuevos patrones arquitectónicos que aprovechan las aplicaciones alojadas en la nube y en el centro de datos.
La creciente diversidad de ubicaciones y usuarios está impulsando a las empresas hacia el edge
En el contexto del ámbito de las aplicaciones, el término «usuario» siempre se ha referido a la entidad que interactúa con una aplicación. Del mismo modo que los cambios en las arquitecturas de las aplicaciones impulsan cambios en las tecnologías que permiten ofrecerlas y protegerlas, los cambios en la definición de usuario han provocado cambios en los lugares donde se despliegan las aplicaciones.
El edge está impulsando un renacimiento de las infraestructuras
A medida que las organizaciones aumentan la generación de datos y tratan de extraer valor empresarial de ellos, sin duda recurrirán a la analítica y la automatización basadas en la IA y el aprendizaje automático. Precisamente este tipo de cargas de trabajo son las que más se beneficiarían de una infraestructura optimizada y, sin embargo, hoy en día son las que menos probabilidades tienen de poder aprovecharla.