Las principales señales de alarma en la seguridad de las API

No sabes dónde están todas tus API

• La proliferación de API está sorprendentemente extendida. Según la Guía de evaluación de soluciones de seguridad de API de Datos, el número de API en uso superará los 2.000 millones en 2030, y las organizaciones ya utilizan una media de más de 20.000 API.
• Los endpoints de las API plantean un desafío particular. Según el Informe sobre el estado de la estrategia de aplicaciones de 2024 de F5, «una API concreta puede tener decenas o cientos de endpoints». Para complicar aún más las cosas, es posible que una organización no tenga un control total sobre todas las API que interactúan con sus sistemas.
• El informe de Postman de 2023 sobre el estado de las API identificó los siguientes obstáculos para el consumo de API:
  • Falta de documentación (52 %)
  • Dificultad para descubrir API (32 %)

Existe ambigüedad en la superficie de ataque de su organización

• La Guía de evaluación de soluciones de seguridad de API de Datos explica el problema fundamental: «El inventario de la superficie de ataque de las API es esencial para protegerlas. Los CISO no pueden proteger aquello que desconocen. Es necesario detectar las API en la sombra, huérfanas, desactualizadas y obsoletas».
• Las API son fundamentales para cualquier empresa moderna. Como señala Venture Beat, «las API representan el 91 % de todo el tráfico web y se ajustan a la tendencia hacia las arquitecturas de microservicios y a la necesidad de responder de forma dinámica a unas condiciones de mercado que cambian rápidamente».
• Y, dado que desempeñan un papel fundamental, las API son un objetivo habitual para los ciberdelincuentes. El 90 % de los ciberataques basados en la web tienen como objetivo los endpoints de las API, y el número de registros comprometidos en ataques originados en API ha superado los 1.000 millones.

Tu conjunto de herramientas de seguridad es demasiado complejo

• Las aplicaciones y las API actuales se implementan en un entorno híbrido y multinube. Según el Informe sobre el estado de la estrategia de aplicaciones de 2024, casi el 90 % de las organizaciones utilizan modelos de implementación híbridos, que incluyen SaaS, nube pública/IaaS, infraestructura local (tradicional), infraestructura local (nube privada), coubicación y edge.
• Según el mismo informe, el número de organizaciones que operan con seis modelos diferentes aumentó casi un 20 % entre 2023 y 2024.
• El 66 % de las grandes empresas (con más de 10.000 empleados) suele utilizar entre 60 y 80 herramientas de seguridad—en parte, debido a las herramientas específicas necesarias para abordar necesidades concretas en múltiples entornos de nube.

Mantener su postura de seguridad requiere demasiadas tareas manuales

• Con tantas API y endpoints, las actualizaciones manuales de seguridad no son sostenibles. Automatizar la protección de las API puede reducir drásticamente la necesidad de realizar actualizaciones manuales, como demuestra este caso práctico de McGraw Hill, que documenta sus esfuerzos por reducir la complejidad de gestionar 18 millones de solicitudes de API al mes.
• Estado de la estrategia de aplicaciones Los encuestados afirman que la aplicación manual de parches y actualizaciones no es lo bastante rápida para responder a ataques de día cero, y muchos responsables de la toma de decisiones señalan que el elevado coste de los ataques exitosos hace imprescindible automatizar la seguridad de las aplicaciones y las API. Por ello, la automatización de aplicaciones y API aumentó del 33 % al 43 % durante el último año. El número de CVE publicadas está creciendo rápidamente, y los investigadores de F5 Labs prevén que se publiquen 500 CVE nuevas en una semana típica de 2025.
• La creciente adopción de la IA generativa también tiene implicaciones para la seguridad de las aplicaciones y las API; el principal caso de uso de la IA generativa en el ámbito de la seguridad consiste en ajustar automáticamente las políticas de seguridad y generar configuraciones de seguridad en función de las amenazas detectadas.

Te preocupa proteger las aplicaciones de IA

• La protección de la IA generativa parte de una base sólida de seguridad de las aplicaciones y las API. Así lo resume Mete Atamel, promotor de tecnologías en la nube de Google: «Independientemente de cómo utilices la IA generativa, al final estás llamando a un endpoint, ya sea con un SDK, una biblioteca o mediante una API REST».
• Dos meses después del lanzamiento de la tienda de GPT de OpenAI, los usuarios ya han creado más de 3 millones de versiones personalizadas de ChatGPT, lo que demuestra la magnitud del reto de seguridad que supone proteger a los proveedores externos.
• IDC informa de que «el 66 % de los encuestados señala la IA generativa y, en términos más generales, las cargas de trabajo de IA públicas y privadas como uno de sus principales casos de uso». Asimismo, concluyó que «la mayoría de las aplicaciones empresariales basadas en IA presentan una implementación muy distribuida, que requiere entre decenas y cientos de interacciones con API. Estas deben atravesar un conjunto diverso de entornos de nube pública, nubes especializadas, infraestructuras locales y aplicaciones, con un alto nivel de disponibilidad y seguridad». Los investigadores de F5 también constataron que la mayoría de las organizaciones prevé desplegar aplicaciones de IA en entornos híbridos y multinube. Los encuestados en el estudio sobre el estado de la estrategia de aplicaciones indicaron que mantendrían aplicaciones de IA en la nube pública (80 %) y en sus propias instalaciones (54 %).