Comprender los desafíos y los posibles riesgos de las API

La proliferación de API en un tejido en constante expansión de puntos de conexión e integraciones hace que para los equipos de seguridad sea poco práctico identificar y proteger la lógica empresarial crítica utilizando métodos manuales. Las API están cada vez más distribuidas en infraestructuras heterogéneas, fuera del ámbito de los controles de seguridad centralizados. Además, dado que los equipos de desarrollo de aplicaciones se mueven rápidamente para innovar, las llamadas a las API pueden acabar ocultas en lo más profundo de la lógica empresarial, lo que dificulta su identificación.

Con esta velocidad, la seguridad suele quedar relegada. A veces simplemente se pasa por alto en el diseño de las propias API. Otras, sí se tiene en cuenta, pero las políticas se desconfiguran debido a la complejidad de mantener las implementaciones de aplicaciones que abarcan múltiples nubes y arquitecturas.

Dado que las API están diseñadas para el intercambio de datos entre equipos, muchas de ellas representan una ruta directa a los datos sensibles, a menudo sin los mismos controles de riesgo que la validación de entradas en los formularios web dirigidos al usuario. Sin embargo, estos puntos de conexión están sujetos a los mismos ataques que afectan a las aplicaciones web, es decir, exploits y abusos que conducen a la violación de la privacidad de los datos y al fraude.

Los puntos de conexión de las API no solo deben ser evaluados con los mismos controles de riesgo que las aplicaciones web, sino que se deben tener más cosas en cuenta para mitigar el riesgo involuntario de las API y las integraciones de terceros.

Las API están sujetas a los mismos ataques que las aplicaciones web

Los incidentes de seguridad de las API han sido la causa de algunas de las filtraciones de datos de mayor repercusión, ya que las API son susceptibles de sufrir muchos de los mismos ataques que tienen como objetivo las aplicaciones web, incluyendo los exploits de vulnerabilidades, el abuso de bots y la automatización maliciosa:

• Los ataques de inyección y cross-site scripting (XSS) pueden conducir a un acceso no autorizado a los datos.
• La denegación de servicio distribuida (DDoS) puede interrumpir los servicios críticos que generan ingresos.
• El relleno de credenciales y otros ataques automatizados pueden conducir a ciertos riesgos, a la violación de la privacidad de los datos y al fraude.

Las API introducen riesgos involuntarios en su diseño e implementación

Las aplicaciones han evolucionado hacia un modelo cada vez más distribuido y descentralizado en el que las API sirven de interconexión. Las aplicaciones móviles y las integraciones de terceros que aumentan el valor del negocio se han convertido en una apuesta para competir con éxito en un mundo en línea. La investigación de F5 Labs muestra que el número de incidentes de seguridad de las API crece cada año y, a pesar del uso generalizado de las API, las ramificaciones de la superficie de ataque de las arquitecturas que dan prioridad a las API todavía no se comprenden ampliamente.

El riesgo aumenta cuando las API se distribuyen ampliamente sin una estrategia de gobernanza holística. Este riesgo se ve agravado por un proceso continuo del ciclo de vida de las aplicaciones en el que estas y las API cambian constantemente con el tiempo.

La variedad de interfaces y la potencial exposición al riesgo significa que los equipos de seguridad deben proteger la puerta principal, así como todas las ventanas que representan los bloques de construcción de las aplicaciones modernas.

Solución de seguridad para las API

Los avances en el aprendizaje automático hacen posible descubrir dinámicamente los puntos de conexión de las API y mapear automáticamente sus interdependencias, proporcionando una forma práctica de analizar los patrones de comunicación de las API a lo largo del tiempo e identificar las API en la sombra o no documentadas que aumentan el riesgo.

Además, la supervisión y el análisis continuos de los puntos de conexión permiten construir líneas de base de seguridad de forma autónoma, lo que permite detectar y mitigar en tiempo real las amenazas y los comportamientos anómalos sin necesidad de supervisión manual.

Esta protección continua y automatizada da lugar a políticas altamente calibradas que pueden aplicarse de forma coherente en todas las arquitecturas para todas las API, lo que mitiga los exploits, disuade a los bots y los abusos que conducen al fraude, y aplica el esquema y el control de acceso.

Las empresas necesitan modernizar sus aplicaciones heredadas y, al mismo tiempo, desarrollar nuevas experiencias de usuario aprovechando las arquitecturas modernas y las integraciones de terceros. Una estrategia de gobernanza holística que proteja las API desde el núcleo hasta la nube y el borde apoya la transformación digital al tiempo que reduce los riesgos conocidos y desconocidos.

Paradigmas flexibles de seguridad de las API

La seguridad de F5 se ejecuta en el factor de forma que mejor se adapte a sus arquitecturas de aplicaciones y a sus requisitos de control operativo: desde soluciones autogestionadas que proporcionan un control detallado en el centro de datos y en la nube privada/pública, hasta una plataforma en la nube como servicio que reduce la complejidad con una seguridad integrada y fácil de operar, pasando por servicios gestionados que amplían sus equipos de seguridad y contra el fraude con una supervisión SOC ininterrumpida.

Entre las consideraciones clave para desplegar la seguridad de las API se encuentran:

1. Integración con los procesos de desarrollo existentes 
   Los equipos de seguridad pueden seguir el ritmo del ciclo de vida de las aplicaciones mediante la integración en los canales de CI/CD y a través del descubrimiento dinámico de API y la detección de anomalías que identifican las API en la sombra y mitigan los riesgos involuntarios.
2. Entornos multicloud e híbridos 
   Las soluciones de F5 agilizan la política con un modelo de seguridad positivo que evita los fallos de configuración e impulsa protecciones coherentes desde el núcleo hasta el borde utilizando definiciones OpenAPI, archivos Swagger y principios de confianza cero.
3. API para negocios altamente regulados 
   Las API que implican el intercambio de información sensible pueden requerir controles de seguridad adicionales para cumplir las regulaciones locales y/o los mandatos de la industria.
4. Cargas de trabajo de API en Kubernetes y Lambda 
   La tecnología de malla de servicios de F5 ayuda a los equipos de entrega de API a afrontar los retos de visibilidad y seguridad cuando los puntos de conexión de las API se implementan en un entorno de Kubernetes o a través de AWS Lambda.
5. Puerta de enlace API 
   La publicación, autenticación y autorización de las API pueden combinarse con sólidas protecciones de las funciones integradas de la puerta de enlace dentro de las arquitecturas de microservicios.