Tenho um segredo que vou compartilhar com você hoje. Dos cerca de seis cargos de diretor de segurança da informação (CISO) que ocupei nos últimos 20 anos, apenas um me contratou por causa de uma violação de segurança. Apenas um.
As outras cinco ocorreram devido à rotatividade ou porque o ocupante do cargo foi substituído após perder a confiança das principais partes interessadas. Metade das substituições ocorreu por perda de confiança, não por uma violação de segurança.
Por que os CISOs precisam entender seu ambiente de APIs
No âmbito da segurança de APIs, podemos resumir a necessidade de os CISOs compreenderem suas exposições de APIs em algumas afirmações categóricas.
Primeiro, você precisa conhecer quatro elementos para criar um modelo de ameaças para um determinado ambiente: seus ativos, agentes, interfaces e ações. Em outras palavras: “Quem está fazendo o quê, com o quê e por qual meio?”
Em segundo lugar, o “I” de API significa “interface”. As interfaces de programação de aplicações são amplamente utilizadas em diversas plataformas, linguagens e frameworks, e quase todo o desenvolvimento moderno de software prioriza as APIs. É certo que há APIs em seu ambiente.
Terceiro, se você, como CISO, não tiver um inventário das interfaces que expõem e disponibilizam seus dados confidenciais, seja internamente ou para seus aplicativos web e móveis, seu modelo de ameaças estará incompleto e terá pontos cegos nos quais serviços e dados ficam expostos.
Por fim, modelos de ameaças incompletos carecem de uma supervisão abrangente da segurança e da demonstração da devida diligência, duas áreas críticas cuja implementação deve ser assegurada por auditores e órgãos reguladores. É responsabilidade deles garantir que os ativos, agentes, interfaces e ações em um determinado ambiente sejam compreendidos e gerenciados.
Avaliando sua exposição a riscos de segurança de APIs
Aqui na F5, queremos que nossos clientes sejam sempre as pessoas mais bem informadas da sala. Por isso, criamos uma breve lista de perguntas que você pode usar para avaliar o estado atual do seu ecossistema de APIs. Ao responder a essas perguntas agora, você estará preparado caso elas sejam feitas futuramente durante uma avaliação em campo ou auditoria externa.
“Ao demonstrar que você está sempre a par da sua postura de segurança de APIs e trabalha para aprimorá-la, você preservará a confiança que tanto se esforçou para conquistar.”
Eu mesmo compartilhei essas perguntas com órgãos reguladores e auditores de diversas agências. Agora que a Comissão Federal de Comunicações dos EUA começou a aplicar multas e a firmar acordos de consentimento especificamente por problemas relacionados a APIs, e que a versão atual do Padrão de Segurança de Dados da Indústria de Cartões de Pagamento (PCI DSS) 4.0+ exige conformidade específica para APIs durante o desenvolvimento, nunca houve momento melhor para os profissionais de segurança terem essas respostas à mão.
Mesmo que você não consiga responder a todas essas perguntas, saber em que situação está e demonstrar uma postura proativa é extremamente importante para os CISOs. Ao mostrar que está empenhado em compreender e aprimorar sua postura de segurança de APIs, você preservará a confiança que tanto se esforçou para conquistar.
Aqui está a lista, do mais fácil ao mais difícil. Se você tiver dificuldade para avançar na lista tanto quanto gostaria, entre em contato com sua equipe de contas da F5. Estamos aqui para ajudar.
- Quem é responsável pela segurança de APIs em nossa empresa?
- Nossas APIs têm responsáveis designados?
- Quanto da nossa receita vem por meio de APIs?
- Quantas APIs temos?
- Quantas delas são usadas ativamente e quantas estão inativas?
- Quantas estão vulneráveis aos 10 problemas mais comuns de APIs?
- Nossos testes de penetração cobrem adequadamente as vulnerabilidades de APIs e os ataques à lógica de negócios em produção?
- Quais das nossas APIs transmitem ou recebem dados sujeitos a requisitos legais ou regulatórios?
- Estamos detectando tráfego malicioso? Em quais endpoints de API?
- Qual é o nosso risco geral de segurança de APIs? Ele melhorou ou piorou em relação ao mesmo período do ano passado?
- Algumas equipes de desenvolvimento geram mais problemas de API do que outras? Como elas são treinadas e recebem feedback sobre questões de segurança de APIs?
- Existe um processo de revisão das alterações no código e na API antes que elas entrem em produção?
- Quem recebe alertas sobre eventos de segurança detectados em nossas APIs?
- Qual é o tempo médio de resposta, em minutos, quando um ataque de falha de autorização em nível de objeto (BOLA) é detectado contra uma de nossas APIs de produção?
- E, por fim, voltando ao ponto mais básico no topo da lista: as pessoas que consideramos responsáveis pela segurança de APIs sabem e concordam que essa responsabilidade é delas?
Reforçando sua postura de segurança
Avaliar seu ambiente de APIs e a possível ameaça que elas representam é o primeiro passo para identificar pontos cegos e reforçar sua postura de segurança.
Junte-se à F5 esta semana no evento API World, em Santa Clara, Califórnia, para saber tudo sobre APIs. Na quinta-feira, às 13h (horário do Pacífico), participarei com dois de meus colegas de uma sessão aberta intitulada “Um mundo de IA é um mundo de APIs: protegendo os aplicativos mais modernos entre os modernos”. Essa mesma sessão será realizada virtualmente na quinta-feira, 14 de novembro, às 13h.
A F5 também realizará a sessão virtual “API CTF: aprenda os FUNdamentos da segurança de APIs” na terça-feira, 12 de novembro, às 9h.
Não vai participar do API World? Confira nossa demonstração de segurança de APIs.
Sobre o autor
Publicações relacionadas no blog
Entrega e proteção de agentes de IA em fábricas de IA: F5 para a arquitetura de referência NVIDIA OpenShell para agentes de IA seguros
As soluções da F5 ampliam a Arquitetura de Referência NVIDIA OpenShell para agentes de IA seguros.
Como medir – e minimizar – o custo total de propriedade do seu Kubernetes
O Kubernetes pode ser baixado e executado gratuitamente, mas sua manutenção está longe de não ter custos. Assim como outras grandes plataformas de código aberto que são “gratuitas” apenas em um sentido simplista, o Kubernetes quase certamente exigirá investimentos para ser implantado e operado.
As-Code: a pilha de TI contínua
Infraestrutura, configuração, pipeline, operações. De repente, tudo é “como código”. Lori MacVittie busca esclarecer a terminologia e identificar os diferentes componentes de uma stack contínua de TI.
O estado da entrega de aplicações em 2017: automação, APIs e DevOps
Explore o relatório State of Application Delivery de 2017. Leia o blog retrospectivo da F5 sobre o início da ascensão das redes declarativas e dos pipelines de DevOps.
DevOps Summit: onde a rede foi convidada para a festa
No DevOps Summit NY, falou-se muito não apenas sobre DevOps, mas também sobre contêineres, IoT e microsserviços. As sessões se concentraram não só na mudança cultural necessária para crescer em escala com uma abordagem DevOps, mas também fizeram questão de incluir...
F5 e Nutanix convergem em infraestrutura no .NEXT
Aplicações empresariais como Microsoft SharePoint e Exchange, juntamente com a VDI, continuam sendo a espinha dorsal da sua empresa. A produtividade, embora não seja tão atraente quanto o lucro, é um fator essencial para o sucesso das operações empresariais atuais. Deixar de...