Os desenvolvedores de software estão implantando APIs em volumes cada vez maiores no atual ecossistema que prioriza a nuvem. De acordo com o Relatório sobre o Estado da Estratégia de Aplicações (SOAS) de 2024 da F5, mais de um terço das organizações já gerencia tantas APIs quanto aplicações, e algumas grandes empresas administram até 10.000 APIs.1 À medida que as organizações continuam modernizando seus portfólios de aplicações, estima-se que o número de APIs em uso ultrapasse um bilhão até 2031.2
Por que as APIs estão se proliferando tão rapidamente?
APIs se tornaram indispensáveis para aplicações modernas porque aumentam a eficiência e a interoperabilidade. As APIs também permitem que diferentes sistemas de software se comuniquem perfeitamente, possibilitando que as equipes integrem diversos serviços e otimizem processos.
A ascensão da IA impulsiona o crescimento das APIs, pois depende fortemente delas para funcionalidades como processamento de dados, aprendizado de máquina e automação. À medida que a adoção da IA continuar aumentando, a necessidade de APIs também crescerá.
No entanto, a rápida expansão traz consigo obstáculos significativos de segurança. O relatório SOAS da F5 revela que 95% das organizações usam gateways de API1; porém, essa prática, por si só, é insuficiente. Atualmente, a segurança de APIs enfrenta dois desafios principais: a descoberta e o shift left, que antecipa a inclusão da segurança no processo de desenvolvimento.
O estado da segurança de APIs e o que ainda falta
Atualmente, as medidas de proteção de APIs não acompanham o crescimento acelerado do uso dessas interfaces. Embora os gateways de API ofereçam certo nível de controle, eles não atendem à necessidade fundamental de descoberta de APIs e de estratégias abrangentes de segurança. A Gartner prevê que, até 2025, metade de todas as APIs não será gerenciada, o que representa sérios riscos.3 Essas APIs ocultas podem expor as organizações a acessos não autorizados, violações de dados e outras ameaças, pois operam fora da visibilidade e do controle das equipes de segurança. Elas contêm vulnerabilidades que invasores exploram para obter acesso não autorizado a dados confidenciais. A primeira etapa para enfrentar essa ameaça é descobrir as APIs ocultas no ambiente da organização.
Para descobrir APIs ocultas e gerenciar as complexidades relacionadas à multinuvem, as equipes podem começar examinando o espaço de domínios expostos com ferramentas desenvolvidas para a descoberta de APIs. Identificar todos os endpoints no domínio de uma empresa ajuda a mapear o cenário de APIs. No entanto, o desafio se intensifica em ambientes multinuvem, nos quais as APIs abrangem diversas plataformas com diferentes protocolos de segurança e requisitos de governança. Essa complexidade exige uma abordagem estratégica para o gerenciamento e a segurança de APIs.
Como os desenvolvedores adicionam novas APIs regularmente, eles podem implementar soluções como o gerenciamento de APIs do Apigee do Google Cloud e o F5 Distributed Cloud API Security, que oferecem descoberta e monitoramento contínuos, permitindo incorporar medidas de segurança desde o início do ciclo de desenvolvimento e aprimorar a governança de APIs.
Antecipando a segurança de APIs
Segundo o Gartner, até 2026, 40% das organizações selecionarão um provedor de WAAP com base em seus recursos avançados de proteção de APIs e segurança de aplicações web. Esse percentual era inferior a 15% em 2022.4
Embora essa seja uma notícia positiva, mais organizações podem integrar práticas de segurança aos seus pipelines de CI/CD adotando a abordagem shift left, garantindo que as APIs sejam seguras desde o início. Isso envolve uma documentação abrangente das APIs, verificações de segurança automatizadas e capacitação contínua para as equipes de desenvolvimento e segurança.
Reduzindo a tensão entre as equipes de desenvolvimento e segurança
Historicamente, tem havido tensão entre desenvolvedores focados em implantações rápidas e equipes de segurança que priorizam a proteção. Para aliviar essa tensão, é essencial promover uma cultura de responsabilidade compartilhada pela segurança. Incentivar a colaboração e a compreensão mútua pode ajudar a alinhar objetivos e otimizar processos.
Protegendo todo o ciclo de vida das APIs
Uma abordagem abrangente envolve monitoramento contínuo, atualizações regulares, detecção proativa de ameaças, implementação de mecanismos robustos de autenticação e autorização e adoção de ferramentas avançadas de segurança que utilizam IA para detectar e mitigar ameaças.
A F5 e o Google Cloud ajudam você a adotar a abordagem shift left
A primeira etapa para aprimorar a segurança de APIs é realizar um inventário completo de todas as APIs, identificar endpoints não gerenciados ou desatualizados e documentar suas funcionalidades e medidas de segurança. As organizações devem priorizar a proteção das APIs com base nos níveis de risco e no possível impacto. Soluções complementares, como F5 Distributed Cloud API Security e Apigee, ajudam a criar uma estrutura de segurança abrangente para proteger as APIs em todos os ambientes, proporcionando tranquilidade aos desenvolvedores em um mundo cada vez mais interconectado.
Portanto, embora o crescimento das APIs ofereça oportunidades para as organizações, as equipes precisam estar cientes dos riscos de segurança. As organizações podem gerenciar suas APIs com mais eficiência adotando a abordagem shift left, implementando a descoberta contínua e promovendo a colaboração entre as equipes de desenvolvimento e segurança.
Para saber mais sobre o que nossos especialistas da F5 e do Google Cloud estão dizendo sobre segurança de APIs, assista ao webinar sob demanda Shift Left: transforme a segurança das suas APIs com a F5 e o Google Cloud. Você também pode acessar a Google Cloud Platform (GCP) para conhecer nossa parceria em detalhes.
Fontes
1. F5, Relatório sobre o estado da estratégia de aplicações em 2024, 2024
2. F5, Expansão contínua de APIs, nov. de 2021
3. Gartner, Previsões para 2022: APIs exigem melhorias na segurança e no gerenciamento, dez. de 2021
4. Gartner, Guia de mercado para proteção de aplicações web e APIs na nuvem, nov. de 2023
Sobre o autor
Publicações relacionadas no blog
Entrega e proteção de agentes de IA em fábricas de IA: F5 para a arquitetura de referência NVIDIA OpenShell para agentes de IA seguros
As soluções da F5 ampliam a Arquitetura de Referência NVIDIA OpenShell para agentes de IA seguros.
Como medir – e minimizar – o custo total de propriedade do seu Kubernetes
O Kubernetes pode ser baixado e executado gratuitamente, mas sua manutenção está longe de não ter custos. Assim como outras grandes plataformas de código aberto que são “gratuitas” apenas em um sentido simplista, o Kubernetes quase certamente exigirá investimentos para ser implantado e operado.
As-Code: a pilha de TI contínua
Infraestrutura, configuração, pipeline, operações. De repente, tudo é “como código”. Lori MacVittie busca esclarecer a terminologia e identificar os diferentes componentes de uma stack contínua de TI.
O estado da entrega de aplicações em 2017: automação, APIs e DevOps
Explore o relatório State of Application Delivery de 2017. Leia o blog retrospectivo da F5 sobre o início da ascensão das redes declarativas e dos pipelines de DevOps.
DevOps Summit: onde a rede foi convidada para a festa
No DevOps Summit NY, falou-se muito não apenas sobre DevOps, mas também sobre contêineres, IoT e microsserviços. As sessões se concentraram não só na mudança cultural necessária para crescer em escala com uma abordagem DevOps, mas também fizeram questão de incluir...
F5 e Nutanix convergem em infraestrutura no .NEXT
Aplicações empresariais como Microsoft SharePoint e Exchange, juntamente com a VDI, continuam sendo a espinha dorsal da sua empresa. A produtividade, embora não seja tão atraente quanto o lucro, é um fator essencial para o sucesso das operações empresariais atuais. Deixar de...