A transformação de aplicações monolíticas em ecossistemas de microsserviços tornou as APIs um ponto de controle estratégico e crítico. Embora os firewalls de aplicações web (WAFs) sejam uma ferramenta essencial para proteger aplicações baseadas em HTTP, as APIs não contam com controles equivalentes que garantam conformidade, segurança e auditoria adequadas. À medida que o tráfego de APIs e de agentes não humanos supera o tráfego de aplicações web, os controles de segurança também precisam evoluir. Os líderes de segurança devem aproveitar as tendências emergentes como uma oportunidade para aprender mais sobre a proteção de APIs e como um meio de promover melhorias na segurança de APIs em suas próprias organizações.
A explosão das APIs está em toda parte – A proliferação de APIs continuará. Além disso, talvez não seja apenas a equipe de DevOps que esteja disponibilizando APIs. Outras áreas da organização, como a equipe de marketing, podem publicar suas próprias APIs ou até mesmo usar APIs de terceiros em suas iniciativas de marketing. Para a equipe de segurança, manter um inventário preciso das APIs em uso é um primeiro passo fundamental.
A colaboração é fundamental – As equipes de segurança precisam trabalhar em parceria com o DevOps para projetar e implementar controles adequados de segurança de APIs. O DevOps quer avançar rapidamente. As equipes de segurança precisam entender os fluxos de trabalho do DevOps e estabelecer controles de segurança que possam ser gerenciados de forma centralizada e automatizados nos processos de CI/CD.
A segurança dos gateways de API está defasada – Atualmente, os gateways de API geralmente se concentram em autenticação, versionamento e análise (para medição e faturamento). Embora esses controles de segurança sejam importantes, eles não oferecem proteção completa para as APIs. Uma segurança de API adequada precisa proteger contra ataques a serviços de autenticação, DoS na camada 7, exfiltração de dados, exploração de vulnerabilidades, injeções e anomalias.
Diretamente na mira, as APIs continuam vulneráveis
As APIs estão no centro das plataformas de negócios digitais atuais, atuando como pontos de controle essenciais. Normalmente, elas são projetadas para serem expostas externamente e acessadas por parceiros de negócios, clientes e microsserviços. Assim como as aplicações web, as APIs podem ser uma porta de entrada para dados confidenciais que precisam ser devidamente protegidos. Incidentes recentes relacionados a APIs em organizações como Venmo, Facebook e Salesforce podem servir de lição sobre a importância da segurança de APIs. A F5 Labs destaca outros incidentes relevantes envolvendo APIs aqui.
Como ocorre com muitos avanços tecnológicos, a segurança costuma ficar para trás. A segurança de APIs não é uma exceção a essa regra. Enquanto a economia impulsionada por APIs segue avançando, os profissionais de segurança podem se sentir sobrecarregados com o volume, o ritmo e a complexidade de lidar com a segurança de APIs.
A proliferação em massa de APIs continuará. À medida que os aplicativos se tornam o foco central das empresas, a proliferação de APIs continuará crescendo rapidamente. O diretório de APIs do Programmable Web registrou um rápido aumento no número de APIs publicadas em 2019 (centenas de novas APIs todos os meses). Esperamos que esse número continue crescendo, especialmente à medida que os setores da indústria promovem a interoperabilidade baseada em APIs. A PSD2 da UE (Diretiva de Serviços de Pagamento Revisada) é um bom exemplo.
A segurança deve acompanhar o ritmo do pipeline de CI/CD. Os gateways de API compatíveis com “versionamento” permitem que os provedores de API adicionem continuamente novas funcionalidades e recursos sem comprometer as integrações existentes dos clientes. Isso é excelente para CI/CD; no entanto, se a segurança tornar o processo mais lento, poderá afetar diretamente os negócios e anular os benefícios do desenvolvimento ágil. Para acompanhar o ritmo desses ambientes, os controles de segurança devem ser automatizados e integrados ao processo de lançamento, de modo que a equipe de segurança possa aplicar controles comuns de forma centralizada sem afetar os ciclos de lançamento.
A responsabilidade fragmentada pela segurança das APIs é um fator relevante. As APIs são usadas em toda a organização — em aplicativos móveis, microsserviços, na nuvem e em ambientes locais. Os recursos de visibilidade e inventário de APIs em toda a organização ainda estão em desenvolvimento, deixando algumas APIs fora do alcance da equipe de segurança. As lideranças e partes interessadas de diferentes áreas da organização devem ser orientadas sobre a aplicação de práticas e controles de segurança consistentes.
A segurança dos gateways de API ainda é imatura. Atualmente, muitos fornecedores oferecem gateways de API — empresas como MuleSoft, Google (Apigee), Kong, Istio e Oracle. Essas soluções fornecem os conjuntos de recursos necessários para gateways de API, como versionamento, roteamento, análise/medição e autenticação. Cada uma delas tem seus próprios pontos fortes e diferenciais; no entanto, controles de segurança abrangentes contra violações de acesso, injeções, ataques de negação de serviço (DoS) e explorações de vulnerabilidades precisam ser implementados em conjunto com outros serviços de gateway de segurança.
_____
Agora que o cenário está definido, fique de olho no blog da próxima semana (link adicionado aqui) em que vamos nos aprofundar no que você pode fazer para enfrentar os desafios descritos acima…
Sobre o autor
Publicações relacionadas no blog
Entrega e proteção de agentes de IA em fábricas de IA: F5 para a arquitetura de referência NVIDIA OpenShell para agentes de IA seguros
As soluções da F5 ampliam a Arquitetura de Referência NVIDIA OpenShell para agentes de IA seguros.
Como medir – e minimizar – o custo total de propriedade do seu Kubernetes
O Kubernetes pode ser baixado e executado gratuitamente, mas sua manutenção está longe de não ter custos. Assim como outras grandes plataformas de código aberto que são “gratuitas” apenas em um sentido simplista, o Kubernetes quase certamente exigirá investimentos para ser implantado e operado.
As-Code: a pilha de TI contínua
Infraestrutura, configuração, pipeline, operações. De repente, tudo é “como código”. Lori MacVittie busca esclarecer a terminologia e identificar os diferentes componentes de uma stack contínua de TI.
O estado da entrega de aplicações em 2017: automação, APIs e DevOps
Explore o relatório State of Application Delivery de 2017. Leia o blog retrospectivo da F5 sobre o início da ascensão das redes declarativas e dos pipelines de DevOps.
DevOps Summit: onde a rede foi convidada para a festa
No DevOps Summit NY, falou-se muito não apenas sobre DevOps, mas também sobre contêineres, IoT e microsserviços. As sessões se concentraram não só na mudança cultural necessária para crescer em escala com uma abordagem DevOps, mas também fizeram questão de incluir...
F5 e Nutanix convergem em infraestrutura no .NEXT
Aplicações empresariais como Microsoft SharePoint e Exchange, juntamente com a VDI, continuam sendo a espinha dorsal da sua empresa. A produtividade, embora não seja tão atraente quanto o lucro, é um fator essencial para o sucesso das operações empresariais atuais. Deixar de...