Checklist de segurança de APIs: melhores práticas, testes e NIST

F5 Newsroom Staff

APIs, ou interfaces de programação de aplicações, são um conjunto de protocolos, rotinas e ferramentas que permitem que diferentes aplicações, sistemas de software ou componentes se comuniquem entre si. As APIs desempenham um papel cada vez mais essencial nas infraestruturas digitais modernas, pois funcionam como o tecido conectivo que interliga aplicações, serviços, sistemas e dados em plataformas distribuídas.

As APIs são tão fundamentais para os ambientes digitais atuais que as organizações estão adotando cada vez mais uma abordagem API-first, na qual o desenvolvimento de aplicações começa pela API. Isso contrasta com a abordagem tradicional “code-first”, em que o código monolítico tem prioridade e o design da API só é considerado posteriormente, quando chega a ser considerado.

Não há dúvida de que as APIs estão se proliferando. Atualmente, uma organização gerencia, em média, mais de 400 APIs em sua infraestrutura digital, enquanto 68% das organizações usam APIs para gerenciar a entrega e a segurança de aplicativos. A maioria das organizações também reconhece que a proliferação descontrolada de APIs representa um risco: 58% das organizações consideram essa proliferação um problema significativo. Isso ocorre porque a presença generalizada das APIs amplia a superfície de ataque de uma organização e introduz ameaças imprevistas devido às interdependências entre elas em arquiteturas multinuvem.

As APIs estão sujeitas à exploração de vulnerabilidades, ao abuso por ameaças automatizadas, à negação de serviço, a configurações incorretas e a ataques que contornam os controles de autenticação e autorização. Medidas robustas de segurança de APIs são essenciais, pois as APIs expõem lógicas de negócios críticas e informações confidenciais e devem proteger dados de usuários, credenciais de autenticação e transações financeiras contra acesso não autorizado, manipulação ou exposição, além de garantir a integridade e a disponibilidade das APIs.

Esta publicação apresenta uma visão geral rápida das principais ameaças à segurança das APIs, além de uma lista de verificação que descreve estratégias essenciais e práticas recomendadas de segurança de APIs para protegê-las em ambientes multicloud, incluindo controles de acesso, validação de entradas e gerenciamento de saídas, testes e monitoramento de APIs. A publicação também recomenda os principais padrões de segurança de APIs a serem seguidos e sugere ferramentas de segurança para proteger suas valiosas APIs.

1. Controle de acesso, autenticação e autorização

Controle de acesso é o processo estruturado de determinar e aplicar quais usuários recebem privilégios para acessar recursos específicos. Esse processo inclui tanto a autenticação quanto a autorização. A autenticação é o processo de verificar a identidade de um usuário, enquanto a autorização determina o nível de acesso que o usuário autenticado pode ter.

A seguir estão as principais recomendações para uma lista de verificação de controle de acesso a fim de melhorar a segurança da API:

• Não use autenticação básica para controle de acesso. A autenticação básica geralmente consiste em credenciais simples de nome de usuário e senha, que podem ser facilmente comprometidas por um invasor determinado. Em vez disso, use métodos de controle de acesso mais robustos, como OAuth ou JSON Web Tokens (JWTs).
• Siga as práticas recomendadas para tokens de API. Os tokens de API são frequentemente usados para conceder acesso a endpoints e serviços de API, e seu manuseio inadequado pode expor sistemas confidenciais a acessos não autorizados ou uso indevido. Limite o escopo e as permissões dos tokens, sempre defina datas de expiração para os tokens de acesso e armazene e transmita os tokens com segurança.
• Verifique se há falhas de autenticação e autorização. Identifique e corrija vulnerabilidades de segurança comuns relacionadas à forma como os usuários são autenticados e ao que eles têm permissão para acessar. Essas ameaças incluem falhas de autenticação, que ocorrem quando invasores conseguem se passar por usuários legítimos ao comprometer senhas, chaves, tokens de sessão ou informações de contas de usuário. A falha de autorização no nível de propriedade do objeto (BOLA) ocorre quando uma aplicação não aplica corretamente os controles de acesso no nível do objeto ou dos dados, permitindo que um invasor manipule ou contorne as verificações de autorização e obtenha acesso não autorizado a objetos ou dados específicos dentro de uma aplicação. A falha de autorização no nível da função ocorre quando uma API não aplica corretamente as verificações de autorização no nível da função ou operação, permitindo que invasores acessem funcionalidades não autorizadas ou manipulem funções legítimas.
• Proteja os repositórios de identidades. Proteja os sistemas que armazenam dados confidenciais relacionados a identidades, como chaves de API, logs de autenticação e credenciais de usuários. Isso envolve criptografar dados em repouso, restringir o acesso e usar controles de acesso robustos. Ao proteger os repositórios de identidades, as organizações reduzem o risco de invasores obterem acesso não autorizado a informações críticas de autenticação e autorização.
• Use um gateway de API. Gerencie o controle de acesso de todas as APIs em um único local centralizado. Isso facilita a aplicação de políticas consistentes, como autenticação, limites de taxa e regras de autorização. Ao aplicar esses controles por meio do gateway, as organizações reduzem o risco de configurações incorretas e garantem uma proteção uniforme para todas as APIs.
• Use criptografia em todos os dados confidenciais. A criptografia protege contra acessos não autorizados os dados que trafegam por APIs, tanto em trânsito quanto em repouso. Mesmo que invasores interceptem o tráfego de rede ou obtenham acesso a sistemas de armazenamento, os dados criptografados permanecerão ilegíveis sem as chaves de descriptografia adequadas. Isso ajuda a garantir a confidencialidade e a integridade dos dados, além de contribuir para a conformidade regulatória.
• Implemente a limitação de taxa. Controlar a frequência com que um cliente pode fazer solicitações de API em um determinado período ajuda a prevenir ataques distribuídos de negação de serviço (DDoS), impedindo que invasores sobrecarreguem uma API com tráfego, e ataques de preenchimento de credenciais, reduzindo a velocidade ou bloqueando tentativas repetidas de login.

2. Entrada e saída

A validação das entradas da API impede que hackers enviem solicitações maliciosas, enquanto o gerenciamento das saídas protege contra a perda de dados, garantindo que a API não exponha informações confidenciais.

A seguir, apresentamos as principais recomendações para uma lista de verificação de entrada e saída visando aprimorar a segurança da API:

• Valide a entrada do usuário quanto ao cabeçalho Content-Type e ao formato dos dados. O cabeçalho Content-Type informa à API que tipo de dado está sendo enviado, e validá-lo garante que a API processe apenas os formatos esperados e compatíveis. A verificação do formato dos dados garante que a estrutura da carga útil corresponda ao que a API espera ou ao que foi definido. Essas validações podem evitar ataques de injeção ao rejeitar entradas inesperadas ou malformadas.
• Imponha o método HTTP adequado para cada tipo de solicitação à API. A aplicação rigorosa dos métodos garante que a API se comporte de maneira previsível e a protege contra uso indevido ou escalonamento de privilégios. Por exemplo, GET deve apenas recuperar dados, sem alterá-los; POST é usado para solicitações de criação; PUT/PATCH deve ser usado para solicitações de substituição/atualização; e DELETE, para solicitações de exclusão. Se esses métodos HTTP não forem aplicados rigorosamente, usuários mal-intencionados poderão explorar a API usando um método não autorizado — como enviar uma solicitação POST ou PUT a um endpoint GET — para modificar dados que deveriam apenas poder visualizar.
• Teste entradas maliciosas e configuradas incorretamente. Testar vulnerabilidades de injeção e configurações incorretas envolve verificar ativamente a API para garantir que ela processe e higienize adequadamente as entradas dos usuários a fim de evitar ataques. Injeções de SQL ocorrem quando um invasor envia uma entrada especialmente elaborada que manipula a consulta ao banco de dados, podendo expor, alterar ou excluir dados, enquanto configurações de entrada incorretas podem permitir que invasores contornem controles ou acessem dados confidenciais.
• Garanta que as APIs nunca retornem dados confidenciais. Configure a API para evitar a exposição de informações confidenciais ou críticas para a segurança em suas respostas. Credenciais e senhas nunca devem aparecer nas respostas da API, nem mesmo em mensagens de erro, pois podem ser interceptadas ou usadas indevidamente. Tokens de acesso, tokens de atualização ou IDs de sessão devem ser protegidos e retornados somente em contextos controlados e seguros. Cabeçalhos de identificação podem revelar informações sobre o servidor ou a pilha da aplicação, o que pode ajudar invasores a criar exploits direcionados.
• Garanta que as APIs retornem um código de status adequado após a conclusão da solicitação. A API deve comunicar com precisão o resultado de uma solicitação usando códigos de status padrão, o que ajuda a garantir clareza, consistência e um comportamento seguro. Esses códigos de status incluem 200 OK, 400 Bad Request, 401 Unauthorized e 405 Method Not Allowed, entre outros.
• Garanta que as APIs retornem mensagens de erro genéricas. Mensagens de erro detalhadas podem revelar o funcionamento interno da API, como a estrutura do banco de dados, a configuração do servidor ou a lógica de autenticação. Invasores podem usar essas informações para criar ataques direcionados, como injeção de SQL, escalonamento de privilégios ou ataques de força bruta contra credenciais.

3. Testes de segurança de APIs

Os testes de segurança de APIs devem ser contínuos — e não realizados apenas na implantação inicial —, pois as APIs são dinâmicas e frequentemente passam por atualizações ou recebem novos recursos. Além disso, o cenário de ameaças também evolui, com invasores desenvolvendo novas técnicas constantemente.

Veja a seguir as principais recomendações para uma lista de verificação de testes de segurança de APIs:

• Realize testes funcionais. Certifique-se de que as principais funções da API operem conforme o esperado e permaneçam estáveis após a introdução de novos recursos ou a aplicação de correções.
• Teste o desempenho. Realize testes de carga na API para entender seus limites de desempenho e determinar quanto tempo ela levará para se recuperar após um incidente.
• Realize varreduras de vulnerabilidades e testes de penetração. Use um scanner automatizado de APIs para testar o código-fonte e procurar erros de execução, além de realizar testes de penetração periódicos para identificar vulnerabilidades da API a ataques mais sofisticados, novos ou inéditos.

4. Monitoramento

O monitoramento de APIs é fundamental porque ajuda a detectar ameaças em tempo real e estabelece uma linha de base da atividade considerada “normal”, necessária para identificar anomalias. O monitoramento contínuo permite que as equipes de segurança identifiquem rapidamente padrões incomuns, como picos de tráfego, tentativas repetidas de login sem sucesso ou uso anormal de endpoints — frequentemente sinais de ataques.

Uma lista de verificação para monitoramento de APIs deve incluir o seguinte:

• Use uma ferramenta de descoberta de APIs para monitorar continuamente e documentar novas APIs. Não é possível proteger aquilo que você não sabe que existe. Os desenvolvedores podem implantar ou testar APIs sem aprovação formal, criando endpoints não rastreados ou não documentados (“APIs ocultas”), que podem passar despercebidos pelas equipes de segurança e se tornar alvos fáceis para invasores. A descoberta contínua garante que todas as APIs expostas sejam inventariadas, avaliadas, protegidas e administradas adequadamente.
• Mantenha um catálogo centralizado de todas as APIs. Manter uma visão única e organizada de todo o ecossistema de APIs simplifica o monitoramento, proporcionando maior visibilidade, uma gestão mais eficiente e uma resposta mais rápida a incidentes.
• Registre e analise o tráfego das APIs. Identifique picos inesperados no volume de solicitações, que podem indicar um ataque DDoS, e monitore solicitações provenientes de regiões geográficas inesperadas, que não são comuns entre usuários legítimos e podem sinalizar tentativas de acesso não autorizado. Um aumento repentino nas solicitações com falha pode indicar atividades de preenchimento de credenciais ou clientes configurados incorretamente que acessam repetidamente a API com dados de entrada inválidos.

5. Padrões de segurança de APIs: OWASP e NIST

O Projeto Aberto de Segurança de Aplicações Web (OWASP) e o Instituto Nacional de Padrões e Tecnologia (NIST) publicam práticas recomendadas de segurança cibernética.

• A OWASP se concentra especificamente na segurança de aplicações e publica listas dos riscos mais comuns para aplicações web e grandes modelos de linguagem. O OWASP Top 10 API Security Risks é um guia prático para o desenvolvimento seguro de APIs e a realização de testes de segurança.
• O NIST tem um foco amplo em segurança cibernética e publica o NIST Cybersecurity Framework (CSF). O NIST CSF é útil para alinhar a segurança das suas APIs a estratégias mais abrangentes, organizadas em torno de seis pilares: identificar, proteger, detectar, responder, recuperar e governar.

6. Ferramentas de segurança de APIs

Devido à adoção do desenvolvimento de aplicações com foco prioritário em APIs e à proliferação das APIs, uma solução abrangente de proteção de aplicações web e APIs (WAAP) é a defesa mais robusta para ecossistemas de APIs. Uma WAAP oferece segurança integral e reúne, em uma única solução, um firewall de aplicações web (WAF), serviços de descoberta e proteção de APIs, mitigação de ataques DDoS e gerenciamento de bots.

Os principais benefícios do WAAP incluem:

• Observabilidade aprimorada. A visibilidade abrangente do tráfego de aplicações web e APIs por meio de logs, métricas e análises em tempo real permite que as equipes de segurança identifiquem anomalias, solucionem problemas com mais rapidez e obtenham insights práticos sobre a atividade dos usuários e os padrões de ameaças emergentes.
• Proteção integrada e abrangente. A WAAP combina recursos robustos de descoberta e visibilidade de APIs com funcionalidades essenciais de aplicação de políticas para controlar e bloquear ameaças a APIs, incluindo controles específicos para listas de permissões e bloqueios, limitação de taxa, filtragem por localização geográfica do IP e criação de regras personalizadas. Além disso, a WAAP inclui proteção contra ataques de negação de serviço (DoS) na camada 7, prevenção contra perda de dados (DLP) para detectar e mascarar dados confidenciais, gerenciamento de bots e WAF — tudo em uma única solução. Essa abordagem holística garante que as APIs sejam visíveis e estejam protegidas, permitindo uma governança adequada e um desempenho confiável das APIs.
• Gerenciamento centralizado de políticas. A WAAP gerencia as políticas de segurança de todas as aplicações web e APIs a partir de um único ponto de controle, independentemente de onde as aplicações estejam hospedadas ou de como seja sua arquitetura subjacente. Essa abordagem centralizada garante a aplicação consistente das políticas, minimiza erros de configuração e simplifica as operações de segurança em diversos ambientes.
• Gerenciamento e manutenção simplificados de políticas. Ao automatizar e otimizar a implementação e as atualizações de políticas em aplicações e APIs, as soluções de WAAP facilitam a aplicação, o aprimoramento e a adaptação das políticas, conforme apropriado, em todas as aplicações e APIs, para combater ameaças em constante evolução e acompanhar mudanças no comportamento das aplicações. Isso reduz o trabalho manual, acelera as respostas a novas explorações de vulnerabilidades e garante uma aplicação uniforme das políticas em todos os sistemas.
• Trilhas de auditoria claras. Logs detalhados e trilhas de auditoria de acessos, alterações de políticas e eventos de segurança são essenciais para demonstrar a conformidade com normas regulatórias e do setor em todos os vetores de ameaças e componentes de uma aplicação, incluindo APIs, infraestrutura e dados.

Segurança de APIs da F5

A F5 oferece segurança de APIs como parte de suas soluções de proteção de aplicações web e APIs (WAAP), que protegem APIs em ambientes de infraestrutura híbrida e multinuvem complexos, reduzindo a complexidade e aumentando a eficiência operacional. As soluções WAAP da F5 oferecem uma abordagem abrangente para proteger as APIs durante todo o seu ciclo de vida, desde as fases de desenvolvimento e teste até o lançamento, a operação e o monitoramento.

As soluções de WAAP da F5 reduzem os riscos e aumentam a resiliência digital ao proteger continuamente a lógica de negócios essencial que sustenta aplicações web e APIs. Elas oferecem visibilidade universal das APIs por meio da descoberta dinâmica, do monitoramento contínuo e da detecção de ameaças, além de proteger os endpoints de API com mecanismos essenciais de controle e aplicação de políticas. As soluções de WAAP da F5 podem ser implantadas em qualquer ambiente, inclusive localmente, na nuvem ou como serviço.

Sobre o autor

F5 Newsroom Staff

Mais publicações de F5 Newsroom Staff