Hora do quiz. Qual destes endpoints pertence a uma API e qual pertence a um aplicativo?
https://www.example.com/product
https://www.example.com/product
Se você está em dúvida e não consegue decidir, tudo bem. Essa é justamente a questão. Os endpoints de aplicativos e APIs são praticamente iguais. Isso acontece porque, em termos técnicos, se forem RESTful (e a maioria é), eles são acionados da mesma forma, via HTTPS e geralmente com o método GET. O que costuma ser diferente é o payload enviado com a solicitação. No caso das APIs, ele normalmente contém alguns dados no formato JSON ou XML, enquanto as solicitações de aplicativos web podem não conter absolutamente nada.
Ainda assim, uma das principais conclusões da nossa pesquisa anual indica que as organizações tratam as APIs de forma diferente das aplicações quando o assunto é segurança. Chegamos a essa conclusão com base na constatação de que 41% das organizações têm pelo menos a mesma quantidade ou mais de APIs que de aplicações e, ainda assim, atribuem menos valor aos mesmos serviços de segurança que as protegem.
Talvez você esteja se perguntando como as organizações acabam tendo mais APIs do que aplicativos. Que bom que perguntou! Embora as APIs usadas para comunicação interna entre serviços (como em microsserviços) estejam certamente muito vinculadas ao serviço ao qual dão suporte, isso não é necessariamente verdade quando as APIs são usadas para disponibilizar interfaces externas.
De onde vêm as APIs?
Considere que, em nossa pesquisa de 2021, 61% dos entrevistados disseram que estavam “adicionando uma camada de APIs para viabilizar interfaces de usuário modernas” como método de modernização. Em 2022, esse número foi de 45%. Isso significa que as APIs que viabilizam interfaces de usuário modernas não são necessariamente componentes diretamente vinculados às aplicações. Elas podem ser fachadas que facilitam interfaces de usuário e aplicações modernas, como aplicativos móveis e serviços digitais, ou podem ser fachadas projetadas para viabilizar a comunicação com parceiros e a cadeia de suprimentos. Esses casos de uso são atendidos por gateways de API e pelo roteamento de camada 7 em balanceadores de carga, que geralmente oferecem algum nível de capacidade de transformação, permitindo traduzir um endpoint de API em um endpoint de aplicação e, assim, viabilizar uma fachada de API semelhante às fachadas que fazem os antigos edifícios do oeste americano parecerem muito mais imponentes do que realmente são.
E, é claro, um bom número de APIs são entidades voltadas ao público, vinculadas a aplicativos e acessadas pela web (normalmente via HTTPS).
Independentemente de como chegaram lá, as APIs voltadas ao público estão sujeitas a muitos dos mesmos ataques que os aplicativos. Isso é especialmente verdadeiro quando há bots envolvidos, pois APIs com boa documentação simplesmente facilitam a criação de scripts para que invasores realizem ataques em larga escala.
Por exemplo, pouco mais de 13% das transações protegidas pelo F5 Distributed Cloud Bot Defense em 2023 foram automatizadas. Ou seja, um script ou software foi usado em vez de uma pessoa utilizando um navegador da web ou aplicativo móvel. Essas transações ocorrem tanto por meio de APIs quanto de aplicativos. Uma parte dessas transações automatizadas certamente foi realizada por “bots mal-intencionados”, que foram impedidos pela presença do nosso serviço de segurança de fazer o que quer que estivessem tentando fazer. (Você pode saber mais sobre o que eles estavam tentando fazer neste relatório da F5 Labs)
Assim, quando analisamos como os entrevistados percebem o gerenciamento de bots com base no número de APIs que eles próprios informaram, ficamos um tanto surpresos ao descobrir que o gerenciamento de bots ocupa uma posição bastante baixa na escala de importância.
Como você pode ver nestes interessantes gráficos de barras, embora a importância atribuída aos gateways de API pareça ser adequada ao número de APIs gerenciadas, o mesmo não acontece com o gerenciamento de bots. Na verdade, é exatamente o contrário! À medida que o número de APIs aumenta, a importância do gerenciamento de bots parece diminuir. Rapidamente.
É bem possível que a maioria dessas APIs seja interna. Ou seja, são APIs leste-oeste entre microsserviços que não ficam expostas a agentes externos, como bots mal-intencionados.
Mas, pensando bem, talvez sejam. Considerando a quantidade de artigos que li no último ano sobre invasores obtendo acesso por meio de APIs, arrisco dizer que há muito mais APIs externas do que imaginamos.
Portanto, é hora de lembrar que, embora existam vários bots incômodos por aí — bots Grinch, bots de tênis etc. — que prejudicam os negócios ao abocanhar produtos muito procurados, também há um número significativo de bots cujo único objetivo é detectar vulnerabilidades e explorá-las. Tanto em APIs quanto em aplicações.
Portanto, seria uma boa ideia que as organizações adotassem uma ampla gama de opções de segurança para proteger suas APIs e, em última análise, seus negócios. O gerenciamento de bots certamente é uma dessas opções de segurança e deve ser considerado um componente essencial de qualquer estratégia de segurança.
No fim das contas, os bots não se importam se esse endpoint pertence a um aplicativo ou a uma API. Eles atacarão ambos.
Isso significa que as organizações precisam proteger tanto os aplicativos quanto as APIs, detectando bots e impedindo que eles realizem qualquer ação maliciosa que estejam tentando executar.
Quer ver a proteção contra bots em ação? Confira esta demonstração.
Sobre o autor
Lori MacVittie é engenheira distinta e evangelista-chefe no Escritório do CTO da F5, com ampla experiência em entrega de aplicações, estratégia de automação e infraestrutura. Ela é conhecida por transformar complexidade em clareza, seja definindo diretrizes para agentes de IA, analisando arquiteturas multinuvem frágeis ou investigando os limites de sistemas escaláveis. Ela acumula mais de trinta anos de experiência no setor, abrangendo desenvolvimento de aplicações, arquitetura de TI e operações de redes e sistemas. Antes de ingressar na F5, atuou como editora de tecnologia e recebeu diversos prêmios. MacVittie tem mestrado em Ciência da Computação e é uma autora prolífica, com publicações que abrangem segurança, nuvem e arquitetura empresarial. Ela também é uma entusiasta de jogos de tabuleiro e videogames, além de ter opiniões assumidamente fortes sobre queijos.
Mais publicações de Lori Mac VittiePublicações relacionadas no blog
O estado da maturidade digital empresarial: a transformação digital ainda não terminou
Explore como a IA impacta as empresas, as aplicações da IA generativa, as estratégias para modernizar as operações de TI e os benefícios da maturidade digital com a F5.
Como a IA generativa acelera a transformação digital
Veja como a IA generativa impulsiona a transformação digital nas empresas, acelerando tendências como a integração de APIs, os desafios dos modelos operacionais de TI híbrida e a adoção de AIOps.
Seis capacidades técnicas para acelerar a transformação digital
As arquiteturas empresariais atuais carecem dos fatores necessários de agilidade, escalabilidade, segurança e observabilidade, essenciais para impulsionar a mudança tecnológica. No entanto, estas seis capacidades fundamentais ajudarão as empresas a gerenciar riscos e desafios ao longo de sua transformação digital.
Inverter a API é a transformação digital de que as empresas precisam para participar e competir em uma economia de APIs
As organizações detêm um valor latente — na forma de APIs internas — que precisam explorar para competir em uma economia de APIs. Embora os desafios técnicos e de segurança possam desestimular algumas delas, as empresas precisam reconhecer que inverter suas APIs permitirá liberar o valor da organização como plataforma.
A modernização da TI começa pela infraestrutura
O hardware e o software evoluíram rapidamente desde os primórdios da internet, mas, para aproveitar ao máximo os benefícios resultantes dessa evolução, as organizações precisam avaliar e modernizar sua infraestrutura e a entrega de aplicativos. Acelere os esforços de modernização com a nova F5 rSeries.