De acordo com um relatório de pesquisa recente do Google Cloud, metade das organizações entrevistadas sofreu um incidente de segurança de API nos últimos 12 meses.1 O aumento dos ataques de tomada de controle de contas por meio de APIs eleva o risco para os negócios — podendo resultar em perda de receita e da confiança dos clientes — e aumenta a pressão sobre as equipes de aplicações responsáveis pelos lançamentos de produtos, ao interromper os processos de entrega, implantação e manutenção.
Discuta questões urgentes de segurança de APIs para navegar melhor pelo cenário de ameaças
À medida que as organizações lidam com a realidade dos incidentes de segurança baseada em APIs, muitas buscam abordagens simples e práticas para se antecipar às ameaças sem comprometer seus fluxos de trabalho operacionais. Elas se perguntam: "Que medidas estamos tomando para analisar o tráfego de APIs, detectar bots e abusos e impedir acessos não autorizados que possam resultar em fraudes ou roubo de dados?"
Recentemente, vários desenvolvedores de aplicativos e especialistas em segurança se reuniram com a F5 e o Google Cloud para uma conversa sobre como impedir a ameaça de invasão de contas, que pode causar estragos por meio das inúmeras APIs de seus aplicativos.
Este webinar —Combata a ameaça de sequestro de contas – Participe da conversa sobre segurança de APIs— foi desenvolvido para ajudar as equipes de DevOps e InfoSec a unir forças para enfrentar com sucesso esses desafios de segurança de APIs. Os tópicos abordados incluíram:
- O cenário atual de ameaças direcionadas a APIs
- Por que as técnicas tradicionais de detecção de bots deixaram de ser eficazes
- Formas de mitigar possíveis danos à marca e à reputação
Se você não pôde participar da sessão ao vivo, não se preocupe: confira alguns dos destaques nesta publicação do blog e acesse também a gravação sob demanda.
Prepare-se, proteja-se e responda
Ao longo da conversa, nosso painel explicou como as APIs podem gerar riscos de segurança e o que as organizações podem fazer para evitar invasões de contas por meio de APIs. Os participantes enfatizaram que a superfície de ataque digital cresceu exponencialmente devido ao grande número de APIs atualmente em uso e que muitas organizações simplesmente não têm a visibilidade necessária para uma proteção eficaz. Para obter a visibilidade adequada, nossos especialistas recomendaram que as organizações respondessem às seguintes perguntas:
- Quais APIs existem em nosso ambiente?
- Quais recursos podem ser acessados por essas APIs?
- Quem utiliza as APIs?
- Quais vulnerabilidades específicas do negócio são expostas por essas APIs?
Para combater com eficácia as ameaças cibernéticas viabilizadas por APIs, as organizações precisam identificar as melhores formas de integrar suas equipes de DevOps, segurança da informação e negócios para implementar medidas de proteção antes que agentes mal-intencionados consigam assumir o controle das contas dos usuários. Um programa eficaz de segurança cibernética exige uma estratégia abrangente que inclua as ferramentas e informações certas, um plano multifuncional sólido, uma colaboração eficaz entre as equipes, a capacidade de avaliar e mensurar o progresso e a postura de segurança, além da confiança necessária para relatar com transparência à liderança e à organização como um todo o desempenho da estratégia.
Para aprimorar as defesas, nossos especialistas recomendam adicionar proteções durante o desenvolvimento e a entrega de aplicações e incorporar o monitoramento em tempo real após a entrega, permitindo que as equipes respondam rapidamente antes que algo grave aconteça. Essa abordagem abrangente e multicamadas permite capturar, de forma escalável, uma combinação de tráfego de rede multinuvem e dados de aplicações distribuídas e APIs, ao mesmo tempo que diferencia automaticamente comportamentos e atividades legítimos de maliciosos.
Em última análise, a segurança de APIs se resume a obter a melhor visibilidade possível e contar com inteligência de execução em tempo real para lidar adequadamente com cada cenário.
Escale e proteja o crescimento impulsionado por APIs
As discussões realizadas durante o webinar destacaram que muitos especialistas em DevOps e InfoSec já entendem a importância da segurança de APIs e reconhecem o valor de equilibrar uma experiência do cliente sem atritos com uma proteção avançada contra a invasão de contas automatizada e viabilizada por bots. No entanto, embora haja esse reconhecimento, muitos ainda têm dificuldade para encontrar maneiras eficazes e escaláveis de enfrentar esses desafios.
Para enfrentar essas dificuldades, o painel apresentou alguns casos de uso e estudos de caso que destacam as práticas recomendadas para se comunicar com as principais partes interessadas responsáveis por proteger o crescimento impulsionado por aplicativos que suas organizações esperam. Essas táticas incluem fazer perguntas estratégicas e direcionadas, como:
Desenvolvimento de aplicações: Como você protege atualmente as APIs contra ataques de tomada de controle de contas? Como você garante que as APIs não exponham dados de clientes nem gerem riscos de conformidade?
Operações de Segurança: Você tem visibilidade completa de quais contas podem estar vulneráveis? Você consegue monitorar o tráfego de APIs em busca de sinais de abuso ou comprometimento?
Operações de rede: Como você protege o tráfego de APIs em toda a sua infraestrutura de rede? Você se preocupa com bots ou scripts maliciosos que possam explorar indevidamente as APIs?
Gestão de negócios: A segurança das contas é fundamental para manter a confiança dos clientes e evitar perdas de receita decorrentes de transações fraudulentas. Quais métricas vocês estão monitorando em relação a violações de segurança?
Google e F5 dão vida à proteção de APIs em tempo real durante a execução
A maioria das ameaças baseadas em APIs agora é automatizada, adaptando-se rapidamente às mudanças dinâmicas no ambiente e evoluindo para se tornar ainda mais hábil em contornar proteções e evitar a detecção. Uma segurança de APIs eficaz depende da capacidade da organização de integrar proteções avançadas e automatizadas ao seu pipeline de integração contínua/entrega contínua (CI/CD), às operações, à infraestrutura e aos fluxos de trabalho, sem gerar atritos no processo de entrega nem na experiência do usuário.
O Google Cloud e a F5 têm as soluções e a experiência necessárias para ajudar as organizações a combater fraudes de tomada de controle de contas de forma unificada em todos os ambientes — data centers, nuvens e arquiteturas. As proteções de API em tempo real durante a execução facilitam a colaboração entre as equipes de DevOps e InfoSec para:
- Descobrir automaticamente os endpoints mapeados para aplicações
- Defina e aplique listas de permissões ou de bloqueios para conexões indesejadas
- Analise a telemetria da rede, dos dispositivos e do ambiente
- Detectar comportamentos anômalos em tempo real
Convidamos você a conhecer os desafios de segurança de APIs enfrentados por outras pessoas e as soluções que elas adotaram, acessando a gravação completa e sob demanda do webinar Combata a ameaça de invasão de contas – participe da conversa sobre segurança de APIs. Temos certeza de que você encontrará respostas para muitas de suas dúvidas sobre suas próprias medidas de proteção contra invasões de contas enquanto busca definir e implementar um programa de segurança de APIs mais eficaz.
Se você tiver outras dúvidas, teremos prazer em conversar novamente. Entre em contato com um dos especialistas em proteção de APIs da nossa equipe F5 Distributed Cloud e não deixe de experimentar o simulador do F5 Distributed Cloud Web App and API Protection (WAAP) aqui: https://simulator.f5.com/s/waap
Referência:
1 Google Cloud, Relatório de pesquisa sobre segurança de APIs de 2022: insights mais recentes e principais tendências, 2022
Sobre o autor
Publicações relacionadas no blog
Entrega e proteção de agentes de IA em fábricas de IA: F5 para a arquitetura de referência NVIDIA OpenShell para agentes de IA seguros
As soluções da F5 ampliam a Arquitetura de Referência NVIDIA OpenShell para agentes de IA seguros.
Como medir – e minimizar – o custo total de propriedade do seu Kubernetes
O Kubernetes pode ser baixado e executado gratuitamente, mas sua manutenção está longe de não ter custos. Assim como outras grandes plataformas de código aberto que são “gratuitas” apenas em um sentido simplista, o Kubernetes quase certamente exigirá investimentos para ser implantado e operado.
As-Code: a pilha de TI contínua
Infraestrutura, configuração, pipeline, operações. De repente, tudo é “como código”. Lori MacVittie busca esclarecer a terminologia e identificar os diferentes componentes de uma stack contínua de TI.
O estado da entrega de aplicações em 2017: automação, APIs e DevOps
Explore o relatório State of Application Delivery de 2017. Leia o blog retrospectivo da F5 sobre o início da ascensão das redes declarativas e dos pipelines de DevOps.
DevOps Summit: onde a rede foi convidada para a festa
No DevOps Summit NY, falou-se muito não apenas sobre DevOps, mas também sobre contêineres, IoT e microsserviços. As sessões se concentraram não só na mudança cultural necessária para crescer em escala com uma abordagem DevOps, mas também fizeram questão de incluir...
F5 e Nutanix convergem em infraestrutura no .NEXT
Aplicações empresariais como Microsoft SharePoint e Exchange, juntamente com a VDI, continuam sendo a espinha dorsal da sua empresa. A produtividade, embora não seja tão atraente quanto o lucro, é um fator essencial para o sucesso das operações empresariais atuais. Deixar de...