As APIs facilitam a integração de serviços, a conexão de dados e a realização de atualizações, por isso são tão predominantes nas aplicações modernas. À medida que as organizações continuam modernizando seus portfólios de aplicações, estima-se que o número de APIs em uso ultrapasse um bilhão até 2031.1Rastrear — e muito menos proteger — todas essas APIs é um desafio, fazendo com que as organizações tenham de lidar com diversas APIs “sombra” não gerenciadas em seus ambientes.
Infelizmente, os invasores perceberam que as APIs costumam ser alvos mais fáceis do que as aplicações, como demonstra o fato de que 90% dos ataques cibernéticos baseados na Web têm endpoints de API como alvo, segundo uma análise da F5.2APIs não gerenciadas representam um risco específico, pois não é possível proteger aquilo que não se pode ver. Muitas APIs também são desenvolvidas por equipes diferentes ou até mesmo por empresas distintas daquelas que desenvolvem as aplicações, o que limita a visibilidade sobre possíveis riscos.
Como navegar pelas APIs e pelo modelo de responsabilidade compartilhada
Gerenciar e proteger com eficiência grandes volumes de APIs exige uma solução em várias camadas. Para usuários da AWS, o Amazon API Gateway é um serviço totalmente gerenciado que permite aos desenvolvedores criar, publicar, manter, monitorar e proteger APIs em qualquer escala. O API Gateway oferece suporte a diversas integrações de backend, viabilizando cargas de trabalho em contêineres, sem servidor e tradicionais baseadas em instâncias.
No entanto, a segurança é uma responsabilidade compartilhada entre a AWS e seus clientes. Embora a AWS seja responsável por proteger a infraestrutura e os serviços, os clientes também devem proteger seus dados e aplicações.
A AWS recomenda os seguintes princípios de design de segurança.3
- Mitigue os efeitos de ataques de negação de serviço distribuída (DDoS)
- Implemente inspeção e proteção usando um firewall de aplicação web (WAF)
- Habilite a auditoria e a rastreabilidade com monitoramento quase em tempo real
- Automatize as práticas recomendadas de segurança
- Aplique segurança em todas as camadas para adotar uma abordagem de defesa em profundidade
Proteja APIs na AWS com a F5
Como parceira da AWS, a F5 oferece uma solução de segurança integrada ao Amazon API Gateway para proteger seus aplicativos e APIs. F5 BIG-IP Advanced WAF ou F5 Distributed Cloud WAF podem identificar tráfego malicioso que tenta acessar o Amazon API Gateway ou seus serviços de API. Você pode implantar o WAF antes ou depois do Amazon API Gateway. No entanto, implantá-lo antes do gateway oferece o benefício adicional de impedir chamadas de API maliciosas que gerariam custos para você.
As soluções de WAF da F5 usam análise comportamental para identificar ameaças com precisão e fornecer mitigação de DoS na camada 7, criptografia na camada de aplicação e serviços de inteligência contra ameaças. A implantação de um WAF protege suas aplicações e APIs contra ataques, incluindo os listados no OWASP Top 10.
Outro requisito importante para a proteção de APIs é a descoberta. Integre o F5 Distributed Cloud API Security ao seu pipeline de CI/CD para identificar alterações nas APIs sem interromper o processo de desenvolvimento. Carregue um esquema de API existente para garantir o comportamento adequado da API e gerar automaticamente políticas com base em padrões de comunicação entre aplicações e entre APIs. O F5 Distributed Cloud API Security também controla as conexões e monitora comportamentos anômalos no tráfego de APIs, o que permite bloquear atividades suspeitas.
Os bots representam outra grande ameaça à segurança de APIs. Várias das 10 principais ameaças à segurança de APIs da OWASP são vulnerabilidades que podem ser facilmente exploradas por bots, como o consumo irrestrito de recursos ou falhas de autenticação. A adição do F5 Distributed Cloud Bot Defense permite combinar especialistas humanos e aprendizado de máquina para detectar tráfego de bots mal-intencionados, ao mesmo tempo que permite o acesso de usuários legítimos e bots úteis.
Obtenha segurança de API em várias camadas
A F5 oferece tudo o que você precisa para proteger suas APIs com o F5 Distributed Cloud Web App and API Protection (WAAP), fornecendo segurança em várias camadas com gerenciamento unificado. O Distributed Cloud WAAP oferece segurança consistente para seus aplicativos e APIs, independentemente de onde estejam implantados — na AWS, em outras nuvens públicas ou privadas, no local ou na borda.
Encontre o F5 Distributed Cloud WAAP no AWS Marketplace, o que permite adicionar proteção facilmente e cumprir sua parte no modelo de responsabilidade compartilhada.
Saiba mais sobre as soluções da F5 para AWS em f5.com/aws.
Fontes
1. F5, Expansão contínua de APIs, nov. de 2021
2. F5, A F5 está adotando o shift left para proteger APIs, fev. de 2024
3. Amazon, Visão geral de segurança do Amazon API Gateway: whitepaper da AWS, 2023
Sobre o autor
Publicações relacionadas no blog
Entrega e proteção de agentes de IA em fábricas de IA: F5 para a arquitetura de referência NVIDIA OpenShell para agentes de IA seguros
As soluções da F5 ampliam a Arquitetura de Referência NVIDIA OpenShell para agentes de IA seguros.
Como medir – e minimizar – o custo total de propriedade do seu Kubernetes
O Kubernetes pode ser baixado e executado gratuitamente, mas sua manutenção está longe de não ter custos. Assim como outras grandes plataformas de código aberto que são “gratuitas” apenas em um sentido simplista, o Kubernetes quase certamente exigirá investimentos para ser implantado e operado.
As-Code: a pilha de TI contínua
Infraestrutura, configuração, pipeline, operações. De repente, tudo é “como código”. Lori MacVittie busca esclarecer a terminologia e identificar os diferentes componentes de uma stack contínua de TI.
O estado da entrega de aplicações em 2017: automação, APIs e DevOps
Explore o relatório State of Application Delivery de 2017. Leia o blog retrospectivo da F5 sobre o início da ascensão das redes declarativas e dos pipelines de DevOps.
DevOps Summit: onde a rede foi convidada para a festa
No DevOps Summit NY, falou-se muito não apenas sobre DevOps, mas também sobre contêineres, IoT e microsserviços. As sessões se concentraram não só na mudança cultural necessária para crescer em escala com uma abordagem DevOps, mas também fizeram questão de incluir...
F5 e Nutanix convergem em infraestrutura no .NEXT
Aplicações empresariais como Microsoft SharePoint e Exchange, juntamente com a VDI, continuam sendo a espinha dorsal da sua empresa. A produtividade, embora não seja tão atraente quanto o lucro, é um fator essencial para o sucesso das operações empresariais atuais. Deixar de...