O cenário digital está em constante evolução e, com ele, também evoluem as ameaças ao setor público e à infraestrutura crítica nacional. Ataques recentes e amplamente documentados, como a violação do Departamento do Tesouro dos EUA no final do ano passado e o ataque hacker à operadora de telefonia móvel T-Mobile divulgado em 2023, servem como fortes lembretes das vulnerabilidades existentes.
E, cada vez mais, essas vulnerabilidades são encontradas em interfaces de programação de aplicações, ou APIs. De fato, a Gartner previu recentemente que as APIs estão se tornando o principal vetor de ataque para aplicações web, e minha experiência confirma essa tendência.
No AppWorld Public Sector Symposium desta semana, que começa amanhã em Tysons Corner, Virgínia, discutiremos a proteção de APIs, além de outras tendências emergentes em entrega e segurança de aplicações. Este evento é uma oportunidade crucial para analisar esses desafios e explorar soluções eficazes.
Revelando a ameaça das APIs ocultas
Um dos maiores desafios que vejo repetidamente é a falta de visibilidade sobre as vulnerabilidades da rede. Muitas organizações simplesmente não sabem quantas APIs estão em uso. Já realizamos processos de descoberta de APIs para clientes que acreditavam ter cerca de 100 APIs, mas acabamos encontrando quase 30 mil! Isso não é incomum e representa um risco significativo à segurança.
As APIs operam em ecossistemas complexos, ocultas em meio a uma combinação de arquiteturas, componentes, tipos e protocolos. Em média, as organizações usam mais de 20 mil APIs. Até 2030, espera-se que o número total de APIs em uso nos setores público e privado ultrapasse 2 bilhões. Os desafios mais comuns para gerenciá-las e protegê-las decorrem da falta de documentação ou da dificuldade de descoberta.
“A complexidade de gerenciar APIs em várias nuvens pode facilmente sobrecarregar as equipes de segurança que não conseguem ter uma visão abrangente de todas as APIs e de seu status de segurança.”
Esse fenômeno de “TI invisível”, em que APIs desconhecidas ou não gerenciadas proliferam, cria um terreno fértil para vulnerabilidades. Muitas vezes, essas APIs não contam com controles de segurança adequados, o que as torna alvos fáceis para agentes mal-intencionados. É como deixar as portas e janelas da sua casa destrancadas — um convite aberto para quem deseja invadir.
Entendendo a exploração de APIs e os vetores de ataque
As APIs estão sendo cada vez mais visadas tanto por agentes estatais quanto por organizações cibercriminosas. As APIs governamentais e relacionadas à defesa são tão vulneráveis quanto as voltadas ao público. Pode-se dizer que elas são alvos ainda mais atraentes devido aos dados confidenciais que processam.
As APIs podem ser usadas como pontos de entrada para ataques mais profundos às redes. Uma API comprometida pode permitir o acesso a sistemas internos, bancos de dados e outros recursos críticos. É como encontrar uma passagem secreta para o coração da sua organização. Como vimos no caso da T-Mobile, operadora de rede sediada nos EUA, agentes de ameaças podem explorar vulnerabilidades em APIs para obter acesso não autorizado a dados confidenciais que têm valor na dark web. Nesse caso, os invasores roubaram as informações pessoais de 37 milhões de contas de clientes ativos.
Para complicar ainda mais as coisas, uma organização pode não ter controle total sobre todas as APIs que interagem com seus sistemas.
Os invasores do Departamento do Tesouro dos EUA obtiveram acesso por meio de uma vulnerabilidade em um componente de software de terceiros — ironicamente, um software que fazia parte de sua defesa cibernética. Esses ataques à cadeia de suprimentos podem afetar organizações de qualquer porte e relevância, com inúmeros exemplos ganhando destaque nas manchetes, como o ataque à SolarWinds e as ações do grupo Volt Typhoon.
Medidas robustas de segurança de APIs exigem atenção a todos os detalhes. Nosso Relatório sobre o Estado da Estratégia de Aplicações de 2024: Segurança de APIs revela quais APIs parecem estar mais expostas a riscos, quais geralmente ficam sem proteção e como os modelos e as responsabilidades de segurança de APIs talvez precisem se adaptar para mantê-las seguras na era da IA. Alerta de spoiler: a segurança de confiança zero também tem um ponto cego, a menos que inclua as APIs.
A IA pode ser sua aliada na segurança de APIs? Aproveitando a defesa baseada em IA
A IA agrava e, ao mesmo tempo, auxilia na segurança de APIs. A Gartner estima que a adoção da IA será responsável por mais de 30% do aumento da demanda por APIs até 2026, devido à quantidade de APIs de que os grandes modelos de linguagem precisam para coletar e trocar dados. Cada API exige documentação e segurança, criando inúmeras oportunidades para ações mal-intencionadas.
Felizmente, as organizações não estão indefesas, e a IA está se consolidando como uma poderosa ferramenta de defesa. A IA e o aprendizado de máquina podem analisar o tráfego de APIs em tempo real, detectando anomalias e comportamentos suspeitos que seriam impossíveis de identificar manualmente.
A IA pode classificar APIs, compreender padrões normais de comportamento e sinalizar possíveis usos indevidos ou vulnerabilidades de segurança. Ela também pode ser usada para gerar políticas de segurança dinamicamente, adaptando-se à evolução das ameaças e garantindo que suas APIs estejam sempre protegidas. É como ter um segurança inteligente e incansável monitorando constantemente o tráfego das suas APIs.
Garantindo uma proteção consistente em todos os ambientes
As organizações do setor público atuais utilizam ambientes híbridos e multicloud — com AWS, Azure, Google Cloud, entre outros — para obter escalabilidade e resiliência, mas isso também aumenta os desafios relacionados à segurança de APIs. As diferenças inerentes entre os provedores de nuvem, cada um com suas próprias ferramentas e configurações de segurança, resultam em uma postura de segurança fragmentada. Depender exclusivamente da segurança nativa da nuvem deixa brechas que os invasores não hesitam em explorar. É como tentar defender um castelo com diferentes exércitos que não atuam de forma coordenada.
A complexidade do gerenciamento de APIs em várias nuvens pode facilmente sobrecarregar as equipes de segurança que não conseguem obter uma visão abrangente de todas as APIs e de seu status de segurança. Para enfrentar esse desafio, é necessária uma abordagem unificada, começando por um conjunto único e consistente de políticas de segurança para todas as nuvens, abrangendo autenticação, autorização e muito mais. Controles de segurança padronizados também são essenciais para garantir um nível básico de proteção em todos os ambientes.
Testes de segurança automatizados integrados ao ciclo de vida de desenvolvimento das APIs também identificam vulnerabilidades precocemente. O monitoramento em tempo real e a detecção de ameaças proporcionam visibilidade e permitem uma resposta rápida a incidentes, enquanto um sistema robusto de Gerenciamento de Identidades e Acessos (IAM) controla o acesso às APIs, e políticas claras de governança de APIs garantem práticas de segurança consistentes.
Proteger APIs em um mundo multinuvem exige uma abordagem proativa, centralizada e padronizada. Ao implementar esses princípios, organizações modernas do setor público e de infraestrutura crítica podem mitigar riscos e garantir a segurança contínua de suas APIs. Em última análise, trata-se de criar uma defesa sólida e adaptável contra ameaças em constante evolução.
Quer saber mais? Ouça o episódio recente do Federal Tech Podcast com a minha conversa com John Gilroy. Visite também a página de Soluções da F5 para o setor público.
Sobre o autor
Publicações relacionadas no blog
Entrega e proteção de agentes de IA em fábricas de IA: F5 para a arquitetura de referência NVIDIA OpenShell para agentes de IA seguros
As soluções da F5 ampliam a Arquitetura de Referência NVIDIA OpenShell para agentes de IA seguros.
Como medir – e minimizar – o custo total de propriedade do seu Kubernetes
O Kubernetes pode ser baixado e executado gratuitamente, mas sua manutenção está longe de não ter custos. Assim como outras grandes plataformas de código aberto que são “gratuitas” apenas em um sentido simplista, o Kubernetes quase certamente exigirá investimentos para ser implantado e operado.
As-Code: a pilha de TI contínua
Infraestrutura, configuração, pipeline, operações. De repente, tudo é “como código”. Lori MacVittie busca esclarecer a terminologia e identificar os diferentes componentes de uma stack contínua de TI.
O estado da entrega de aplicações em 2017: automação, APIs e DevOps
Explore o relatório State of Application Delivery de 2017. Leia o blog retrospectivo da F5 sobre o início da ascensão das redes declarativas e dos pipelines de DevOps.
DevOps Summit: onde a rede foi convidada para a festa
No DevOps Summit NY, falou-se muito não apenas sobre DevOps, mas também sobre contêineres, IoT e microsserviços. As sessões se concentraram não só na mudança cultural necessária para crescer em escala com uma abordagem DevOps, mas também fizeram questão de incluir...
F5 e Nutanix convergem em infraestrutura no .NEXT
Aplicações empresariais como Microsoft SharePoint e Exchange, juntamente com a VDI, continuam sendo a espinha dorsal da sua empresa. A produtividade, embora não seja tão atraente quanto o lucro, é um fator essencial para o sucesso das operações empresariais atuais. Deixar de...