Na segurança de APIs, a complacência é o inimigo

Chuck Herrin

No universo do desenvolvimento moderno de software, a segurança das APIs é um pilar essencial da arquitetura digital contemporânea. À medida que as empresas se tornam cada vez mais interconectadas, as APIs surgem como elos cruciais que integram esses sistemas. Seu papel é fundamental, mas essa própria centralidade traz consigo importantes responsabilidades de segurança. A ascensão da IA generativa impulsiona ainda mais a adoção de APIs, pois, independentemente do caso de uso, a maioria das aplicações de IA recorrerá a endpoints de API como principal meio de comunicação.

Proteger APIs vai além da defesa de componentes individuais de software — trata-se de preservar a integridade de todo um ecossistema. Essas interfaces expõem a lógica central de negócios, os dados e as funcionalidades, podendo se tornar vetores de violações devastadoras que podem não apenas causar prejuízos financeiros, mas também abalar a confiança na organização.

Não lute a guerra passada

O campo de batalha da cibersegurança está em constante transformação, e os ataques impulsionados por APIs e IA se diferenciam das ameaças tradicionais. Se nossas defesas se basearem apenas em ataques do passado, estaremos lutando a guerra anterior — uma estratégia fadada ao fracasso. A ofensiva contra APIs e sistemas de IA é fundamentalmente diferente dos ataques que enfrentamos anteriormente. As tecnologias legadas, incluindo os mais sofisticados firewalls de aplicações web (WAFs), não conseguem lidar com as particularidades das vulnerabilidades atuais de APIs e IA. Sua defesa deve ser orientada pelo ataque, e as novas arquiteturas expõem novas superfícies de ataque que os processos legados nunca foram projetados para enfrentar. Nossa estratégia de defesa deve ser tão dinâmica e sofisticada quanto as ameaças que enfrentamos, evoluindo constantemente para acompanhar as mudanças nos padrões de ataque.

Adote a Nova Frente

A segurança de APIs agora sustenta praticamente todo o desenvolvimento de software, já que as APIs são parte integrante da arquitetura moderna. Com as estratégias de desenvolvimento API-first e o uso crescente de modelos de IA, a dependência de APIs disparou. Na verdade, 92% dos ataques que observamos em nossa rede global têm como alvo endpoints de API, o que evidencia o quanto eles são atraentes para os invasores. Também sabemos que, no âmbito dos bots e ataques automatizados, cerca de 90% dos danos são causados pelos 10% de invasores mais eficazes. Se a sua estratégia de segurança de APIs não estiver à altura, estará faltando uma peça essencial na sua arquitetura de defesa, tanto agora quanto no futuro. Isso é mais do que uma lacuna — é um abismo enorme.

O que podemos fazer

Na minha opinião, há algumas medidas importantes que podemos tomar a esse respeito:

Reconheça a prevalência e a novidade dos ataques a APIs. Entenda que sua estrutura digital atual e futura se baseia em APIs. O tráfego de APIs já representa a maior parte do tráfego da web, e ignorar a segurança das APIs não é uma opção — aprofunde-se no assunto, compreenda-o e priorize-o.

Prepare-se contra ameaças em constante evolução. Entenda que as medidas de defesa de ontem são inadequadas diante das atuais ameaças relacionadas a APIs e IA. Há um motivo para grupos como o OWASP terem novas listas dos dez principais riscos de APIs e IA, e suas defesas precisam se adaptar a essas mudanças na arquitetura e nos métodos de ataque. A F5 pode ajudar a fortalecer sua infraestrutura compartilhando conhecimentos sobre a natureza desses ataques modernos e as soluções que desenvolvemos em resposta.

Entenda as limitações das soluções parciais. Estratégias de segurança que se concentram apenas em uma parte do ciclo de vida — do código ao cliente — são insuficientes. A visibilidade é fundamental. Sem uma visão abrangente de onde suas APIs estão, seja no código, no tráfego ou em integrações de terceiros, não é possível compreendê-las, documentá-las ou testá-las por completo. Essa falta de compreensão afeta diretamente sua capacidade de prever e responder a entradas inesperadas. E, em um cenário dinâmico, no qual as superfícies de API se transformam a cada atualização de código ou mudança na infraestrutura, a vigilância constante é imprescindível.

Obtenha visibilidade e automação de ponta a ponta. Somente uma solução de ponta a ponta desenvolvida especificamente para essa finalidade pode oferecer a visibilidade completa necessária para acompanhar a rápida evolução dos ambientes de APIs. Os esforços manuais já não são suficientes; a automação é essencial para acompanhar as mudanças contínuas e garantir monitoramento e documentação abrangentes. Além disso, embora a tecnologia por si só não possa resolver problemas relacionados a pessoas ou processos, um projeto tecnológico bem planejado pode ajudar as diversas partes interessadas de uma organização a compreender melhor o cenário, facilitando a colaboração e o trabalho conjunto entre várias equipes.

O imperativo da vigilância

Para concluir, o campo da segurança de APIs é caracterizado por mudanças incessantes e pela necessidade de vigilância contínua. À medida que o cenário digital evolui, as metodologias dos adversários também avançam. Para aqueles de nós comprometidos com a proteção de ativos digitais, é fundamental manter-se informado e ágil, além de lembrar que sua superfície de ataque é determinada principalmente por sua arquitetura. A segurança não é apenas um desafio técnico, mas também cultural, permeando todos os aspectos do nosso trabalho, desde o design da API até a implantação. A confiança que nossos clientes depositam em nós e a segurança do nosso futuro digital exigem nada menos que isso.

Na segurança de APIs, o ditado se confirma: a complacência é, de fato, a inimiga. Precisamos permanecer atentos e agir de forma proativa, reforçando nossas defesas contra a próxima onda de ameaças digitais, e não contra a anterior. O futuro do nosso mundo digital depende disso.

Sobre o autor

Chuck Herrin

Mais publicações de Chuck Herrin