A recente divulgação de uma violação de dados pela T-Mobile destaca os desafios do crescente “Velho Oeste” da segurança de aplicações: as APIs. Um indivíduo (ou grupo) conseguiu coletar os dados pessoais de mais de 30 milhões de clientes por meio do uso (ou abuso) de uma API, extraindo informações diariamente por mais de um mês antes que a atividade fosse detectada.
No momento em que este texto foi escrito, ainda não se conheciam muitos detalhes sobre exatamente como ou por que a API foi explorada neste caso (por exemplo, abuso de funcionalidade, falha na autorização em nível de objeto, exposição excessiva de dados) nem sobre como a violação foi finalmente descoberta. Analisando apenas os números, em média, os dados de 902.000 clientes foram extraídos diariamente por meio dessa API sem acionar nenhum limite de taxa, alerta de anomalia comportamental em séries temporais etc. Ou talvez esses mecanismos tenham sido acionados, mas não com o nível de ameaça adequado para que o incidente fosse rapidamente identificado e as equipes de operações tomassem medidas de mitigação — tudo indica um ataque lento e discreto.
Violações como essa nos dão a oportunidade de refletir sobre como as APIs estão presentes em toda parte, como são essenciais para as organizações atualmente e o papel singular que podem desempenhar na segurança (ou insegurança) de qualquer aplicação e, consequentemente, de toda uma organização. Em uma análise de violações ocorridas nos últimos anos, a F5 Labs observou que, na maioria dos cenários em que os incidentes estão relacionados a APIs, o método de violação é tecnicamente muito simples e afeta endpoints de API expostos ao público e com pouca segurança.
Quando se trata de APIs, falar em segurança é mais fácil do que colocá-la em prática (pelo menos de forma eficaz). Com a enxurrada de dados de eventos de segurança de aplicações gerados pelo número crescente de aplicações e endpoints monitorados atualmente pela maioria das organizações, acompanhar tudo parece uma tarefa impossível.
No entanto, esse ataque destaca três elementos fundamentais relacionados especificamente à segurança de APIs, com os quais todas as organizações podem aprender ao priorizar tecnologias e serviços que ofereçam:
Visibilidade e descoberta de APIs. Neste caso, não está claro se essa API específica era conhecida ou estava sendo monitorada ativamente. A segurança positiva, baseada em APIs desenvolvidas com segurança e bem documentadas, com funcionalidade de aplicação de esquemas, é fundamental, mas representa apenas metade da solução. É provável que a maioria das organizações não tenha controle sobre todas as APIs em execução em seu ambiente. Por isso, é de extrema importância poder identificar e mapear continuamente as APIs ainda não documentadas em todos os caminhos de comunicação de uma aplicação. A tecnologia de descoberta permite que as organizações mapeiem todo o seu ecossistema de APIs, revelando APIs desconhecidas ou ocultas, APIs abandonadas ou zumbis que devem ser bloqueadas ou removidas e quaisquer APIs “legítimas” desconhecidas que devam ser consideradas para fins de governança, proporcionando uma supervisão mais abrangente.
Saber que uma API existe e contar com recursos de controle de acesso são duas peças fundamentais do quebra-cabeça da segurança de APIs. Em nosso Relatório sobre o Estado da Estratégia de Aplicações de 2022, 68% dos entrevistados classificaram a autenticação e a autorização como os componentes mais valiosos da segurança de APIs, seguidos de perto por Análise Comportamental e Detecção de Anomalias para monitorar APIs, identificar comportamentos anormais e possíveis abusos e emitir alertas, já que agentes mal-intencionados podem facilmente contornar a autenticação e a autorização de diversas maneiras. Nesse cenário, algo nos dados transmitidos entre a API e o cliente deve ter sido incomum. A capacidade de acompanhar o comportamento de uma API ao longo do tempo, depois que ela entra em produção, geralmente inclui a análise de solicitações à API e a detecção de anomalias em séries temporais para estabelecer parâmetros comportamentais de referência, que seriam usados para identificar anomalias nas taxas de solicitações, nos erros, na latência, na taxa de transferência etc. Com essa funcionalidade, um mecanismo de alerta é essencial para sinalizar problemas quando ocorrem picos ou quedas inesperados, surgem padrões de tráfego incomuns ou são detectadas solicitações anormais à API.
Para completar uma pilha moderna de segurança de APIs, é necessário um Mecanismo de Aplicação de Segurança de Aplicativos e APIs em Linha, provavelmente incluindo um WAF com várias camadas de funcionalidades de segurança de aplicativos, como aplicação granular de políticas de L7 com limitação de taxa, reputação de IP, funcionalidade de listas de permissão/bloqueio e proteção contra DoS de L7, além de recursos para investigar mais a fundo e tomar medidas contra endpoints maliciosos, usuários e outras atividades. Isso permite que as equipes de operações identifiquem de forma rápida e fácil possíveis abusos de APIs à medida que anomalias são detectadas e criem políticas para impedir esse uso indevido, protegendo melhor as APIs e os endpoints de aplicativos ao longo do tempo, conforme eles evoluem e o comportamento muda.
Certamente, mais informações virão à tona com o passar do tempo e à medida que entendermos exatamente o que aconteceu durante essa violação específica, mas é fundamental que as organizações aproveitem esses três elementos para avaliar e desenvolver melhor um plano para proteger seus aplicativos e endpoints de API contra abusos como esse.
Saiba mais sobre os desafios de segurança de APIs e confira dicas para o desenvolvimento moderno de aplicações e a segurança de APIs
Este relatório da Forrester sobre “insegurança de APIs” destaca os desafios crescentes relacionados ao desenvolvimento de aplicações modernas e à segurança de APIs, além de oferecer dicas para incorporar a segurança aos fluxos de trabalho modernos de desenvolvimento de aplicações e APIs.
Sobre o autor
Publicações relacionadas no blog
Entrega e proteção de agentes de IA em fábricas de IA: F5 para a arquitetura de referência NVIDIA OpenShell para agentes de IA seguros
As soluções da F5 ampliam a Arquitetura de Referência NVIDIA OpenShell para agentes de IA seguros.
Como medir – e minimizar – o custo total de propriedade do seu Kubernetes
O Kubernetes pode ser baixado e executado gratuitamente, mas sua manutenção está longe de não ter custos. Assim como outras grandes plataformas de código aberto que são “gratuitas” apenas em um sentido simplista, o Kubernetes quase certamente exigirá investimentos para ser implantado e operado.
As-Code: a pilha de TI contínua
Infraestrutura, configuração, pipeline, operações. De repente, tudo é “como código”. Lori MacVittie busca esclarecer a terminologia e identificar os diferentes componentes de uma stack contínua de TI.
O estado da entrega de aplicações em 2017: automação, APIs e DevOps
Explore o relatório State of Application Delivery de 2017. Leia o blog retrospectivo da F5 sobre o início da ascensão das redes declarativas e dos pipelines de DevOps.
DevOps Summit: onde a rede foi convidada para a festa
No DevOps Summit NY, falou-se muito não apenas sobre DevOps, mas também sobre contêineres, IoT e microsserviços. As sessões se concentraram não só na mudança cultural necessária para crescer em escala com uma abordagem DevOps, mas também fizeram questão de incluir...
F5 e Nutanix convergem em infraestrutura no .NEXT
Aplicações empresariais como Microsoft SharePoint e Exchange, juntamente com a VDI, continuam sendo a espinha dorsal da sua empresa. A produtividade, embora não seja tão atraente quanto o lucro, é um fator essencial para o sucesso das operações empresariais atuais. Deixar de...