Os aplicativos modernos exigem um conjunto avançado de recursos para proteger adequadamente toda a sua superfície de ameaças. Firewalls de aplicações web (WAFs) ainda desempenham um papel importante, mas, à medida que os aplicativos evoluem e as APIs continuam em uso, são necessários mais recursos para monitorar, rastrear e proteger toda a superfície dos aplicativos, incluindo uma rede crescente de conexões de API.
Algumas possíveis limitações dos WAFs no suporte à segurança de APIs
Embora os WAFs sejam ferramentas valiosas para a segurança de APIs, nem todos os WAFs são iguais, e alguns apresentam limitações quando se trata de proteger APIs. Essas limitações podem incluir:
- Gerenciamento de autorizações complexas de APIs: As APIs geralmente utilizam mecanismos de autorização mais complexos, que vão além da autenticação tradicional baseada em sessão usada em aplicações web. Os WAFs podem ter dificuldade para lidar com esquemas de autorização complexos, como OAuth 2.0, JWT (JSON Web Tokens) ou autenticação personalizada baseada em tokens.
- Análise das variações de protocolo e payload: As APIs podem utilizar diversos protocolos (REST, GraphQL, SOAP) e formatos de payload (JSON, XML), com diferentes estruturas e esquemas de dados. Os WAFs podem ter suporte limitado para analisar e validar essas variações, o que pode resultar em visibilidade reduzida e mais falsos positivos — ou falsos negativos — na detecção de ameaças.
- Limitação de taxa: A limitação da taxa de requisições de APIs é fundamental para proteger contra comportamentos abusivos e o esgotamento dos recursos da API. Os WAFs podem ter dificuldades para limitar com precisão a taxa do tráfego de APIs devido à natureza dinâmica das requisições e à necessidade de aplicar essa limitação com base em parâmetros específicos da API.
- Informações sobre ataques específicos a APIs: As APIs estão sujeitas a vetores de ataque específicos, como poluição de parâmetros, ataques de injeção específicos a APIs ou cenários de abuso de APIs. Os WAFs podem não contar com regras ou heurísticas especializadas para detectar e mitigar esses ataques específicos a APIs de forma eficaz.
- Funcionalidade de gerenciamento de APIs: Os WAFs se concentram principalmente nos aspectos de segurança e podem não oferecer os recursos abrangentes de gerenciamento de APIs necessários para governança, documentação, controle de versões e funcionalidades de portais para desenvolvedores.
Aprimorando WAFs para a segurança de APIs
É importante observar que, embora os WAFs continuem sendo a base da segurança de aplicações e uma camada fundamental para a proteção de APIs, outras medidas também são necessárias. As organizações estão avaliando e implementando diversas abordagens por vários motivos, como custo, complexidade, conceitos equivocados e falta de compreensão sobre como proteger APIs adequadamente, entre outros. Muitas organizações estão complementando seus WAFs existentes com gateways de API para criar, gerenciar e publicar suas APIs, ao mesmo tempo que aplicam políticas de uso e controlam o acesso. Esse é um bom ponto de partida, mas ainda deixa muitas lacunas na postura de segurança de APIs.
Então, qual é o próximo passo? Como lidar com APIs desconhecidas ou ocultas? E quanto ao controle granular dos endpoints de API? E às APIs de terceiros que você não necessariamente controla? Vamos considerar apenas o desafio das APIs desconhecidas... as APIs ocultas. Elas podem levar uma organização a buscar uma ferramenta especializada em descoberta de APIs e vulnerabilidades para complementar sua estratégia enquanto trabalha para proteger todos os aspectos relacionados às APIs.
Você percebe aonde isso vai chegar? As coisas ficam muito complexas muito rapidamente. Algumas organizações com orçamento, conhecimento especializado e recursos preferem uma abordagem que reúna as melhores soluções do mercado, mas, para a maioria, cobrir a superfície de ameaças à segurança de APIs com um conjunto fragmentado de diferentes soluções apenas perpetua um dos maiores desafios de segurança: a COMPLEXIDADE. Adicionar mais soluções pontuais pode rapidamente se tornar insustentável, além de dificultar bastante o monitoramento eficaz e a visibilidade.
Como as WAAPs podem ajudar: oferecendo segurança abrangente para aplicações e APIs
É aí que entram as soluções de proteção de aplicações web e APIs (WAAP) . Por que adicionar mais tecnologias independentes, provavelmente de diferentes fornecedores, que não correlacionam informações de forma coesa ao seu já complexo ecossistema de segurança de aplicações? Daí a evolução e o desenvolvimento das ofertas de WAAP. As soluções modernas de WAAP podem ser parte da resposta às necessidades de segurança de ambientes de aplicações modernos, baseados em microsserviços, multinuvem e híbridos, combinando os recursos encontrados nos WAFs tradicionais com funções especializadas essenciais para monitorar e proteger APIs — tudo em uma única solução consolidada (geralmente fornecida como SaaS).
Equívocos comuns sobre as soluções WAAP e sua capacidade de monitorar e proteger APIs
Existem concepções equivocadas de que as soluções WAAP não têm os recursos necessários para oferecer segurança abrangente para APIs. Entre os mitos que você talvez já tenha ouvido estão os de que as soluções WAAP não conseguem monitorar e acompanhar APIs ao longo do tempo nem identificar anomalias, não contam com recursos avançados de aprendizado para acompanhar endpoints novos e em constante mudança de aplicativos e APIs ou não conseguem rastrear e discernir a intenção do usuário final.
Isso simplesmente não é verdade. Muitas soluções modernas de WAAP, como o F5 Distributed Cloud WAAP, são desenvolvidas com recursos de IA/ML que viabilizam funções essenciais de segurança de APIs, como descoberta automática de APIs, aplicação de esquemas, detecção de anomalias de usuários e APIs, entre outras. E, ao contrário do que ocorre com muitos produtos pontuais de segurança exclusivos para APIs, que dependem de análises fora de banda, nas soluções de WAAP a análise e o bloqueio do tráfego de aplicações e APIs acontecem em uma única solução inline. Não é necessário transmitir nem espelhar dados para uma solução separada (ou várias soluções), o que pode atrasar a análise, a detecção e a mitigação de ameaças.
Para saber mais sobre o F5 Distributed Cloud WAAP e seus recursos de segurança de APIs, acesse nosso site e assista a uma breve demonstração da solução em ação.
Sobre o autor
Publicações relacionadas no blog
Entrega e proteção de agentes de IA em fábricas de IA: F5 para a arquitetura de referência NVIDIA OpenShell para agentes de IA seguros
As soluções da F5 ampliam a Arquitetura de Referência NVIDIA OpenShell para agentes de IA seguros.
Como medir – e minimizar – o custo total de propriedade do seu Kubernetes
O Kubernetes pode ser baixado e executado gratuitamente, mas sua manutenção está longe de não ter custos. Assim como outras grandes plataformas de código aberto que são “gratuitas” apenas em um sentido simplista, o Kubernetes quase certamente exigirá investimentos para ser implantado e operado.
As-Code: a pilha de TI contínua
Infraestrutura, configuração, pipeline, operações. De repente, tudo é “como código”. Lori MacVittie busca esclarecer a terminologia e identificar os diferentes componentes de uma stack contínua de TI.
O estado da entrega de aplicações em 2017: automação, APIs e DevOps
Explore o relatório State of Application Delivery de 2017. Leia o blog retrospectivo da F5 sobre o início da ascensão das redes declarativas e dos pipelines de DevOps.
DevOps Summit: onde a rede foi convidada para a festa
No DevOps Summit NY, falou-se muito não apenas sobre DevOps, mas também sobre contêineres, IoT e microsserviços. As sessões se concentraram não só na mudança cultural necessária para crescer em escala com uma abordagem DevOps, mas também fizeram questão de incluir...
F5 e Nutanix convergem em infraestrutura no .NEXT
Aplicações empresariais como Microsoft SharePoint e Exchange, juntamente com a VDI, continuam sendo a espinha dorsal da sua empresa. A produtividade, embora não seja tão atraente quanto o lucro, é um fator essencial para o sucesso das operações empresariais atuais. Deixar de...