Nos últimos anos, as APIs se tornaram a abordagem de facto para construir a economia moderna de aplicativos. Essas interfaces de software se tornaram a principal forma de permitir que sistemas, aplicativos e dispositivos se comuniquem e compartilhem uma enorme variedade de dados e funcionalidades. Em essência, as APIs se tornaram a moderna Rota da Seda da informação e realmente dão ao cliente o poder de viabilizar soluções que combinam as melhores ferramentas de diversos fornecedores.
Das organizações entrevistadas no relatório anual da MuleSoft, o Connectivity Benchmark Report, 80% usam APIs públicas e/ou privadas. Entre os benefícios relatados estão o aumento da produtividade (54%), o aumento da inovação (47%) e a redução de custos (34%), entre outros. Segundo a pesquisa, as APIs também geram uma receita significativa para as empresas que as disponibilizam — em média, 31% da receita total.
No entanto, nem tudo são flores. Uma pesquisa da F5 Labs constatou que os incidentes de segurança de APIs no primeiro semestre de 2020 estavam a caminho de superar o número total de incidentes dos dois anos anteriores. Um desafio significativo enfrentado pelas equipes de DevOps é a existência de muitas áreas vulneráveis na segurança de APIs, desde a completa ausência de autenticação nos endpoints de API até falhas de autenticação e autorização, além de erros básicos de configuração.
A questão agora é: como proteger todas as suas atividades de API? Neste blog, explicamos como uma abordagem de “segurança como código” centrada no NGINX App Protect é fundamental para proteger suas APIs e se integra perfeitamente ao seu pipeline de CI/CD, juntamente com soluções de outros fornecedores de segurança nos quais você já confia.
As APIs atendem tanto funcionários quanto parceiros
Conforme monitorado pelo ProgrammableWeb, há mais de 20.000 APIs privadas, de parceiros e públicas em uso, viabilizando os aplicativos dos quais dependemos todos os dias. O atrativo das APIs — e, por extensão, dos microsserviços baseados em contêineres nos quais as APIs são executadas ou aos quais se conectam — é que elas podem disponibilizar os recursos e os dados do seu software para uma ampla variedade de usuários, incluindo seus funcionários e todos os seus parceiros estratégicos e comerciais. (Naturalmente, essa abordagem também é atraente para as equipes de DevOps, pois elas podem selecionar os melhores fornecedores para suas necessidades específicas.)
Por exemplo, muitas empresas utilizam APIs privadas e de parceiros para viabilizar o autoatendimento de TI. Tornar os ativos de TI fáceis de encontrar e reutilizar permite que mais membros da organização façam mais sem depender da equipe de DevOps a todo momento. Quando implementado corretamente, o autoatendimento de TI proporciona maior agilidade, redução do tempo de lançamento no mercado, soluções focadas no cliente que envolvem diversos fornecedores, mais eficiência e inovação, além de receitas com margens mais altas.
Essa dinâmica também está presente no desenvolvimento e na produção: softwares em contêineres e APIs permitem que a equipe de DevOps interaja com uma ampla variedade de parceiros. Entre eles estão parceiros de gerenciamento de identidade e acesso (IAM), como Okta, AuthO e Microsoft, além de parceiros de gerenciamento do ciclo de vida, como MuleSoft, Akana e Kong.
Segurança como código, políticas como proteção
Nos ambientes dinâmicos e acelerados de CI/CD atuais, desenvolvedores e equipes de DevOps precisam de uma abordagem holística para proteger aplicações web e APIs, com ferramentas de segurança de aplicações que os ajudem a implementar soluções e lançar software com rapidez e segurança. As equipes precisam proteger seu código e, ao mesmo tempo, manter uma integração estreita com os parceiros de gerenciamento de acesso e de ciclo de vida de sua preferência.
À medida que o DevOps evoluiu para DevSecOps nos últimos anos, houve um movimento em direção à implementação da própria segurança como código. Essa é apenas outra forma de dizer que as empresas estão começando a reconhecer a necessidade de incorporar a segurança a todos os aspectos de um novo software, em vez de considerá-la algo que é acrescentado depois que toda a codificação já foi concluída. Isso inclui práticas como:
- Automatizar a segurança sempre que possível, incorporando-a diretamente ao pipeline de CI/CD
- Desenvolver a segurança como uma proteção, não como uma barreira (ou seja, fornecendo orientações e ferramentas em vez de simplesmente conceder ou negar acesso)
- Trabalhar com diversos parceiros para garantir que as soluções de segurança sejam consistentes, centralizadas e disponibilizadas por meio de autoatendimento – para qualquer ambiente, inclusive ambientes distribuídos e conteinerizados
“Segurança como código” significa incorporar a segurança a todos os aspectos de um novo software, em vez de simplesmente adicioná-la ao final.
Segurança avançada de APIs para infraestruturas de aplicações modernas
A F5 é uma grande defensora da abordagem de segurança como código para tornar a segurança de aplicações adaptável, escalável e confiável, e o NGINX App Protect desempenha um papel importante para viabilizar essa abordagem. O NGINX App Protect combina a segurança de APIs com recursos essenciais do nosso líder de mercado Firewall Avançado para Aplicações Web (Advanced WAF) e de proteção contra bots para ajudar as equipes de DevOps a:
- Integrar controles de segurança não disruptivos (conforme autorizado pela equipe de segurança) aos processos de automação e CI/CD
- Implante e gerencie controles de segurança de aplicações em ambientes distribuídos, como contêineres e microsserviços
- Implemente controles de segurança econômicos sem afetar negativamente a velocidade de lançamento nem o desempenho dos aplicativos
Com o NGINX App Protect, você implementa a segurança de aplicações como um pacote de software leve e independente da infraestrutura subjacente. Dessa forma, o desenvolvedor de software pode usar políticas declarativas (“segurança como código”) para proteger todo o tráfego de entrada e saída de um gateway de API ou de outro controlador de Ingress. Nesse modelo, mesmo que uma API não seja segura por padrão, a segurança com o NGINX App Protect pode ser aplicada em vários pontos, seja no ingresso, em um pod do Kubernetes ou entre serviços.
Ao trabalhar com outros líderes do setor que são priorizados por nossos clientes e adotar os fornecedores e produtos já utilizados por equipes de DevOps em todo o mundo, a F5 e a NGINX se comprometem a fornecer soluções de ponta para todo o ecossistema de aplicações.
Conclusão
À medida que as APIs se tornam a nova Rota da Seda para o compartilhamento de informações e possibilitam uma conexão com seus usuários como nunca antes, o NGINX App Protect está aqui para defender seus aplicativos e dados contra toda a gama de possíveis ameaças. O NGINX App Protect foi desenvolvido para a forma como você disponibiliza aplicativos, incluindo a capacidade de se integrar estreitamente ao seu ecossistema de parceiros. Operando perfeitamente em ambientes de DevOps, esta solução líder do setor integra controles de segurança não disruptivos a todos os processos de automação de DevOps e CI/CD, garantindo que a segurança dos aplicativos não seja acrescentada posteriormente nem implementada como uma medida paliativa, mas incorporada desde o início.
Pronto para experimentar o NGINX App Protect? Comece uma avaliação gratuita de 30 dias hoje mesmo ou entre em contato conosco para conversar sobre seus casos de uso.
Sobre o autor
Publicações relacionadas no blog
Como o F5 NGINX One aprimora o gerenciamento e a observabilidade
Descubra como o F5 NGINX One aprimora o gerenciamento e a observabilidade de ambientes híbridos e multicloud ao oferecer um console web centralizado baseado em SaaS, com insights em tempo real, conformidade automatizada e gerenciamento simplificado de configurações.
Do OpenAPI ao NGINX como gateway de API usando uma API declarativa
Descubra como transformar uma definição de esquema OpenAPI em uma configuração NGINX totalmente funcional, operando como um API Gateway com a segurança de um Web Application Firewall e um Portal do Desenvolvedor, usando uma abordagem declarativa de API.
Como gerenciar picos repentinos de tráfego e sobrecarga do servidor
Picos de tráfego e sobrecarga de servidores são preocupações sérias para varejistas online em qualquer época, mas especialmente durante a “Cyber Season” de compras de fim de ano. Detalhamos como você pode aproveitar as soluções de entrega de aplicações de nível de produção da NGINX para se preparar para aumentos repentinos de tráfego.
Distribuição segura de chaves privadas SSL com o NGINX
Descrevemos três maneiras progressivamente mais seguras de proteger chaves privadas SSL ao configurar o NGINX para processar tráfego HTTPS: permitir acesso de leitura apenas ao usuário root, criptografar as chaves com senhas armazenadas separadamente e distribuir as senhas a partir de um repositório central.
Agrupando solicitações de API em lotes com NGINX Plus e o módulo JavaScript do NGINX
O módulo JavaScript do NGINX lançado com o NGINX Plus R15 oferece suporte a subsolicitações, possibilitando uma classe totalmente nova de casos de uso para o NGINX Plus. Este exemplo completo também usa a API do NGINX Plus e os módulos de chave-valor para converter solicitações de API dos clientes em solicitações separadas para as APIs dos microsserviços que compõem um aplicativo.
Como superar o esgotamento de portas efêmeras no NGINX e no NGINX Plus
Confira dicas para evitar o esgotamento de portas efêmeras com ajustes no kernel do Linux, conexões keepalive e conexões vinculadas dinamicamente a endereços IP locais.