Agora que você entende a importância da segurança de APIs…

F5

(Para se atualizar rapidamente sobre a crescente relevância da segurança de APIs como tema atual do setor, confira esta publicação recente no blog. As orientações abaixo dão continuidade ao assunto e ajudam a explicar o que você pode fazer a respeito.)

Complemente seu gateway de API com um gateway de segurança

O crescimento explosivo das APIs está impulsionando novos mercados tanto para gateways de API quanto para a segurança de APIs. Embora esses mercados possam se consolidar no futuro, hoje você pode posicionar um firewall de aplicações web (WAF) robusto à frente do seu gateway de API para mitigar ameaças. Os WAFs podem bloquear tráfego malicioso conhecido antes que ele chegue ao gateway de API, usando recursos prontos para uso, como inteligência de IP, assinaturas de ataques, detecção de bots maliciosos e conjuntos de regras do OWASP Top 10. WAFs mais avançados, como o F5 Advanced WAF, contam com recursos específicos e permitem personalizar políticas de segurança para proteger várias APIs em um único domínio, em vez de se limitar a um conjunto global de regras por domínio.

Ao abordar as necessidades atuais e emergentes, lembre-se destes três pontos:

1. Os gateways de API se tornaram pontos de controle estratégicos. À medida que as transições tecnológicas geram ainda mais tráfego não humano, a API se torna o ponto central dos negócios. Os gateways de API ficam na borda e são o ponto de entrada de todo o tráfego de APIs. Para ser eficaz, a segurança de APIs exige mais contexto, análises, identificação do solicitante e recursos de correlação.
   
   
2. A lacuna entre as ofertas de gateway de API e de segurança de APIs é considerável. Os fornecedores tradicionais de segurança de aplicações não oferecem os recursos mínimos de gateway de API, como versionamento, orquestração e medição. A maioria das soluções de gateway de API não conta com os controles de segurança padrão disponíveis na maioria das soluções de WAF. Você precisará de ambos para garantir funcionalidade e segurança adequadas.
   
   
3. Essa lacuna pode ser solucionada com um gateway de segurança. A adição de um WAF avançado com recursos de proteção de APIs pode ajudar a superar as deficiências de segurança da maioria dos gateways de API. O F5 Advanced WAF ampliou seus recursos de segurança para incluir APIs e microsserviços. Embora isso não possa substituir as funcionalidades avançadas de um gateway de API, pode aprimorar e aplicar controles de segurança comuns. O F5 Advanced WAF também oferece suporte a APIs declarativas, permitindo que a política de segurança de APIs seja orquestrada e automatizada para ambientes ágeis.
   

Os gateways de segurança podem compensar falhas de segurança, mas não se acomode

À medida que a tecnologia amadurece, os gateways de API ajudarão a lidar com outras questões de segurança de APIs, mas ainda não chegamos lá. O planejamento e as práticas recomendadas contribuirão muito para manter suas APIs devidamente protegidas no curto prazo. Para proteger suas APIs de forma eficaz, não se esqueça de:

1. Sempre use um gateway de segurança. Não permita que os clientes tenham acesso direto e não autenticado à sua API. Force todo o tráfego a passar por um gateway de segurança ou proxy capaz de descartar tráfego malicioso conhecido. Aproveite um WAF existente, caso tenha um. Até mesmo um WAF básico pode ser útil em uma emergência enquanto você avalia uma solução mais abrangente.
   
   
2. Mantenha a simplicidade. Faça com que as equipes de DevOps e SecOps definam em conjunto um conjunto de padrões (por exemplo, OpenAPI/Swagger) para o desenvolvimento de APIs. Os padrões ajudarão você a documentar e testar suas APIs. O OpenAPI 3.0 conta com componentes de segurança específicos que podem ser reutilizados para ajudar na implementação de um design seguro. O uso dos padrões OpenAPI também permite utilizar ferramentas de auditoria e conformidade, como o Crunch42, para automatizar os testes de design e segurança.
   
   
3. Defina os requisitos de segurança. O escopo dos requisitos de uma API geralmente inclui apenas a funcionalidade desejada, ou seja, define quais recursos a API deve oferecer. Os requisitos da API também devem incluir requisitos de segurança (o que a API NÃO deve ser capaz de fazer). Ao incluir a segurança nas especificações de design, ela passa a fazer parte dos testes funcionais da API.
   
   
4. Crie modelos de ameaças para serviços de API – clientes e servidores de API. A modelagem de ameaças do sistema proposto ajudará a identificar os principais ativos/componentes e as categorias de ameaças. Em seguida, requisitos de segurança podem ser adicionados ao projeto para mitigar as ameaças identificadas. Certifique-se de que os controles estejam alinhados ao modelo de risco desejado para a API e o aplicativo.
   
   
5. Transfira a autenticação e a autorização. Use o gateway de API para autenticação e autorização modernas. Todas as APIs precisam incluir autenticação como parte da implantação. Não é necessário implementar isso no próprio aplicativo (além de não ser uma prática recomendada, pois encaminhar tráfego não autenticado diretamente para a API pode deixá-la vulnerável a ataques). Há várias formas de autenticação que podem ser usadas, e uma abordagem baseada em riscos pode ajudar na escolha. O OAuth 2.0 é geralmente considerado uma das melhores opções para APIs REST. F5 BIG-IP APM é uma boa solução para implementar esses controles.
   
   
6. Criptografe tudo. Não há desculpas para não usar criptografia. O uso de SSL/TLS está se aproximando de 100% em todo o tráfego da Internet. Todo o tráfego de APIs públicas precisa ser criptografado. Se possível, use chaves efêmeras para aumentar a segurança (lembra do Heartbleed?). Se o seu gateway de API não conseguir lidar com a carga de trabalho criptográfica devido ao desempenho ou ao preço, considere transferir essa carga para um sistema dedicado, como o F5 SSL Orchestrator.
   
   
7. Desencoraje a “criatividade” dos desenvolvedores em relação à segurança. É difícil implementar a segurança corretamente; a comunidade de segurança trabalha nisso há décadas e, ainda assim, continuamos encontrando falhas. Embora seus desenvolvedores possam ser brilhantes, tenha muito cuidado para que eles não criem controles de segurança personalizados, como um novo modelo de criptografia. Para evitar esse tipo de “criatividade” em segurança, forneça ao DevOps controles básicos de segurança padronizados e rigorosamente avaliados. Se houver necessidade de controles de segurança especificamente adaptados, a equipe de SecOps deverá ser consultada.

O uso de APIs tem o potencial de promover transformações ao viabilizar novos modelos de negócios e fontes de receita. No entanto, quando implementadas sem as devidas salvaguardas, as APIs também podem causar disrupções e colocar as empresas em risco. Embora a segurança de APIs ainda possa ser considerada uma área tecnológica relativamente incipiente, as práticas descritas acima podem ajudar a solucionar as atuais lacunas de segurança de APIs à medida que as soluções relacionadas amadurecem.

Sobre o autor

F5

Mais publicações de F5