Não faltam estatísticas sobre a (in)segurança das APIs. Uma busca rápida na Internet revelará praticamente qualquer perspectiva que você queira encontrar sobre o assunto. Basta dizer que (a) os ataques a APIs estão aumentando e (b) alguns desses ataques são bem-sucedidos.
Também é comum observar que as organizações têm dificuldade até mesmo para encontrar todas as APIs ocultas em seu ambiente. Isso não ocorre apenas porque essas APIs estão espalhadas pelo núcleo, pela nuvem e pela borda. O problema é que, além da conhecida Open API Specification (OAS), não existem “padrões” propriamente ditos nos quais se apoiar para definir APIs, muito menos para encontrá-las.
Isso não significa que precisamos deles. Afinal, tivemos SOAP, WSDL e UDDI e, bem, embora ainda haja quem os utilize e dependa do XML como formato de dados, a maior parte do mundo já migrou para REST, JSON, GraphQL e gRPC.
Mesmo que tivéssemos padrões, isso não mudaria o fato de que é difícil proteger APIs.
Isso acontece porque o termo API é abrangente. Por exemplo, a API do OpenTelemetry é simplesmente uma forma de dizer: “estamos disponibilizando os recursos do OpenTelemetry aos desenvolvedores”. Não é como se fosse possível ter uma política de segurança que abrangesse “a” API do OpenTelemetry. Isso seria o ideal e facilitaria muito as coisas. Mas não é essa a realidade. O que temos são políticas de segurança que abrangem os endpoints da API do OpenTelemetry.
Vamos nos aprofundar nisso?
APIs e endpoints
Vamos usar a API da OpenAI em nosso exemplo, já que todo mundo está empolgado com a IA generativa no momento.
A primeira coisa que você vai perceber é que, embora exista apenas “uma” API, há muitos endpoints. Quantos? Esse número muda sempre que novos recursos são introduzidos.
Aqui está uma lista (não exaustiva):
- https://api.openai.com/v1/chat/completions
- https://api.openai.com/v1/audio/speech
- https://api.openai.com/v1/audio/transcriptions
- https://api.openai.com/v1/audio/translations
- https://api.openai.com/v1/embeddings
- https://api.openai.com/v1/fine_tuning/jobs
- https://api.openai.com/v1/files
A IA generativa multimodal adiciona mídias — áudio e vídeo — à lista de tipos de conteúdo, mas também acrescenta novos endpoints para processar as solicitações. Recursos adicionais, como o uso de Ferramentas, também podem ampliar o número de endpoints. Cada avanço — cada nova funcionalidade que nos empolga — normalmente adiciona mais um endpoint à API.
Você também notará o “v1” nesses endpoints. Isso significa que, quando a v2 for lançada, será necessário criar outro conjunto de políticas de segurança para abranger esses endpoints, e algumas dessas políticas precisarão ser alteradas de acordo com as mudanças feitas no endpoint propriamente dito.
Isso também ocorre na infraestrutura de TI, onde a automação é realizada por meio das APIs dos dispositivos. O número de endpoints depende, em grande parte, do seu ambiente. Quanto mais dispositivos você tiver sob gerenciamento, mais endpoints precisará gerenciar e proteger. Ah, e não podemos esquecer que não há dois dispositivos que usem a mesma API. Quer dizer, isso seria loucura, não seria? Quase como dois provedores de nuvem concordarem em usar a mesma API. Provavelmente é por isso que a “complexidade” continua sendo o motivo mais citado para não automatizar diversas tarefas operacionais. O excesso de ferramentas e APIs dificulta a automação e torna a segurança ainda mais difícil.
Mas a segurança de APIs deve abranger todos esses endpoints, pois é por meio deles que os invasores conseguem entrar. E cada endpoint exige um conjunto diferente de parâmetros que acabam no payload como objetos JSON (ou XML, GraphQL ou <insira o formato aqui>). É preciso definir limites para o que cada parâmetro pode conter: dados alfanuméricos? Caracteres? Um intervalo de valores? Qual pode ser o tamanho? Quais caracteres não são permitidos? Todas essas informações são convertidas em uma política que determina como o conteúdo deve ser e, assim, impede que ataques passem despercebidos.
Criar uma política apenas para a API da OpenAI levará algum tempo. E essa é apenas uma API. A maioria das organizações tem, em média, 442,8 APIs, de acordo com nossa próxima pesquisa de 2024, e esse número dispara em organizações muito grandes. Pense em quantos endpoints — e versões de endpoints — isso pode representar, e logo fica muito claro por que a segurança de APIs é tão difícil.
E é por isso que os invasores têm sucesso suficiente para continuar atacando esses endpoints.
Sobre o autor
Lori MacVittie é engenheira distinta e evangelista-chefe no Escritório do CTO da F5, com ampla experiência em entrega de aplicações, estratégia de automação e infraestrutura. Ela é conhecida por transformar complexidade em clareza, seja definindo diretrizes para agentes de IA, analisando arquiteturas multinuvem frágeis ou investigando os limites de sistemas escaláveis. Ela acumula mais de trinta anos de experiência no setor, abrangendo desenvolvimento de aplicações, arquitetura de TI e operações de redes e sistemas. Antes de ingressar na F5, atuou como editora de tecnologia e recebeu diversos prêmios. MacVittie tem mestrado em Ciência da Computação e é uma autora prolífica, com publicações que abrangem segurança, nuvem e arquitetura empresarial. Ela também é uma entusiasta de jogos de tabuleiro e videogames, além de ter opiniões assumidamente fortes sobre queijos.
Mais publicações de Lori Mac VittiePublicações relacionadas no blog
O estado da maturidade digital empresarial: a transformação digital ainda não terminou
Explore como a IA impacta as empresas, as aplicações da IA generativa, as estratégias para modernizar as operações de TI e os benefícios da maturidade digital com a F5.
Como a IA generativa acelera a transformação digital
Veja como a IA generativa impulsiona a transformação digital nas empresas, acelerando tendências como a integração de APIs, os desafios dos modelos operacionais de TI híbrida e a adoção de AIOps.
Seis capacidades técnicas para acelerar a transformação digital
As arquiteturas empresariais atuais carecem dos fatores necessários de agilidade, escalabilidade, segurança e observabilidade, essenciais para impulsionar a mudança tecnológica. No entanto, estas seis capacidades fundamentais ajudarão as empresas a gerenciar riscos e desafios ao longo de sua transformação digital.
Inverter a API é a transformação digital de que as empresas precisam para participar e competir em uma economia de APIs
As organizações detêm um valor latente — na forma de APIs internas — que precisam explorar para competir em uma economia de APIs. Embora os desafios técnicos e de segurança possam desestimular algumas delas, as empresas precisam reconhecer que inverter suas APIs permitirá liberar o valor da organização como plataforma.
A modernização da TI começa pela infraestrutura
O hardware e o software evoluíram rapidamente desde os primórdios da internet, mas, para aproveitar ao máximo os benefícios resultantes dessa evolução, as organizações precisam avaliar e modernizar sua infraestrutura e a entrega de aplicativos. Acelere os esforços de modernização com a nova F5 rSeries.