Há uma demanda crescente por APIs. Seja ajudando a impulsionar a economia digital ao viabilizar aplicativos móveis, seja aumentando internamente a produtividade por meio de iniciativas de automação e orquestração, as APIs estão por toda parte.
Muitas organizações adotaram o grito de guerra digital "API em primeiro lugar!" Prova disso é que a maioria (60%) dos participantes da pesquisa da Cloud Elements, Estado da integração de APIs em 2018, disponibiliza uma API para qualquer desenvolvedor. E isso está dando resultado. Impressionantes 85% das organizações geram pelo menos alguma receita com APIs e implementações relacionadas a elas. A maioria (59%) gera entre 11% e 50% da receita da organização. Mais de uma em cada dez (11%) gera mais da metade de sua receita apenas com APIs. (O valor crescente das APIs, da MuleSoft)
Mas vale lembrar que elas disponibilizam suas APIs para QUALQUER desenvolvedor. Não apenas para desenvolvedores bem-intencionados, mas para qualquer desenvolvedor.
A natureza aberta da atual economia de APIs é um dos motivos pelos quais é lamentável que uma estratégia de API em primeiro lugar seja, com tanta frequência, acompanhada por uma estratégia de segurança em último lugar.
É relativamente fácil encontrar uma verdadeira profusão de incidentes de segurança relacionados a APIs envolvendo organizações de grande destaque. Sejam mencionados pela Forbes ou descobertos pela nossa própria equipe do F5 Labs, essas organizações sofreram violações de segurança relacionadas a APIs que poderiam ter sido evitadas com práticas e ferramentas de segurança amplamente conhecidas.
Ray Pompon — evangelista-chefe de pesquisa de ameaças do F5 Labs — observou o seguinte em sua pesquisa sobre segurança de APIs:
"…é possível identificar padrões associados aos mesmos problemas clássicos de segurança de aplicações que sempre tivemos: invasores obtendo acesso por meio de ataques de força bruta ou credenciais roubadas. Além disso, depois de se autenticarem na API, os invasores exploraram as permissões excessivamente amplas que lhes haviam sido atribuídas."
Extraído de <https://www.f5.com/labs/articles/threat-intelligence/reviewing-recent-api-security-incidents>
Os mesmos problemas clássicos. Afinal, as APIs são implementadas, na maioria das vezes, como URIs transportados por HTTP que carregam uma carga útil de dados JSON ou XML. Isso não é muito diferente de um URI transportado por HTTP que carrega uma carga útil de dados de formulário enviados via POST.
E não podemos esquecer que uma API é apenas uma interface para o código. Um código que, segundo as Estatísticas de segurança de aplicações da WhiteHat, apresenta, em média, 39 vulnerabilidades a cada 100 mil linhas de código (LOC). Mas espere: isso se aplica a uma aplicação tradicional. E se a interface (API) tiver sido implementada usando uma arquitetura de microsserviços? Nesse caso, são 180 vulnerabilidades a cada 100 mil LOC. De qualquer forma, são muitas vulnerabilidades.
Uma API apresenta as mesmas vulnerabilidades que sua equivalente, a aplicação web. Isso significa que ela precisa receber a mesma atenção em termos de segurança que uma aplicação web.
Ainda assim, a importância atribuída atualmente à segurança de APIs não está no mesmo nível daquela atribuída às aplicações web — pelo menos não com base nas evidências concretas que revelam a abordagem pouco rigorosa adotada nos testes de segurança. Uma pesquisa informal da SmartBear constatou que apenas 12% dos participantes realizavam testes "abrangentes" de segurança de APIs. Quase o dobro — 23%, para ser exato — não realizava NENHUM TESTE DE SEGURANÇA DE APIs. Isso está de acordo com uma pesquisa mais formal realizada pela SmartBear, segundo a qual 80% dos participantes testam suas APIs.
O que ainda deixa 20% que não fazem isso.
Adotar uma estratégia de API em primeiro lugar é uma ótima maneira de participar da economia digital e transformar tanto os negócios quanto as operações em máquinas digitais enxutas e eficientes. Mas deixar a segurança por último é uma ótima maneira de transformar tudo isso em uma hashtag amarga e popular no Twitter*. E ninguém quer isso.
Portanto, se você pretende adotar uma estratégia de API em primeiro lugar — e deveria —, precisa tratar a segurança como prioridade. Não aceite uma estratégia que deixe a segurança de suas APIs por último.
Veja algumas medidas simples para começar:
- Se existe, teste.
- Se houver entrada do usuário, não confie nela.
- Se houver um login de usuário, proteja-o contra ataques de força bruta e preenchimento de credenciais.
- Esteja ciente da necessidade de manter e aplicar correções aos sistemas e serviços dos quais sua API depende. As vulnerabilidades deles também são vulnerabilidades da sua API.
Mantenha-se seguro por aí.
Sobre o autor
Lori MacVittie é engenheira distinta e evangelista-chefe no Escritório do CTO da F5, com ampla experiência em entrega de aplicações, estratégia de automação e infraestrutura. Ela é conhecida por transformar complexidade em clareza, seja definindo diretrizes para agentes de IA, analisando arquiteturas multinuvem frágeis ou investigando os limites de sistemas escaláveis. Ela acumula mais de trinta anos de experiência no setor, abrangendo desenvolvimento de aplicações, arquitetura de TI e operações de redes e sistemas. Antes de ingressar na F5, atuou como editora de tecnologia e recebeu diversos prêmios. MacVittie tem mestrado em Ciência da Computação e é uma autora prolífica, com publicações que abrangem segurança, nuvem e arquitetura empresarial. Ela também é uma entusiasta de jogos de tabuleiro e videogames, além de ter opiniões assumidamente fortes sobre queijos.
Mais publicações de Lori Mac VittiePublicações relacionadas no blog
Entrega e proteção de agentes de IA em fábricas de IA: F5 para a arquitetura de referência NVIDIA OpenShell para agentes de IA seguros
As soluções da F5 ampliam a Arquitetura de Referência NVIDIA OpenShell para agentes de IA seguros.
Como medir – e minimizar – o custo total de propriedade do seu Kubernetes
O Kubernetes pode ser baixado e executado gratuitamente, mas sua manutenção está longe de não ter custos. Assim como outras grandes plataformas de código aberto que são “gratuitas” apenas em um sentido simplista, o Kubernetes quase certamente exigirá investimentos para ser implantado e operado.
As-Code: a pilha de TI contínua
Infraestrutura, configuração, pipeline, operações. De repente, tudo é “como código”. Lori MacVittie busca esclarecer a terminologia e identificar os diferentes componentes de uma stack contínua de TI.
O estado da entrega de aplicações em 2017: automação, APIs e DevOps
Explore o relatório State of Application Delivery de 2017. Leia o blog retrospectivo da F5 sobre o início da ascensão das redes declarativas e dos pipelines de DevOps.
DevOps Summit: onde a rede foi convidada para a festa
No DevOps Summit NY, falou-se muito não apenas sobre DevOps, mas também sobre contêineres, IoT e microsserviços. As sessões se concentraram não só na mudança cultural necessária para crescer em escala com uma abordagem DevOps, mas também fizeram questão de incluir...
F5 e Nutanix convergem em infraestrutura no .NEXT
Aplicações empresariais como Microsoft SharePoint e Exchange, juntamente com a VDI, continuam sendo a espinha dorsal da sua empresa. A produtividade, embora não seja tão atraente quanto o lucro, é um fator essencial para o sucesso das operações empresariais atuais. Deixar de...