As APIs são mais essenciais do que nunca, especialmente para organizações de serviços financeiros que dependem delas para processar pagamentos de transações diárias dos titulares de contas, facilitar a abertura de contas online sem complicações e muito mais.
Além disso, em um ecossistema de serviços financeiros em constante evolução, no qual parcerias com FinTechs por meio de APIs são comuns, o uso de APIs está crescendo substancialmente no setor. Consequentemente, as instituições de serviços financeiros dependem mais das APIs do que nunca.
No entanto, essa crescente dependência de APIs tem atraído a atenção de invasores.
Reconhecendo o papel fundamental que essas APIs desempenham, os invasores as atacam constantemente, buscando explorá-las, utilizá-las de forma abusiva e comprometê-las para obter acesso a sistemas e exfiltrar dados críticos. A complexidade e os desafios de gerenciamento dos ambientes híbridos e multicloud são agravados pela dependência exclusiva de ferramentas tradicionais de segurança de aplicações e APIs para descoberta e inspeção baseadas em tráfego, o que proporciona apenas uma visão parcial e permite descobrir as APIs somente depois que elas são implantadas em produção.
Esses cenários representam sérios riscos para os negócios, incluindo violações de dados em larga escala, problemas de conformidade e pesadas multas regulatórias. No entanto, as organizações de serviços financeiros precisam aceitar esses riscos porque seus clientes exigem interações rápidas, uma visão consolidada das contas e transferências de dinheiro fáceis. Nos bastidores, tudo isso é viabilizado por APIs.
Neste artigo, exploramos as vantagens transformadoras da abordagem shift left para serviços financeiros que operam em ambientes híbridos e multicloud e explicamos por que ela representa o próximo grande marco na segurança de APIs do setor financeiro. Por meio da descoberta antecipada diretamente na base de código, de uma compreensão abrangente e da documentação preventiva, as organizações podem reforçar suas defesas, eliminar lacunas críticas de visibilidade, aprimorar os controles, atender aos requisitos de conformidade e dos órgãos reguladores e estabelecer um novo padrão de segurança de APIs em um setor no qual os riscos são extremamente altos.
O que é shift left e por que ele é importante?
A ideia de "shift left" no paradigma de segurança não é apenas uma tendência — está se tornando uma necessidade para garantir proteção robusta e gerenciamento de riscos, especialmente para APIs, pois elas mudam com mais frequência do que as aplicações web tradicionais e novas APIs são adicionadas em um ritmo muito mais acelerado.
Em termos simples, ao se concentrarem apenas em controles de segurança tradicionais, como a análise do tráfego em linha, as organizações não conseguem identificar e compreender as vulnerabilidades em toda a sua superfície de ataque. Isso as deixa vulneráveis, e em nenhum outro lugar isso é mais evidente do que no universo das APIs em serviços financeiros, onde pontos cegos podem resultar em desastres. Vulnerabilidades e fragilidades são sempre mais difíceis e caras de corrigir em produção, e qualquer alteração no código pode introduzir riscos adicionais.
A importância da estratégia de “shift-left” vai além da simples integração de novas tecnologias — trata-se de uma transformação fundamental na forma de abordar a segurança de APIs desde o início do ciclo de desenvolvimento.
Ao iniciar a descoberta e garantir a precisão da documentação desde a fase de codificação, as organizações obtêm uma visão mais completa do cenário de suas APIs. Essa postura proativa permite realizar testes, detectar problemas antecipadamente e resolvê-los de imediato por meio de regras, controles e políticas relacionados a possíveis vulnerabilidades em produção. Isso cria uma base sólida à medida que as aplicações avançam para a produção, sem reduzir a produtividade dos desenvolvedores. Posteriormente, a próxima versão pode incluir um código atualizado que corrija a vulnerabilidade no próprio código. Sem dúvida, os desenvolvedores adotariam de bom grado a automação dos processos de inventário e documentação para poderem se concentrar no próximo recurso incrível que talvez mude o mundo.
Quais são as principais vantagens de adotar uma estratégia shift-left?
Os benefícios de adotar uma abordagem shift-left são inúmeros. Ela permite que as equipes avancem para a produção com uma compreensão mais aprofundada de suas APIs e uma postura de segurança mais robusta, munidas de uma documentação mais completa e de políticas preventivas de segurança para lidar com quaisquer vulnerabilidades identificadas nos testes. Essa descoberta a partir do código serve como ponto de partida para as organizações, facilitando a identificação de anomalias, APIs desconhecidas ou descontinuadas — sejam elas zumbis ou ocultas — e de desvios após a entrada em produção, tudo isso sem precisar “aprender na prática” (por exemplo, em produção).
Em comparação com a abordagem reativa de reunir informações sem uma documentação inicial, a adoção do shift-left garante que as organizações estejam vários passos à frente e prontas para enfrentar diretamente os desafios de segurança.
Outros benefícios incluem:
- Limitar a exposição de vulnerabilidades em produção
- Aprimoramento da documentação e da compreensão das APIs
- Promover práticas de codificação segura para reforçar e aprimorar o código das APIs ao longo do tempo
- Reduzir os desafios de integração de ferramentas por meio de um ciclo contínuo de avaliação e correção de riscos
Novas ferramentas a considerar para a detecção precoce de vulnerabilidades em uma estratégia shift-left
Gerenciar soluções de segurança para aplicações e APIs já representa uma tarefa desafiadora para muitas organizações. De fato, um relatório recente da Datos Insights, patrocinado pela F5, constatou que mais de 80 fornecedores de soluções atuavam somente no segmento de segurança de APIs e que uma organização utiliza, em média, mais de 20 mil APIs!
Como resultado, as organizações costumam usar uma combinação de tecnologias de diversos fornecedores para proteger aplicativos e APIs, transformando, na prática, a segurança de APIs em segurança da cadeia de suprimentos. Tendo isso em mente, veja alguns aspectos a considerar ao buscar uma solução de segurança de APIs com abordagem “shift-left”:
- Descoberta no nível do código por meio de recursos de varredura, reconhecimento e testes, permitindo a detecção antecipada de CVEs e riscos de APIs no código
- Respostas de segurança inteligentes e automatizadas, impulsionadas por IA generativa
- Criação e validação automáticas de esquemas de API robustos
- Identificação clara dos riscos de APIs com inteligência acionável
- Segurança de APIs durante todo o ciclo de vida — aproveitando uma solução que faz parte de um portfólio mais amplo de recursos de segurança e entrega de aplicações e APIs em todo o ciclo de vida do desenvolvimento de aplicações
As táticas proativas que estão no cerne da abordagem shift-left permitem identificar discrepâncias, APIs ocultas e outros problemas com mais rapidez e precisão. Esse método é muito superior a abordagens pontuais, que podem deixar de incluir documentação ou não oferecer uma compreensão abrangente desde o início.
Adotar a estratégia shift-left com as tecnologias certas não apenas reforça a segurança, mas também otimiza todo o ciclo de vida do desenvolvimento, beneficiando tanto as equipes de aplicações quanto as de riscos e tornando essa abordagem uma prática essencial para organizações de serviços financeiros com visão de futuro.
Saiba mais sobre como a abordagem shift-left pode ajudar sua organização.
Este blog compartilha conteúdos selecionados, além de materiais adicionais voltados para outros setores da indústria.
Sobre o autor
Publicações relacionadas no blog
Entrega e proteção de agentes de IA em fábricas de IA: F5 para a arquitetura de referência NVIDIA OpenShell para agentes de IA seguros
As soluções da F5 ampliam a Arquitetura de Referência NVIDIA OpenShell para agentes de IA seguros.
Como medir – e minimizar – o custo total de propriedade do seu Kubernetes
O Kubernetes pode ser baixado e executado gratuitamente, mas sua manutenção está longe de não ter custos. Assim como outras grandes plataformas de código aberto que são “gratuitas” apenas em um sentido simplista, o Kubernetes quase certamente exigirá investimentos para ser implantado e operado.
As-Code: a pilha de TI contínua
Infraestrutura, configuração, pipeline, operações. De repente, tudo é “como código”. Lori MacVittie busca esclarecer a terminologia e identificar os diferentes componentes de uma stack contínua de TI.
O estado da entrega de aplicações em 2017: automação, APIs e DevOps
Explore o relatório State of Application Delivery de 2017. Leia o blog retrospectivo da F5 sobre o início da ascensão das redes declarativas e dos pipelines de DevOps.
DevOps Summit: onde a rede foi convidada para a festa
No DevOps Summit NY, falou-se muito não apenas sobre DevOps, mas também sobre contêineres, IoT e microsserviços. As sessões se concentraram não só na mudança cultural necessária para crescer em escala com uma abordagem DevOps, mas também fizeram questão de incluir...
F5 e Nutanix convergem em infraestrutura no .NEXT
Aplicações empresariais como Microsoft SharePoint e Exchange, juntamente com a VDI, continuam sendo a espinha dorsal da sua empresa. A produtividade, embora não seja tão atraente quanto o lucro, é um fator essencial para o sucesso das operações empresariais atuais. Deixar de...