Nos oito anos desde que lançamos pela primeira vez a pesquisa anual que viria a se tornar o Relatório sobre o Estado da Estratégia de Aplicações, vimos a segurança ascender de forma constante ao topo do conjunto de serviços de segurança e entrega de aplicações.
A disponibilidade, como categoria geral que abrange tecnologias como balanceamento de carga, armazenamento em cache e CDNs, manteve a prioridade máxima por aproximadamente o mesmo tempo que um servidor web recém-lançado levava para permanecer intacto na Internet em 2003. O que, para quem não sabe, não era muito tempo.
A segurança quase imediatamente passou ao topo da lista de prioridades e permanece lá, sem ser desafiada, desde aproximadamente 2017.
Até agora.
Neste ano, pela primeira vez, vimos um serviço de segurança não essencial chegar ao topo da lista dos “mais implantados”. Esse serviço é a identidade.
Mas não se trata apenas do fato de que as tecnologias de identidade e acesso passaram a ser as mais implementadas. Ao longo de nossa pesquisa, há inúmeras evidências que apontam para uma mudança significativa em direção à segurança baseada em identidade.
Considere a segurança de APIs. Sim, as pessoas estão implementando essa tecnologia. Mas fomos além e perguntamos sobre os tipos específicos de proteção que os entrevistados consideravam valiosos. Nós os agrupamos, de modo geral, em três categorias:
- Tradicionais. Essas proteções derivam, em grande parte, das proteções para a Web incluídas há anos nos firewalls de aplicações Web. Limitação de taxa, OWASP Top 10 e, é claro, criptografia/descriptografia.
- Modernas. Essas proteções surgiram nos últimos anos e se tornaram uma importante fonte de segurança para APIs. Esse grupo inclui a inspeção da carga útil (conteúdo), como a busca por malware e conteúdo malicioso, além de autenticação e autorização. Spoiler: essa é a parte de identidade.
- Adaptativa. As proteções adaptativas são uma nova categoria, impulsionada pela capacidade de usar IA e aprendizado de máquina para realizar análises comportamentais que diferenciam usuários humanos de não humanos. Essas técnicas costumam servir de base para serviços antifraude e de proteção contra bots.
Perguntamos quais proteções desta lista os entrevistados consideravam mais “valiosas”. Os resultados demonstraram um alto grau de maturidade em segurança, especialmente entre aqueles que haviam efetivamente implementado proteções de API no último ano. Assim como na implantação de serviços, a identidade ocupou o primeiro lugar na lista das proteções mais valiosas para APIs.
É promissor o valor atribuído aos métodos adaptativos. Isso não chega a surpreender, considerando a rápida adoção da IA e do aprendizado de máquina para impulsionar os serviços de segurança. Diante do volume de dados e do impacto de não detectar um ataque, não é de surpreender que todo o setor esteja recorrendo a métodos de segurança mais avançados e adaptativos para proteger desde a infraestrutura e os aplicativos até a própria empresa.
Tanto a análise de identidade quanto a análise comportamental são partes importantes de uma estratégia de segurança abrangente, especialmente para APIs, considerando o papel cada vez maior que desempenham na sustentação da economia digital. A inspeção também continua sendo fundamental, pois muitos ataques — especialmente malware e conteúdo malicioso — costumam ser facilmente identificados por uma assinatura exclusiva, que pode ser comparada à carga útil de uma transação de API. A rapidez na identificação é tão importante quanto a confiança ao detectar um possível ataque, e a inspeção continua sendo um método rápido e confiável para identificar conteúdo malicioso.
Por fim, observamos a implantação de tecnologias relacionadas à identidade como resultado da transformação digital acelerada pela COVID-19. Perguntamos aos participantes que tipos de mudanças estavam sendo feitos em suas estratégias de segurança após a pandemia. Mais de um quarto (26%) implementou uma solução contra o preenchimento de credenciais, e 34% implementaram frameworks de segurança de APIs.
O primeiro número é o mais relevante para este tópico, pois o credential stuffing consiste justamente em proteger a identidade (as credenciais) das pessoas no mundo digital. Diante do crescimento extraordinário das opções digitais para todos os tipos de empresa ao longo da pandemia, é animador ver que pelo menos algumas estão levando a sério sua responsabilidade de proteger a identidade.
Essa é uma tendência de evolução relativamente rápida na área de segurança, e esperamos que continue se disseminando à medida que as organizações ampliem ainda mais sua presença na economia digital. A importância das APIs indica a necessidade de identificar com mais precisão o “usuário” das APIs, especialmente diante da crescente relevância delas na automação, nas arquiteturas de aplicações nativas da nuvem, nos ecossistemas digitais e, naturalmente, na IoT. Proteger APIs em uma economia digital não é apenas uma questão tecnológica, mas também empresarial.
Mas essa tendência também indica a importância da identidade em um mundo digital e por que não é tão surpreendente ver os serviços relacionados à identidade chegarem ao topo da lista de tecnologias de segurança e entrega de aplicações mais implantadas em 2022.
Essa mudança em direção à identidade, revelada por nossa pesquisa também é significativa à medida que o mercado adota a confiança zero como uma abordagem fundamental para a segurança. A confiança zero foi apontada por 40% dos entrevistados como a tendência ou tecnologia “mais empolgante”. Como modelo arquitetônico, a confiança zero se concentra em proteger aplicações e infraestrutura por meio do desenvolvimento de redes com microperímetros seguros e da redução de riscos ao restringir os privilégios e o acesso dos usuários.
No cerne da confiança zero está uma pergunta simples: quem deve ter acesso a um recurso? Embora certamente haja muito mais envolvido em responder a essa pergunta e aplicar as políticas resultantes no núcleo, na nuvem e na borda, sem identidade toda a abordagem desmorona.
Ainda não se sabe se a identidade continuará em destaque, mas, considerando que tendências emergentes como a Web3 também dão grande ênfase à identidade como um elemento fundamental, acreditamos que a mudança na segurança em direção à identidade esteja apenas começando.
Confira outros artigos do blog para se aprofundar em tópicos específicos:
Estado da Estratégia de Aplicações 2022: uma análise de 8 anos de tendências ›
Estado da Estratégia de Aplicações 2022: a complexidade da multinuvem continua ›
Estado da Estratégia de Aplicações 2022: Tendências de desempenho ›
Estado da Estratégia de Aplicações 2022: Hora de modernizar as operações ›
Estado da Estratégia de Aplicações 2022: O futuro dos negócios é adaptável ›
Sobre o autor
Lori MacVittie é engenheira distinta e evangelista-chefe no Escritório do CTO da F5, com ampla experiência em entrega de aplicações, estratégia de automação e infraestrutura. Ela é conhecida por transformar complexidade em clareza, seja definindo diretrizes para agentes de IA, analisando arquiteturas multinuvem frágeis ou investigando os limites de sistemas escaláveis. Ela acumula mais de trinta anos de experiência no setor, abrangendo desenvolvimento de aplicações, arquitetura de TI e operações de redes e sistemas. Antes de ingressar na F5, atuou como editora de tecnologia e recebeu diversos prêmios. MacVittie tem mestrado em Ciência da Computação e é uma autora prolífica, com publicações que abrangem segurança, nuvem e arquitetura empresarial. Ela também é uma entusiasta de jogos de tabuleiro e videogames, além de ter opiniões assumidamente fortes sobre queijos.
Mais publicações de Lori Mac VittiePublicações relacionadas no blog
O estado da maturidade digital empresarial: a transformação digital ainda não terminou
Explore como a IA impacta as empresas, as aplicações da IA generativa, as estratégias para modernizar as operações de TI e os benefícios da maturidade digital com a F5.
Como a IA generativa acelera a transformação digital
Veja como a IA generativa impulsiona a transformação digital nas empresas, acelerando tendências como a integração de APIs, os desafios dos modelos operacionais de TI híbrida e a adoção de AIOps.
Seis capacidades técnicas para acelerar a transformação digital
As arquiteturas empresariais atuais carecem dos fatores necessários de agilidade, escalabilidade, segurança e observabilidade, essenciais para impulsionar a mudança tecnológica. No entanto, estas seis capacidades fundamentais ajudarão as empresas a gerenciar riscos e desafios ao longo de sua transformação digital.
Inverter a API é a transformação digital de que as empresas precisam para participar e competir em uma economia de APIs
As organizações detêm um valor latente — na forma de APIs internas — que precisam explorar para competir em uma economia de APIs. Embora os desafios técnicos e de segurança possam desestimular algumas delas, as empresas precisam reconhecer que inverter suas APIs permitirá liberar o valor da organização como plataforma.
A modernização da TI começa pela infraestrutura
O hardware e o software evoluíram rapidamente desde os primórdios da internet, mas, para aproveitar ao máximo os benefícios resultantes dessa evolução, as organizações precisam avaliar e modernizar sua infraestrutura e a entrega de aplicativos. Acelere os esforços de modernização com a nova F5 rSeries.