À medida que as APIs continuam evoluindo como a base das aplicações modernas, especialmente das aplicações de IA, as organizações enfrentam desafios cada vez maiores para protegê-las contra riscos de segurança emergentes. Manter a visibilidade, detectar vulnerabilidades e garantir uma proteção robusta são requisitos indispensáveis para qualquer empresa orientada por APIs.
“Esta versão traz novas e empolgantes opções de descoberta de APIs, cenários de teste ampliados e recursos aprimorados de detecção — tudo voltado para reduzir os riscos de segurança de APIs e, ao mesmo tempo, melhorar a visibilidade geral e a conformidade.”
Como parte da F5 Application Delivery and Security Platform (ADSP), em nossa mais recente versão dos serviços F5 Distributed Cloud, estamos apresentando diversos novos aprimoramentos desenvolvidos para enfrentar esses desafios de forma direta, com mais flexibilidade e eficiência. Esta versão traz novas e interessantes opções de descoberta de APIs, cenários de teste ampliados e recursos avançados de detecção — tudo voltado para reduzir os riscos de segurança de APIs e, ao mesmo tempo, melhorar a visibilidade geral e a conformidade.
Vamos explorar esses novos recursos em mais detalhes.
Opções ampliadas de descoberta de APIs
A descoberta eficaz de APIs é fundamental para lidar com inventários de APIs em constante mudança, especialmente diante do número crescente de APIs ocultas e não gerenciadas que podem se tornar pontos cegos de segurança. Agora, com a introdução, no F5 ADSP, de opções ampliadas de descoberta para F5 BIG-IP e F5 NGINX, proxies/gateways adicionais e ambientes isolados, as organizações têm maior flexibilidade para descobrir e proteger APIs em seus diversos aplicativos e ambientes. Cada nova opção de descoberta é adaptada para atender a requisitos específicos de aplicativos e infraestrutura, oferecendo às organizações um conjunto mais abrangente de recursos para ampliar a visibilidade das APIs.
- Descoberta de APIs para BIG-IP: Para organizações que utilizam o BIG-IP TMOS, estamos ampliando nossos recursos de descoberta do F5 Distributed Cloud API Security com opções de descoberta de APIs fora de banda. Isso permite que os clientes do BIG-IP (com versões 15.1 ou posteriores) inspecionem o tráfego de APIs processado por seus servidores virtuais, com uma visualização clara no console do Distributed Cloud Services. Por meio dessa integração, os clientes do BIG-IP podem assumir o controle total de suas APIs, detectando APIs desconhecidas, ocultas e obsoletas, enriquecendo seus inventários de APIs com documentação precisa e atualizada e gerenciando facilmente a segurança de APIs por meio de uma solução unificada de um único fornecedor. (Veja a solução em ação aqui.)
- Suporte à descoberta de APIs para proxies e gateways adicionais (acesso antecipado): As solicitações de API geralmente passam por diversos proxies e gateways, o que dificulta que as organizações mantenham uma visibilidade abrangente de todo o seu ecossistema de APIs. Conhecer todas as APIs, independentemente do local de implantação, dos serviços à frente delas ou de como as solicitações percorrem a infraestrutura, permite que as organizações monitorem comportamentos, detectem possíveis ameaças e controlem a proliferação de APIs com mais eficiência. Essa visibilidade é essencial para garantir uma segurança de APIs consistente em diferentes ambientes.
Nesta versão, ampliamos os recursos de descoberta de APIs fora de banda para os proxies NGINX OSS, NGINX Plus, Kong e Apigee, com integrações verificadas, e introduzimos uma solução universal de descoberta que permite coletar logs de praticamente qualquer gateway ou proxy. Assim, as organizações podem analisar a atividade das APIs, detectar APIs não gerenciadas e visualizar de forma centralizada seu ecossistema de APIs no console do Distributed Cloud Services.
No momento, esse recurso está disponível em acesso antecipado, oferecendo às organizações que utilizam diversas tecnologias de gateway e proxy a oportunidade de testar como podem fortalecer sua postura de segurança de APIs. - Descoberta local de APIs (acesso antecipado): Como parte desta versão mais recente, agora oferecemos a descoberta local de APIs para ambientes isolados e regulamentados, nos quais o compartilhamento externo de dados não é uma opção devido a restrições de conformidade ou segurança. Com um software implantável para descoberta local de APIs e um console dedicado, as organizações podem obter visibilidade das APIs que trafegam por seus servidores virtuais BIG-IP de forma 100% local, sem enviar dados confidenciais para a nuvem. A descoberta local de APIs foi desenvolvida para setores que operam em ambientes rigorosamente controlados ou com restrições de uso da nuvem.
Esse recurso também está disponível atualmente em acesso antecipado, permitindo que organizações com ambientes isolados testem como podem fortalecer sua postura de segurança de APIs e atender a requisitos regulatórios ou de conformidade.
Esses recursos ampliados de descoberta de APIs permitem que as empresas detectem APIs ocultas (desconhecidas), não gerenciadas ou esquecidas, gerem esquemas e documentação OpenAPI e enriqueçam os inventários de APIs com detecção de dados confidenciais e insights sobre riscos.
Ao oferecer a flexibilidade necessária para atender a diferentes arquiteturas de aplicativos e requisitos de segurança e conformidade, essas novas opções permitem que as organizações enfrentem com facilidade os desafios em constante evolução relacionados à segurança de APIs, sem precisar alterar seus aplicativos, tomar decisões arquitetônicas importantes e/ou fazer concessões em termos de conformidade em nome da segurança de APIs.
Suíte ampliada de testes de API com novos cenários
Dando continuidade ao fortalecimento dos recursos de segurança proativa oferecidos por meio do F5 Distributed Cloud API Security, esta versão amplia o escopo dos recursos de teste de APIs disponíveis no serviço, abrangendo mais vulnerabilidades identificadas no OWASP API Top 10. Especificamente, foram adicionados novos cenários que permitem às organizações testar vulnerabilidades da API1 (Falha de autorização no nível do objeto) e da API4 (Consumo irrestrito de recursos). Essas adições ajudam as organizações a identificar riscos ocultos no código de suas APIs que podem levar a:
- Acesso não autorizado a recursos.
- Tratamento inseguro de tokens.
- Exposição excessiva de dados.
- Saturação de recursos e configurações incorretas.
Ao aprimorar nosso conjunto de testes de APIs, as organizações poderão detectar uma variedade maior de possíveis vulnerabilidades mais cedo no ciclo de desenvolvimento, por meio da integração com repositórios de código de APIs e da realização de testes automatizados nesses repositórios. Assim, poderão implementar medidas corretivas antes da entrada em produção, reduzindo significativamente a exposição e o potencial de exploração de vulnerabilidades em toda a superfície de ameaças de suas APIs.
Detecção aprimorada de ameaças nas vulnerabilidades do OWASP API Top 10
Além de aprimorarmos nossos testes de API, também continuamos aperfeiçoando nossos mecanismos de detecção de ameaças com base no tráfego, pois sabemos que proteger APIs contra ameaças emergentes é um desafio contínuo e que vocês, nossos clientes, precisam de proteção contra uma ampla variedade de ameaças em constante evolução.
Com esta versão mais recente, reforçamos muitos dos nossos recursos de detecção existentes com algumas novidades para melhorar a proteção contra ameaças críticas do OWASP API Top 10, proporcionando às organizações insights mais aprofundados sobre tentativas de ataque ou exploração e atividades suspeitas de APIs em produção.
Confira, em resumo, os novos recursos de detecção:
- Detectar ataques de falha de autorização no nível de propriedade do objeto (BOPLA): A detecção aprimorada de explorações de BOPLA ajuda a identificar o uso indevido de parâmetros de solicitação em requisições de API. Ao detectar essas anomalias, as organizações podem prevenir melhor ataques que exploram vulnerabilidades de BOPLA e podem resultar em vazamentos de dados e tentativas de escalonamento de privilégios.
- Extração automática de JWT: Ao identificar e extrair JWTs em solicitações de API, aprimoramos a identificação e o rastreamento de usuários/clientes. Isso é fundamental para detectar falhas de autorização no nível do objeto (BOLA), além de proporcionar maior precisão e rastreabilidade de ataques para análises de segurança de longo prazo.
- Aprimoramentos na detecção de falhas de autenticação: A nova versão sinaliza incidentes de acesso não autenticado em endpoints que exigem autenticação, garantindo que vulnerabilidades críticas na lógica de autenticação sejam imediatamente identificadas. Essas informações permitem a rápida implementação de medidas corretivas para reforçar a segurança dos endpoints da API.
- Detecção aprimorada de anomalias em ataques de falha de autorização em nível de função (BFLA): Nossos recursos ampliados de detecção de anomalias ajudam a identificar possíveis explorações de BFLA direcionadas a endpoints administrativos. Ao verificar as “declarações” adequadas dos usuários autenticados, as organizações obtêm evidências em tempo real de tentativas de acesso não autorizado a funções administrativas confidenciais.
Essas melhorias na detecção permitem que as organizações obtenham visibilidade em tempo real de tentativas de ataques críticos, como BOLA, BOPLA, BFLA e vulnerabilidades de autenticação quebrada. Ao identificar ameaças com precisão, as organizações podem manter uma postura de segurança robusta em ecossistemas de APIs complexos e prevenir ataques e explorações de forma mais proativa. Com esses recursos, as organizações estão mais bem preparadas para proteger suas APIs e reduzir os riscos à segurança delas.
Incorporando a segurança ao ciclo de vida das APIs
Com recursos ampliados de descoberta, teste e detecção de APIs, esta versão reforça o compromisso contínuo da F5, por meio de nossa Plataforma de Entrega e Segurança de Aplicações, de capacitar as organizações a aprimorar a segurança em todo o ciclo de vida das APIs. Desde a identificação mais eficaz de APIs ocultas ou obsoletas em todas as aplicações e arquiteturas, independentemente do método de implantação, até a mitigação de vulnerabilidades em estágio inicial e a detecção mais eficaz de ameaças ativas, temos o compromisso de ajudar você a manter a visibilidade e o controle nos ecossistemas de aplicações e APIs mais complexos, distribuídos e diversificados.
Para saber mais, leia nosso comunicado à imprensa. Além disso, conheça hoje mesmo o conjunto completo de recursos de segurança de APIs da F5 em nossa página do produto e dê o próximo passo para otimizar sua postura de segurança de APIs com a F5.
Para clientes interessados nas ofertas de acesso antecipado mencionadas aqui, não deixem de entrar em contato com a equipe local de contas da F5 para obter mais detalhes.
Sobre o autor
Publicações relacionadas no blog
Segurança de APIs sem concessões: apresentamos novas opções flexíveis de descoberta com F5 API security
As opções ampliadas de descoberta de APIs da F5 foram desenvolvidas para oferecer o máximo de flexibilidade e atender às organizações onde quer que estejam.
Governe sua IA no presente e antecipe o futuro da sua IA
Aprenda com nosso CISO de campo, Chuck Herrin, como se preparar para o novo desafio de proteger modelos e agentes de IA.
Segurança de IA para a cadeia de suprimentos
As cadeias de suprimentos são cada vez mais impulsionadas pela IA — desde a previsão de demanda e o planejamento logístico até a análise de riscos de fornecedores e a gestão de estoque em tempo real. Essas ferramentas ajudam as empresas a reduzir custos, aumentar a resiliência e se adaptar a disrupções globais. No entanto, elas também criam novos riscos em um vasto ecossistema: nossas soluções de segurança de IA em tempo de execução protegem o setor de Cadeia de Suprimentos […]
Segurança de IA para Recursos Humanos
A IA está revolucionando o RH. As empresas estão implementando copilotos de recrutamento com IA, assistentes de integração, chatbots de suporte aos funcionários e ferramentas de análise da força de trabalho para reduzir custos e melhorar a experiência dos colaboradores. No entanto, as aplicações de RH também apresentam riscos específicos que podem expor as organizações a falhas de conformidade, alegações de viés e danos à reputação: nossas soluções de segurança de IA em tempo de execução protegem o setor de RH com […]
Equilibrando o desempenho da IA e a gestão de recursos
As organizações dependem cada vez mais de ferramentas e iniciativas de IA para impulsionar a inovação e a transformação. Cada avanço incremental na sofisticação das ferramentas de IA torna o equilíbrio entre desempenho e gestão de recursos um desafio maior e mais relevante para as equipes de TI e segurança. No entanto, esse equilíbrio é essencial para maximizar o ROI, garantir a segurança e manter a eficiência em toda a […]
Integração de APIs em IA: a base técnica
A integração de APIs é um canal essencial no ecossistema de IA, por meio do qual diferentes sistemas, plataformas e aplicações interagem. Analisamos as nuances técnicas da integração de APIs em IA, com ênfase em sua importância para aprimorar a eficiência e os recursos dos sistemas de IA. As APIs permitem a troca fluida de dados e funcionalidades entre diferentes soluções de IA […]