É evidente que a segurança de aplicativos e APIs se tornou mais especializada. As APIs não são mais apenas pontos de entrada baseados em URI para um aplicativo. Elas evoluíram e se tornaram entidades independentes, com necessidades próprias de segurança.
A maioria dessas necessidades de segurança está relacionada à natureza das interações com APIs. Especificamente, as APIs precisam ser autorizadas a cada transação. Isso é bastante diferente dos aplicativos, que geralmente aplicam a autorização a cada sessão.
A taxa de interação também é maior nas APIs, assim como diversas outras características que representam desafios específicos para a segurança das APIs.
Aplicativo APIFluência em formatos de mensagem HTML, JSON, XML ProtoBuf, JSON, GraphQL, binário, XML, formatos de dadosInterações Estáticas, alterações pouco frequentes Dinâmicas, alterações frequentesDados Estruturados, transacionais Não estruturados/estruturados, em streaming e transacionaisUsuário Humano Software, humanoAgente do usuário Navegadores, aplicativos Software, dispositivo, scripts, aplicativos, navegadoresAutenticação Baseada em sessão Baseada em transação (mais semelhante a ZT)Fluência em protocolos HTTP/S, QUIC gRPC, WebSockets, HTTP/S, QUIC
Uma comparação entre aplicativos e APIs ilustra diferenças que levaram a necessidades de segurança distintas.
Dito isso, há riscos de segurança comuns a aplicativos e APIs que devem ser considerados ao implementar soluções de segurança. Por exemplo, a lista recentemente atualizada dos 10 principais riscos de segurança de APIs de 2023 mostra claramente um subconjunto de riscos compartilhados com os aplicativos:
- Controles de autenticação/autorização fracos
- Configuração incorreta
- Abuso da lógica de negócios (preenchimento de credenciais, invasão de contas)
- Falsificação de solicitação do lado do servidor (SSRF)
Além desses riscos, continua havendo um número considerável de ataques direcionados à disponibilidade. Ou seja, ataques DDoS comuns tanto a aplicativos quanto a APIs, pois ambos geralmente compartilham as mesmas dependências de TCP e HTTP, que estão sujeitos a diversos ataques destinados a interromper o acesso e a disponibilidade.
Uma abordagem para enfrentar os desafios de proteger aplicativos, APIs e a infraestrutura que lhes dá suporte é implantar várias soluções: defesa contra bots e fraudes, proteção contra DDoS, segurança de aplicativos e segurança de APIs. Embora isso certamente resolva os desafios de segurança, também cria desafios operacionais e torna mais complexas muitas tarefas relacionadas à segurança, como o gerenciamento de alterações em políticas e a resposta a ameaças que afetam tanto aplicativos quanto APIs. A complexidade não é apenas inimiga da segurança, mas também da velocidade.
De acordo com nossa pesquisa anual, a rapidez com que se pode reagir a ameaças emergentes é um dos principais fatores que impulsionam a adoção da Segurança como Serviço. Cada solução que exige um patch, uma atualização ou a implantação de uma nova política para mitigar uma ameaça emergente demanda mais tempo e aumenta a possibilidade de uma configuração incorreta ou de um erro. Portanto, o tempo necessário para mitigar uma ameaça aumenta conforme a complexidade — especialmente se uma organização opera em vários ambientes (TI híbrida) e utiliza soluções de segurança específicas para cada ambiente. Não vou fazer as contas para determinar se esse aumento é linear ou exponencial porque, sinceramente, qualquer coisa que aumente o tempo de resposta a uma ameaça iminente não é algo bom.
É por isso que uma abordagem melhor é combinar soluções, compartilhando assim o gerenciamento operacional e de segurança das funções projetadas para combater ameaças, ao mesmo tempo que permite o uso de políticas de segurança específicas para lidar com os protocolos e payloads exclusivos de aplicativos e APIs.
Isso leva a uma estratégia integrada de segurança de aplicações e APIs, na qual funções comuns são compartilhadas, com níveis cada vez maiores de granularidade e especificidade aplicados mais perto da aplicação ou API. Afinal, bots são bots, e seu impacto na qualidade dos dados, no custo de entrega e no perfil de risco de aplicações e APIs é uma preocupação comum. DDoS é DDoS. Operar o dobro de serviços para resolver o mesmo problema é ineficiente sob qualquer métrica.
Uma estratégia integrada de segurança de aplicações e APIs faz sentido do ponto de vista operacional, financeiro e arquitetural.
Sobre o autor
Lori MacVittie é engenheira distinta e evangelista-chefe no Escritório do CTO da F5, com ampla experiência em entrega de aplicações, estratégia de automação e infraestrutura. Ela é conhecida por transformar complexidade em clareza, seja definindo diretrizes para agentes de IA, analisando arquiteturas multinuvem frágeis ou investigando os limites de sistemas escaláveis. Ela acumula mais de trinta anos de experiência no setor, abrangendo desenvolvimento de aplicações, arquitetura de TI e operações de redes e sistemas. Antes de ingressar na F5, atuou como editora de tecnologia e recebeu diversos prêmios. MacVittie tem mestrado em Ciência da Computação e é uma autora prolífica, com publicações que abrangem segurança, nuvem e arquitetura empresarial. Ela também é uma entusiasta de jogos de tabuleiro e videogames, além de ter opiniões assumidamente fortes sobre queijos.
Mais publicações de Lori Mac VittiePublicações relacionadas no blog
O estado da maturidade digital empresarial: a transformação digital ainda não terminou
Explore como a IA impacta as empresas, as aplicações da IA generativa, as estratégias para modernizar as operações de TI e os benefícios da maturidade digital com a F5.
Como a IA generativa acelera a transformação digital
Veja como a IA generativa impulsiona a transformação digital nas empresas, acelerando tendências como a integração de APIs, os desafios dos modelos operacionais de TI híbrida e a adoção de AIOps.
Seis capacidades técnicas para acelerar a transformação digital
As arquiteturas empresariais atuais carecem dos fatores necessários de agilidade, escalabilidade, segurança e observabilidade, essenciais para impulsionar a mudança tecnológica. No entanto, estas seis capacidades fundamentais ajudarão as empresas a gerenciar riscos e desafios ao longo de sua transformação digital.
Inverter a API é a transformação digital de que as empresas precisam para participar e competir em uma economia de APIs
As organizações detêm um valor latente — na forma de APIs internas — que precisam explorar para competir em uma economia de APIs. Embora os desafios técnicos e de segurança possam desestimular algumas delas, as empresas precisam reconhecer que inverter suas APIs permitirá liberar o valor da organização como plataforma.
A modernização da TI começa pela infraestrutura
O hardware e o software evoluíram rapidamente desde os primórdios da internet, mas, para aproveitar ao máximo os benefícios resultantes dessa evolução, as organizações precisam avaliar e modernizar sua infraestrutura e a entrega de aplicativos. Acelere os esforços de modernização com a nova F5 rSeries.