Os maiores sinais de alerta em segurança de APIs

Você não sabe onde estão todas as suas APIs

• A proliferação descontrolada de APIs é surpreendentemente generalizada. De acordo com o Guia da Datos para avaliação de soluções de segurança de APIs, o número de APIs em uso até 2030 ultrapassará 2 bilhões, e as organizações já utilizam, em média, mais de 20 mil APIs.
• Os endpoints de API representam um desafio único. De acordo com o Relatório sobre o Estado da Estratégia de Aplicações de 2024, “uma única API pode ter dezenas ou centenas de endpoints”. Para complicar ainda mais, uma organização pode não ter controle total sobre todas as APIs que entram em contato com seus sistemas.
• O relatório State of the API de 2023 da Postman, API report identificou os seguintes obstáculos ao consumo de APIs:
  • Falta de documentação (52%)
  • Dificuldade para descobrir APIs (32%)

Há ambiguidades na superfície de ataque da sua organização

• O Guia de Avaliação de Soluções de Segurança de APIs da Datos explica o problema central: “O mapeamento da superfície de ataque das APIs é essencial para protegê-las. Os CISOs não podem proteger aquilo que desconhecem. A descoberta de APIs é necessária para identificar APIs ocultas, órfãs, desatualizadas e em versões antigas.”
• As APIs são essenciais para qualquer empresa moderna. Conforme descrito pela Venture Beat, “as APIs representam 91% de todo o tráfego da web e estão alinhadas à tendência de adoção de arquiteturas de microsserviços e à necessidade de responder de forma dinâmica às rápidas mudanças nas condições do mercado.”
• E, por desempenharem um papel fundamental, as APIs são um alvo frequente de cibercriminosos. 90% dos ataques cibernéticos baseados na web têm como alvo endpoints de APIs, e o número de registros comprometidos em ataques originados em APIs já ultrapassou 1 bilhão.

Sua infraestrutura de segurança é complexa demais

• Os aplicativos e as APIs atuais estão sendo implantados em um ambiente híbrido e multinuvem. Conforme relatado no Relatório sobre o estado da estratégia de aplicações de 2024, quase 90% das organizações operam com modelos de implantação híbrida, incluindo SaaS, nuvem pública/IaaS, infraestrutura local (tradicional), infraestrutura local (nuvem privada), colocation e edge.
• Segundo o mesmo relatório, o número de organizações que operam em seis modelos diferentes aumentou quase 20% de 2023 para 2024.
• 66% das grandes empresas (com mais de 10.000 funcionários) normalmente usam de 60 a 80 ferramentas de segurança — em parte devido às ferramentas especializadas necessárias para atender a necessidades específicas em vários ambientes de nuvem.

Manter sua postura de segurança exige muito trabalho manual

• Com tantas APIs e endpoints, as atualizações manuais de segurança não são sustentáveis. Automatizar a proteção de APIs pode reduzir drasticamente a necessidade de atualizações manuais, como demonstra este estudo de caso da McGraw Hill que documenta os esforços da empresa para reduzir a complexidade do gerenciamento de 18 milhões de solicitações mensais de API.
• Estado da Estratégia de Aplicações — os participantes da pesquisa relatam que a aplicação manual de patches e atualizações não é rápida o suficiente para responder a ataques de dia zero, e muitos tomadores de decisão afirmam que o alto custo dos ataques bem-sucedidos torna indispensável a automação da segurança de aplicações e APIs. Nesse sentido, a automação de aplicações e APIs aumentou de 33% para 43% no último ano. O número de CVEs publicadas está crescendo rapidamente, e pesquisadores da F5 Labs esperam que 500 novas CVEs sejam publicadas em uma semana típica de 2025.
• A crescente adoção da IA generativa também traz implicações para a segurança de aplicações e APIs; o principal caso de uso da IA generativa na área de segurança é o ajuste automático de políticas de segurança e a geração de configurações de segurança com base nas ameaças detectadas.

Você está preocupado com a segurança de aplicativos de IA

• A proteção da IA generativa começa com uma base sólida de segurança de aplicativos e APIs. Isso é explicado de forma sucinta por Mete Atamel, defensor de desenvolvedores de nuvem do Google: “Não importa como você esteja usando a IA generativa; no fim das contas, você está chamando um endpoint por meio de um SDK, de uma biblioteca ou de uma API REST.”
• Dois meses após o lançamento da loja de GPTs da OpenAI, os usuários já criaram mais de 3 milhões de versões personalizadas do ChatGPT, o que demonstra a dimensão do desafio de segurança relacionado à proteção de provedores terceirizados.
• A IDC relata que “66% dos entrevistados apontam a IA generativa e, de modo geral, as cargas de trabalho de IA públicas e privadas como um de seus principais casos de uso”. A empresa constatou que “a maioria das aplicações empresariais baseadas em IA tem uma implementação altamente distribuída, exigindo de dezenas a centenas de interações de API que precisam percorrer um conjunto diversificado de ambientes de nuvem pública, nuvem especializada, infraestrutura local e aplicações, com alta disponibilidade e segurança”. Os pesquisadores da F5 também constataram que a maioria das organizações prevê implantar aplicações de IA em ambientes híbridos e multinuvem. Os participantes da pesquisa sobre o Estado da Estratégia de Aplicações indicaram que manteriam aplicações de IA na nuvem pública (80%) e em ambientes locais (54%).