Las empresas han realizado mejoras constantes en la seguridad del perímetro de su red y los resultados han sido una mejor protección contra ataques cibernéticos cada vez más sofisticados. Normalmente, esta sería una buena noticia.
Después de todo, eso significa que los ciberatacantes deben buscar en otra parte opciones más fáciles, y eso es algo bueno, ¿verdad? Bueno no exactamente. Los atacantes han pasado a API de terceros, un tipo de herramienta de desarrollo y conectividad muy popular.
Amenazas internas y externas
Tercero Seguridad API Las amenazas están aumentando porque las tasas de adopción de API se están disparando. ¿Qué hace que estas API sean tan atractivas para los desarrolladores? Hacen que sea más fácil y menos costoso entregar nuevas aplicaciones más rápidamente, ampliar la funcionalidad de las aplicaciones y comunicarse y colaborar con clientes, proveedores y socios.
Con capacidades atractivas como estas, no sorprende que la adopción de API se esté acelerando en los sectores público y privado de todo el mundo. El número de API disponibles públicamente en todo el mundo supera las 50,000 y se espera que el total cuadruplicará por 2020.
Pero aquí es donde las cosas se complican. Hay al menos tantas API administradas de forma privada como la variedad de terceros. Muchas de estas API "internas" carecen de documentación o prácticas de seguridad estándar.
Esto puede hacerlos invisibles para los métodos estándar de monitoreo de seguridad y solución de problemas. Esta doble amenaza a la seguridad es una de las razones por las que Gartner pronostica Las API como la mayor fuente de violaciones de datos por 2022.
Una larga lista de hazañas e impactos
Entonces, ¿por qué las API son un objetivo tan atractivo para los ciberatacantes? Se utilizan de muchas maneras, no sólo en un sitio web sino en redes corporativas enteras. Eso facilita que los ciberdelincuentes encuentren debilidades en el sistema de seguridad de una empresa.
Tarjetas telefónicas prepagas y sus beneficios tan promocionados: cómo ayudan a reducir costosY todas esas debilidades potenciales se suman a una formidable lista de exploits: transporte de datos no cifrados, acceso a datos de autenticación, scripts entre sitios, solicitudes falsificadas entre sitios, ataques de denegación de servicio, inyección de código malicioso y muchos más.
Así como hay muchas formas de ser atacado, hay muchas formas en que las empresas pueden sufrir pérdidas relacionadas con los ataques. Las pérdidas financieras creadas por las multas regulatorias, los costos directos de restaurar la productividad de los empleados y el tiempo de actividad de la red, y la pérdida potencial de los inversionistas, la lealtad de los clientes y la reputación de la marca de una empresa se suman a un daño grave para las empresas de todos los tamaños.
Defensa contra API inseguras
Quizás el aspecto más preocupante de estos últimos exploits es que los ciberataques a API se están volviendo más sofisticados. Esta tendencia hace que sea más urgente que nunca que los usuarios de API comprendan lo que se necesita para defenderse. Seguridad API.
- Lo que hace que las API sean valiosas para una empresa las convierte en un objetivo de seguridad atractivo.
Las API son herramientas de conectividad e interoperabilidad que simplifican los procesos de instalación y desarrollo de software. Debido a que las API están presentes en tantas partes de una red empresarial, proporcionan rutas rápidas a muchos tipos de datos, información e infraestructura de TI valiosos. - Las soluciones basadas en firmas ofrecen sólo una protección parcial.
Las soluciones tradicionales, como los firewalls de aplicaciones web, y las soluciones más nuevas, como la autoprotección de aplicaciones en tiempo de ejecución, se basan en la identificación de vectores conocidos (firmas), que se recopilan de ataques anteriores. Estas soluciones brindan una buena protección contra ataques conocidos. Sin embargo, las vulnerabilidades de API modernas utilizan enfoques que identifican y trabajan en contra de la lógica única de cada API. El diseño tradicional Soluciones de seguridad API a menudo carece de las capacidades para combatir vulnerabilidades avanzadas de API. Como resultado, los ciberataques modernos a menudo pueden pasar desapercibidos para las operaciones rutinarias de seguridad de TI. - Ningún dispositivo o enfoque proporciona por sí solo una protección API integral.
Robusta API Los métodos de seguridad requieren un enfoque de múltiples capas. Han llegado al mercado las últimas alternativas, que combinan capacidades de seguridad API tradicionales y modernas en una plataforma dedicada.
Este enfoque integral promete brindar la protección más efectiva contra las últimas innovaciones en vulnerabilidades de seguridad de API.
Múltiples capacidades, operación unificada
Ahora, empresas de cualquier tamaño pueden utilizar una alternativa a las soluciones internas de protección de API. Al suscribirse a servicios de seguridad de terceros, las organizaciones pueden adoptar un enfoque completo para la protección de API. Por ejemplo, los servicios avanzados pueden combinar WAF en la nube, CDN, análisis de ataques y protección DDoS multicapa.
Con estos servicios, las empresas pueden proteger el acceso a su sitio web, red y datos valiosos e infraestructura de TI. En estas soluciones, los cambios en las API se actualizan automáticamente desde plataformas de gestión dedicadas. Y toda la economía y conveniencia de los servicios en la nube también se aplican para garantizar la seguridad de las API.
