Las organizaciones enfrentan desafíos significativos para mejorar la seguridad de sus APIs, entre los cuales se incluyen los end-point de servicios web desconocidos y no administrados. Estas APIs, a menudo denominadas Shadow API, son puntos finales de servicios web que ya no están en uso, están desactualizados o no están documentados, lo cual las hace difíciles de gestionar.
El riesgo de las APIs no administradas
Rupesh Chokshi, vicepresidente senior de seguridad de aplicaciones de Akamai, destaca la importancia de identificar y gestionar estas APIs en la sombra. Según su análisis, los equipos de aplicaciones y seguridad deben encontrar dichas APIs para asegurarse de que estén documentadas o se retiren del entorno operativo, ya que representan un riesgo importante.
Chokshi presentará una charla sobre el tema en la próxima Conferencia RSA 2024. En su presentación titulada «La vida secreta de las API: los últimos datos de ataques muestran lo que están haciendo sus API», identifica a las APIs en la sombra como uno de varios problemas posturales que las organizaciones deben priorizar al abordar la seguridad de las APIs.
Una de las mayores sorpresas para las empresas que aumentan su visibilidad de la actividad API es la gran cantidad de puntos finales ocultos en su entorno. El primer paso para permitir una mejor seguridad de API es descubrir estos puntos finales y eliminarlos o incorporarlos al programa de seguridad de API.
La seguridad de las APIs se ha convertido en un desafío cada vez más apremiante para los líderes de seguridad y TI. En los últimos años, muchas organizaciones han implementado ampliamente APIs para integrar sistemas, aplicaciones y servicios dispares con el objetivo de optimizar procesos comerciales e impulsar la eficiencia operativa.
El desafío de la proliferación de API
La proliferación resultante de APIs ha ampliado significativamente la superficie de ataque en muchas organizaciones y las ha expuesto a mayores riesgos. Una investigación de Akamai a principios de este año encontró que el 29% de todos los ataques web en 2023 tuvieron como objetivo las APIs.
Los vectores de ataque comunes incluyeron inyección SQL, secuencias de comandos entre sitios, secuestro/manipulación de sesiones y ataques de recolección de datos. Los atacantes se dirigieron a organizaciones de determinados sectores con más frecuencia que a otros.
Más del 44% de todos los ataques web en el sector del comercio electrónico, por ejemplo, tuvieron como objetivo las APIs. De manera similar, casi el 32% y el 19% de los ataques a aplicaciones web que las organizaciones de servicios empresariales y las organizaciones de atención médica, respectivamente, encontraron el año pasado se dirigieron a interfaces de programación de aplicaciones.
Chokshi dice que los desafíos de seguridad de API que enfrentan la mayoría de las organizaciones se dividen en dos amplias categorías: posturales y relacionados con el tiempo de ejecución. Los problemas de postura resultan de debilidades en la implementación, como las relacionadas con las APIs ocultas.
Un informe de investigación de octubre de 2022 de Cequence Security identificó más del 31% de todas las solicitudes maliciosas (o unos 5 mil millones de 16,7 mil millones) dirigidas a APIs desconocidas y no administradas.
Otros problemas posturales comunes incluyen el acceso a recursos no autenticados, datos confidenciales en la URL, intercambio de recursos entre orígenes demasiado permisivo y errores excesivos del cliente, que pueden incluir problemas como una autenticación incorrecta.
Los problemas de tiempo de ejecución (o amenazas activas) más comunes que suelen encontrar las organizaciones incluyen intentos no autenticados de acceder a recursos API confidenciales; actividad de API con cargas JSON inusuales, como tipos de datos inesperados; datos inesperados o con formato incorrecto como parte de solicitudes de API; e intentos de extracción de datos.
Dada la naturaleza en rápida evolución del panorama de amenazas API, las organizaciones deben asegurarse de tener una visibilidad adecuada de su entorno API. Además de detectar y desmantelar las APIs ocultas, las organizaciones deben mantener un inventario de sus APIs.
También necesitan fortalecer su postura API, por ejemplo, corrigiendo fallas en el código y abordando problemas de configuración incorrecta; reforzar las capacidades de detección y respuesta a amenazas; y establecer una capacidad de búsqueda de amenazas API.
Para navegar por este terreno de forma segura, considere las siguientes estrategias:
- Descubrimiento y gobernanza holísticos de API: un informe de Traceable revela que, si bien el 59% de las organizaciones utilizan herramientas para descubrir todas las APIs en uso, persiste una brecha preocupante. Las empresas deben invertir en soluciones integrales que descubran, administren y monitoreen las actividades de API de manera consistente.
- Sumergirse en el contexto de la API: comprender las interacciones entre las actividades de la API, los comportamientos de los usuarios y los flujos de datos es esencial. Sólo cuando las organizaciones tengan esta claridad podrán mitigar eficazmente los riesgos potenciales. Por lo tanto, la monitorización continua y las alertas en tiempo real deberían ser la norma.
- Priorizar la educación sobre API: dado que la mayoría de las organizaciones dependen de los servicios en la nube, se debe garantizar de que los equipos técnicos y no técnicos comprendan la importancia de la seguridad de las APIs debe ser una prioridad para toda la empresa.
- Seguridad colaborativa: la seguridad de las APIs no es responsabilidad exclusiva de la seguridad de TI. Dado el papel integral de las APIs a la hora de impulsar la transformación digital, es vital un enfoque colaborativo que involucre a las partes interesadas de toda la organización, desde desarrolladores hasta altos ejecutivos.
- Preparación para el futuro con flexibilidad: a medida que el panorama digital evoluciona, también lo harán la naturaleza y la funcionalidad de las APIs. Las organizaciones deben establecer estrategias de seguridad de API adaptables que giren en respuesta a amenazas emergentes o necesidades organizacionales cambiantes.