API Security

Mantener un inventario completo y continuamente actualizado de todas las API de toda su organización es esencial para lograr una estrategia de seguridad de API eficiente. La detección bajo demanda o diaria no es suficiente debido a la gravedad de los riesgos asociados a los ataques a las API. Además, es necesario visualizar el comportamiento real de las API (llamadas de API) para que los miembros clave del equipo de seguridad, desarrollo y operaciones comprendan cómo se utilizan correcta e incorrectamente las API. Esto facilita la comunicación y la investigación entre los equipos de su organización. 

API Security ofrece una detección automatizada y continua de las API en varias tecnologías e infraestructuras. También identifica las API recién implementadas y compara sus propiedades con la documentación existente. API Security detecta las API en la sombra que a menudo se pierden y las vulnerabilidades conocidas de las API, como las descritas en los 10 principales riesgos de seguridad de API según OWASP. 

La detección de API es un proceso constante, y nuestra supervisión continua detecta nuevas API y cambios en las existentes de forma ininterrumpida. Los equipos de seguridad obtienen una visibilidad sin precedentes y son los primeros en saber cuándo implementan los desarrolladores una API o un servicio nuevos.

Las API alimentan todos los productos y servicios digitales que lanza una empresa. Por lo tanto, no es de extrañar que las API estén creciendo en alcance y escala. Sin embargo, esta proliferación conduce a un aumento de API que remodela su superficie de ataque.

Los atacantes actuales buscan vulnerabilidades en las API, como errores de software o de configuración, que puedan aprovechar para:

• obtener acceso a las funcionalidades confidenciales de la aplicación;
• encontrar, comprometer o robar datos confidenciales; y
• utilizar incorrectamente las API con fines maliciosos. 

Los 10 principales riesgos de seguridad de API según OWASP proporcionan un resumen útil de algunas de las vulnerabilidades y amenazas de las API que más se aprovechan y que las organizaciones deben intentar identificar y abordar.

Con API Security, puede evitar que las API vulnerables y mal configuradas expongan a su empresa a ataques de API notificando rápidamente a los equipos de seguridad, desarrollo y API los posibles riesgos, errores de configuración y vulnerabilidades. También puede determinar fácilmente si un partner ha configurado incorrectamente su API o si hay vulnerabilidades en el código. 

Las alertas contextuales y condicionales funcionan a la perfección dentro de sus flujos de trabajo existentes, como la creación automática de una incidencia de Jira para que pueda solucionar rápidamente cualquier problema.

Las API están diseñadas para utilizarse mediante programación, lo que hace que diferenciar el uso legítimo de los ataques y el abuso sea extremadamente difícil.

Aunque el enfoque de los ataques a las API varía, algunas de las formas más comunes son las siguientes:

• Abuso de la lógica empresarial. El abuso de la lógica se produce cuando un agente malicioso aprovecha los defectos de diseño o implementación de una aplicación para generar un comportamiento inesperado y no autorizado, beneficiando así a los atacantes. Los controles de seguridad heredados no pueden evitar este tipo de abuso, lo que provoca una enorme tensión y presión para los directores de seguridad de la información y sus equipos.
• Acceso no autorizado a los datos. Otra forma común de abuso de API es aprovechar mecanismos de autorización comprometidos para acceder a los datos a los que los atacantes no deberían tener acceso. Estas vulnerabilidades tienen muchos nombres, como autorización a nivel de objeto comprometida (BOLA) y referencia de objeto directo no segura (IDOR), así como autorización a nivel de función comprometida (BFLA).
• Robo de cuentas. Después de un robo de credenciales o incluso de un ataque de scripts de sitios, se puede tomar el control de una cuenta. Cuando esto sucede, el abuso incluso de la API mejor redactada y protegida es posible. Después de todo, si no realiza un análisis de comportamiento, cualquier actividad autenticada se considera legítima.
• Scraping de datos. Cuando las organizaciones ponen a disposición conjuntos de datos a través de API públicas, los agentes maliciosos pueden consultar de forma agresiva estos recursos para realizar una captura indiscriminada de grandes volúmenes de información valiosa.
• Denegación de servicio (DoS) empresarial. Al pedir al back-end que realice tareas pesadas, los atacantes o usuarios de API pueden provocar una "erosión del servicio" o una denegación completa de servicio en la capa de aplicación (una vulnerabilidad muy común en GraphQL, pero que puede suceder con cualquier implementación de terminal de API que utilice muchos recursos). Esto puede suceder mediante un ataque intencionado o por un uso excesivo por parte de un partner que provoca que la API deje de funcionar para otros partners. 
• Explotación de vulnerabilidades. Las vulnerabilidades técnicas de la infraestructura subyacente pueden comprometer el servidor. Los ejemplos de estos tipos de vulnerabilidades incluyen desde las vulnerabilidades de Apache Struts (CVE-2017-9791, CVE-2018-11776 y similares) hasta las vulnerabilidades de Log4j (CVE-2021-44228 y similares).

La identificación y mitigación de estos y otros riesgos de seguridad de las API requiere controles de seguridad lo suficientemente sofisticados como para hacer frente a este panorama de amenazas complejo y en rápida evolución. 

La solución API Security proporciona un contexto empresarial que no se puede obtener analizando elementos técnicos como direcciones IP y tokens de API por sí solos. Mediante el análisis del tráfico en tiempo real por medio de IA/ML, API Security genera referencias de contexto empresarial que le permiten realizar un análisis exhaustivo de lo que ocurrió antes y después de una alerta para identificar la causa principal. API Security también le permite buscar API por entidades específicas, como sus usuarios o partners, o incluso por entidades de procesos empresariales (facturas, pagos, pedidos, etc.) para poder encontrar anomalías que, de otro modo, no se detectarían.