Por que (e como) APIs e aplicativos da Web estão em perigo

Defenda sua fortaleza digital

Os aplicativos da Web, e as APIs que os habilitam, estão redefinindo as experiências dos clientes, simplificando as operações comerciais e impulsionando o crescimento econômico. Ao mesmo tempo, eles estão gerando possíveis novas vias de acesso em sua fortaleza digital. 

À medida que a relação entre os aplicativos e todos os aspectos comerciais fica mais estreita, a complexa rede de conexões que os fazem operar é constantemente visada por malware, botse outros agentes de ameaça que buscam brechas na segurança.

Exploramos essa tendência e o que as empresas podem fazer para proteger suas infraestruturas de aplicativos da Web e de APIs em nosso novo relatório State of the Internet (SOTI), chamado Fortalezas digitais em perigo: ameaças a arquiteturas modernas de aplicativos. O relatório traz os insights revelados pela análise da Akamai sobre as tendências de ataque.

Principais descobertas do relatório SOTI

• Ataques a aplicativos e APIs aumentaram em 49% do primeiro trimestre de 2023 até o mesmo período em 2024. Esse aumento foi ocasionado pela adoção cada vez maior de aplicativos e APIs, o que expandiu significativamente as superfícies de ataque das organizações. 

• Cento e oito bilhões de ataques a APIs foram observados durante o período de análise. Esses ataques podem levar a fraudes e abusos, perdas financeiras significativas e sanções regulatórias. 

• Os ataques de DDoS visam as importantes camadas 3, 4 e 7 pela inundação de sistemas com grandes quantidades de tráfego. Esses ataques implacáveis podem gerar tempo de inatividade e interrupção dos negócios. 

Aumentam os ataques a APIs

O número de ataques a aplicativos da Web e APIs está em ascensão, aumentando em 49% entre o primeiro trimestre de 2023 e o mesmo período de 2024 (Figura). Um total de 108 bilhões de ataques a APIs foram registrados de janeiro de 2023 a junho de 2024. Essa ameaça implacável reflete um aumento drástico nas tentativas dos invasores de conseguir acesso a dados valiosos. De fato, várias violações de dados de alto perfil nos últimos meses foram vinculadas à violação de APIs ou à exploração de vulnerabilidades de APIs.

O abuso de APIs , em particular, é uma preocupação crescente para as empresas que dependem dessas interfaces de aplicativos para fornecer acesso a seus dados e serviços. Ele pode assumir formas diferentes, desde o acesso não autorizado por pessoas com informações privilegiadas até violações de dados e ataques de negação de serviço distribuída (DDoS). 

O relatório SOTI detalha algumas das táticas preferidas dos invasores, como LFI (inclusão de arquivo local), XSS (cross-site scripting), SQLi (injeção de SQL), CMDi (injeção de comando) e SSRF (falsificação de solicitação no lado do servidor). Todas essas táticas tiveram aumentos significativos do primeiro trimestre de 2023 ao de 2024.

Setores com maior risco 

Nossa pesquisa indica que o comércio, a alta tecnologia e as mídias sociais são os três setores com mais ataques de DDoS na camada dos aplicativos, com mais de 11 trilhões de ataques em apenas 18 meses. Notamos um aumento acentuado nos ataques de DDoS da camada 7 em junho de 2023, possivelmente relacionado a eventos geopolíticos do período.

As organizações de comércio sofreram o maior volume de ataques na Web entre todos os setores do relatório. De janeiro de 2023 a junho de 2024, os ativos comerciais sofreram mais do dobro do número de ataques que o setor de tecnologia, que ficou em segundo lugar. Isso reflete a forte dependência do setor de comércio em aplicativos da Web e APIs, juntamente com as pressões para acelerar o tempo de lançamento no mercado, que podem levar a medidas de segurança inadequadas.

Defesa da infraestrutura e dos aplicativos da Web

Devido a essa crescente ameaça, as organizações precisam fortalecer seus esforços para defender os aplicativos da Web e sua infraestrutura. Isso começa com o entendimento de como uma grande ameaça, os ataques de DDoS, é direcionada a aplicativos, incluindo as camadas 3, 4 e 7. 

Ataques às camadas 3 e 4

Os ataques de DDoS à infraestrutura geralmente se concentram nas camadas de rede (Camada 3) e de transporte (Camada 4), geralmente usando um grande volume para sobrecarregar a rede. Além disso, o número desses ataques às camadas 3 e 4 aumenta e cai ao longo do ano; ele varia em mais de 200 eventos de ataque por mês nos 18 meses que analisamos para este relatório. 

Ataques à camada 7

Os ataques na camada dos aplicativos, geralmente visando a camada 7, estão em ascensão e podem ser a principal opção dos invasores, pois não exigem tantos recursos. Eles também podem ser mais difíceis de detectar, dando aos invasores outra vantagem em potencial.

Ataques de DNS

Os ataques ao protocolo DNS (Sistema de Nomes de Domínio) são cada vez mais comuns. A pesquisa da Akamai descobriu que o DNS foi um componente em 60% dos ataques de DDoS às camadas 3 e 4 nos últimos 18 meses.

Proteção de aplicativos com Zero Trust

Os aplicativos da Web e APIs exigem a mesma abordagem robusta de segurança que qualquer outro ativo crítico: Zero Trust. Quando os aplicativos da Web e as APIs são negligenciados, eles podem ser expostos externamente, assim como as cargas de trabalho internas que estão entre eles. 

Existe a percepção de que a implementação de princípios Zero Trust, como a microssegmentação, sempre requer muito esforço, exigindo um extenso exercício de “remoção e substituição”. No entanto, abordagens modernas, como a segmentação baseada em software, tornam a segurança dos aplicativos um esforço muito mais simples, ao mesmo tempo em que fornecem melhor visualização da rede e controles de governança granulares.

Tome medidas para combater o perigo das ciberameaças

Os aplicativos da Web e APIs continuarão proliferando, impulsionando a inovação e fornecendo as experiências que definem nosso mundo moderno. Reconhecer possíveis vulnerabilidades e tomar medidas para fortalecer seus aplicativos é essencial para repelir o perigo das ciberameaças. 

Saiba como: baixe o novo relatório State of the Internet (SOTI), Fortalezas digitais em perigo: ameaças a arquiteturas modernas de aplicativos.