0 
0 As APIs (Application Programming Interfaces, interfaces de programação de aplicativos) sustentam o ecossistema digital atual como o tecido conjuntivo essencial que permite às empresas trocar dados e informações de forma rápida e segura. À medida que o mundopós-pandemia se apoia fortemente na interação digital para manter as conexões com o usuário, o volume de tráfego de API cresceu rapidamente. No entanto, esse crescimento também trouxe desafios emergentesde segurança.
Embora os controles tradicionais de segurança de aplicativos permaneçam necessários, eles não estão completamente à parte do desafio de segurança da API. Felizmente, existem certas práticas básicas de segurança da API que as organizações podem implementar para criar uma postura de segurança de API mais resiliente.
O que está ameaçando a segurança da API?
Ao contemplar a segurança da API, você deve considerar seus riscos e exposições. Os hackers gastam mais tempo cutucando as APIs do que a maioria das empresas as mantém. É raro ver um atacante “quebrar” uma API. Em vez disso, o vetor de ameaça mais comum são configurações erradas e links fracos entre APIs implantados em cada pedaço de software.
O primeiro passo para corrigir o problema de segurança da API não é necessariamente uma nova solução de teste, mas sim fazer um balanço de quantas APIs uma organização implantou e como elas estão interagindo entre si. Cada API é única e precisa de atenção individual e compreensão detalhada. Sem visibilidade sobre a natureza e o escopo de suas implantações de API, uma organização se verá prejudicada no estágio inicial na tentativa de resolver seu risco de segurança de API.
Outro desafio enfrentado pelos profissionais de segurança ao implementar programas de segurança da API são funções e responsabilidades pouco claras para as equipes de segurança. Esse problema comumente citado significa que há lacunas na manutenção, monitoramento e segurança da API, e elas se tornam portas para os hackers entrarem. As equipes precisam receber responsabilidades específicas em relação à manutenção da segurança da API para garantir que as diferenças nuances entre as APIs sejam abordadas.
O que as empresas podem fazer para garantir que estão priorizando a segurança da API?
Os problemas de segurança originais decorreram de um mal-entendido da comunicação software-software de uma API. Com organizações muitas vezes tendo centenas ou até milhares de APIs em uso, a tarefa de protegê-las todas é altamente complexa. O desafio requer uma abordagem estratégica para avaliação de segurança que possa ser aplicada universal e eficientemente em um conjunto diversificado de APIs.
Um exemplo desse tipo de estratégia é o D.A.R.T., que significa Discover, Analyze, Remediate e Test.
O D.A.R.T. serve tanto como uma lente para ver os desafios de segurança, como um teste de litmus para medir a eficácia dos esforços e soluções de segurança. Essa solução aborda a segurança em todo o ecossistema de API, do código à produção, e precisa ser usada para os requisitos individuais únicos de cada API.
- Descubra: Isso abrange a capacidade de encontrar e fazer o inventário de todas as APIs. As empresas gerenciam milhares de APIs, e muitas delas não são roteadas através de um gateway proxy ou API. As APIs que não são roteadas não são monitoradas, raramente são auditadas e são mais vulneráveis a erros que levam a ataques. É importante criar um inventário completo de API permitindo que a equipe descubra e avalie todas as API, incluindo APIs legados e sombra com classificação de dados.
- Análise: A capacidade de detectar anomalias, alterações e configurações erradas da API é vital. É importante que as empresas analisem o acesso, o uso e o comportamento da API. Aproveitar AI e ML para análise automatizada de comportamento ajuda a identificar problemas em tempo real. Ao considerar os recursos de detecção existentes ou os de um fornecedor de segurança de API, as empresas devem lembrar que elas só serão tão eficazes quanto sua capacidade de descobrir um inventário completo de APIs.
- Remediar: O próximo passo é ter a capacidade de resolver anomalias detectadas e configurações erradas. Com base nesse inventário, as equipes podem iniciar a remediação identificando configurações erradas e vulnerabilidades no código-fonte, configuração de rede e política. As equipes podem se concentrar em intervenções de segurança nas áreas de maior risco e fornecer uma detecção e resposta eficazes. A implementação de bloqueio automatizado e semi-automatizado e remediação de ameaças significa que elas podem ser impedidas até mesmo de acontecer.
- Teste: Mesmo que um sistema de detecção e resposta seja implementado, é importante ter testes contínuos dos diferentes pontos finais da API para identificar os riscos da API antes de surgirem. Analisar APIs e corrigir problemas durante o desenvolvimento permite que as empresas implantem APIs com total confiança e confiança.
O caminho à frente
2022 será o ano da “corrida armamentista” de segurança da API, já que equipes de segurança e hackers trazem tecnologias mais sofisticadas para o campo de jogo.
Os hackers estão cada vez mais voltando sua atenção para as APIs como um vetor de ataque e, sem dúvida, desenvolverão ferramentas e métodos mais avançados para exploração. Os hackers mostraram que têm e continuarão a derrubar as portas das empresas através de suas APIs inseguras.
Equipes de segurança que são muito dependentes de ferramentas, têm funções e responsabilidades pouco claras e não executam a manutenção de API de rotina podem estar fazendo mais mal às suas organizações do que bem. Tomar o tempo para ser educado em estratégias específicas, como D.A.R.T, garante que cada API seja adequadamente gerenciada e protegida.
FONTE: HELPNET SECURITY