0 
0 As ameaças de segurança são sempre uma preocupação quando se trata de APIs. A segurança da API pode ser comparada a dirigir um carro. Você deve ser cauteloso e revisar tudo de perto antes de liberá-lo para o mundo. Ao não fazer isso, você está colocando a si mesmo e aos outros em risco.
Os ataques de API são mais perigosos do que outras violações. O Facebook tinha uma conta de usuário de 50 milhões afetada por uma violação de API e uma violação de dados de API na conta da Hostinger expôs 14 milhões de registros de clientes.
Se um hacker entrar em seus endpoints de API, isso pode significar um desastre para seu projeto. Dependendo dos setores e geografias de que você está falando, APIs inseguras podem levar você a problemas. Especialmente na UE, se você estiver atendendo ao setor bancário, poderá enfrentar enormes problemas legais e de conformidade se descobrir que está usando APIs inseguras.
Para mitigar esses riscos, você precisa estar ciente das possíveis vulnerabilidades da API que os cibercriminosos podem explorar.
6 riscos de segurança de API comumente negligenciados
Nº 1 Sem visibilidade da API e risco de monitoramento dos meios’
Quando você expande o uso de redes baseadas em nuvem, o número de dispositivos e APIs em uso também aumenta. Infelizmente, esse crescimento também leva a menos visibilidade sobre quais APIs você expõe interna ou externamente.
APIs obscuras, ocultas ou obsoletas que ficam fora da visibilidade de sua equipe de segurança criam mais oportunidades para ataques cibernéticos bem-sucedidos em APIs desconhecidas, parâmetros de API e lógica de negócios. Ferramentas tradicionais como o gateway de API não têm a capacidade de oferecer um inventário completo de todas as APIs.
Deve ter visibilidade da API, inclui
- Visibilidade centralizada, bem como um inventário de todas as APIs
- Visualização detalhada dos tráfegos da API
- Visibilidade de APIs transmitindo informações confidenciais
- Análise automática de risco de API com critérios predefinidos
#2 Incompetência da API
Prestar atenção às suas chamadas de API é importante para evitar passar solicitações duplicadas ou repetidas para a API. Quando duas APIs implantadas tentam usar a mesma URL, isso pode causar problemas de uso de API repetitivos e redundantes. Isso ocorre porque os endpoints em ambas as APIs estão usando o mesmo URL. Para evitar isso, cada API deve ter seu próprio URL exclusivo com otimização.
Nº 3 Ameaças à Disponibilidade do Serviço
Ataques direcionados à API DDoS, com a ajuda de botnets, podem sobrecarregar os ciclos da CPU e a potência do processador do servidor da API, enviando chamadas de serviço com solicitações inválidas e tornando-o indisponível para tráfego legítimo. Os ataques de API DDoS visam não apenas seus servidores em que as APIs estão em execução, mas também cada endpoint de API.
A limitação de taxa garante a você a confiança para manter seus aplicativos saudáveis, mas um bom plano de resposta vem com soluções de segurança multicamadas, como a proteção de API do AppTrana . A proteção de API precisa e totalmente gerenciada monitora continuamente o tráfego de API e bloqueia instantaneamente solicitações maliciosas antes de chegar ao seu servidor.
#4 Hesitando sobre a utilização da API
Como uma empresa B2B, muitas vezes você precisa expor seus números internos de utilização de API para equipes fora da organização. Essa pode ser uma ótima maneira de facilitar a colaboração e permitir que outras pessoas acessem seus dados e serviços. No entanto, é essencial considerar cuidadosamente a quem você concede acesso à API e qual nível de acesso eles precisam. Você não quer abrir sua API de forma muito ampla e criar riscos de segurança.
As chamadas de API precisam ser monitoradas de perto quando são compartilhadas entre parceiros ou clientes. Isso ajuda a garantir que todos usem a API conforme pretendido e não sobrecarregue o sistema.
#5 Injeção de API
A injeção de API é um termo usado para descrever quando um código malicioso é injetado com a solicitação de API. O comando injetado, quando executado, pode até excluir todo o site do usuário do servidor. A principal razão pela qual as APIs são vulneráveis a esse risco é que o desenvolvedor da API não limpa a entrada antes que ela apareça no código da API.
Essa brecha de segurança causa problemas graves para os usuários, incluindo roubo de identidade e violações de dados, por isso é essencial estar ciente do risco. Adicione validação de entrada no lado do servidor para evitar ataques de injeção e evitar a execução de caracteres especiais.
#6 Ataques contra dispositivos IoT por meio de APIs
A utilização efetiva da IoT depende do nível de gerenciamento de segurança da API; se isso não estiver acontecendo, você terá dificuldades com seu dispositivo IoT.
À medida que o tempo passa e a tecnologia avança, os hackers sempre usarão novas maneiras de explorar vulnerabilidades em produtos de IoT. Embora as APIs permitam uma extensibilidade poderosa, elas abrem novas entradas para hackers acessarem dados confidenciais em seus dispositivos IoT. Para evitar muitas ameaças e desafios que os dispositivos IoT enfrentam, as APIs devem ser mais seguras.
Portanto, você precisa manter seus dispositivos IoT atualizados com os patches de segurança mais recentes para garantir que estejam protegidos contra as ameaças mais recentes.
Interrompa o risco da API implementando o WAAP
No mundo de hoje, as organizações estão sob constante ameaça de ataques de API. Com novas vulnerabilidades aparecendo todos os dias, é essencial inspecionar regularmente todas as APIs em busca de possíveis ameaças. As ferramentas de segurança de aplicativos da Web são insuficientes para proteger seus negócios desses riscos. Para que a proteção da API funcione, ela precisa ser totalmente dedicada à segurança da API. O WAAP (Web Application and API Protection) pode ser uma solução eficaz nesse sentido.
O Indusface WAAP é uma solução para o sempre presente problema de segurança da API. Ele permite limitar o fluxo de dados ao necessário, evitando que você vaze acidentalmente ou exponha informações confidenciais. Além disso, a plataforma holística Web Application & API Protection (WAAP) vem com a trindade de análise de comportamento, monitoramento centrado em segurança e gerenciamento de API para manter ações maliciosas em APIs afastadas.
FONTE: THE HACKER NEWS