0 
0 A API ou Interface de Programação de Aplicativos é um bloco de construção de fato para aplicativos modernos, necessários para criar e conectar aplicativos e sites. Mas as APIs são mal protegidas e se tornaram um dos principais alvos de ataques, especialmente ataques de bots.
75% das tentativas de login de terminais API (Application Programming Interfaces) são maliciosas – de acordo com o perímetrox. Os hackers usam sistematicamente bots para tentativas de login maliciosas.
Como você pode proteger suas APIs de bots e ataques de bots ? Continue lendo para aprender maneiras eficazes de detecção e proteção de bots de API.
Por que as APIs correm o risco de ataques de bots?
As APIs permitem que os desenvolvedores acessem, reutilizem e integrem recursos e dados de funcionalidades com maior facilidade, trazendo agilidade, velocidade e eficiência ao desenvolvimento. Isso levou a uma crescente dependência de APIs por parte das organizações que agora estão implantando cada vez mais delas para ajudar em suas iniciativas de transformação digital. No entanto, as APIs são frequentemente expostas ao risco de ataques cibernéticos de bot, como ataques DoS e DDoS, ataques de cartão de raspagem de conteúdo e preços e aquisições de contas, etc.
Em 2020, 98% das organizações viram ataques contra seus aplicativos/sites e 82% relataram que eram ataques cibernéticos de bots. Várias organizações enfrentam pelo menos um ataque DoS/DDoS ou alguma forma de injeção ou incidentes de manipulação de atributos todos os meses.
Por que o risco de ataques cibernéticos de bots em APIs é tão alto e comum?
- 40% das organizações relataram que mais da metade de seus aplicativos estão expostos a serviços de terceiros ou à Internet devido a APIs.
- Os ataques de API baseados em bots são mais fáceis de orquestrar, pois os botnets estão prontamente disponíveis para contratação.
- As técnicas tradicionais de detecção e prevenção, como limitação de taxa, detecção baseada em assinatura, protocolos de bloqueio, etc., são consideradas insuficientes contra ataques de bot de API altamente complicados.
- Atores maliciosos estão aproveitando. As organizações acham difícil distinguir entre atividades humanas e de bots e entre bots bons e ruins, limitando severamente sua capacidade de proteger APIs contra ataques de bots.
- As solicitações de API não passam pela rota tradicional de navegadores ou agentes de aplicativos nativos; eles servem como um pipeline direto com acesso a recursos e funcionalidades. Isso torna as APIs alvos lucrativos para invasores.
- Muitas vezes, os desenvolvedores usam conjuntos de regras padrão/genéricos para APIs sem manter a lógica de negócios em mente. Isso abre as APIs para vulnerabilidades de lógica de negócios frequentemente exploradas usando bots para causar estragos.
Como proteger suas APIs contra ataques de bots?
Colete inteligência e construa uma linha de base do comportamento normal
Para proteger efetivamente a API de bots, você precisa estabelecer o que é um comportamento aceitável e normal e o que é um comportamento anômalo. Para isso, sua solução de segurança deve monitorar o tráfego da API e reunir inteligência por meio de impressão digital, análise comportamental, de padrões e heurística, validação de fluxo de trabalho, feeds de ameaças globais, tempos de resposta da rede etc. Esses insights devem ser combinados com os feeds de reputação internos e externos para construir uma linha de base do que é considerado comportamento humano e de bot e, no comportamento de bot, o que é bom e mau comportamento.
Esse processo deve ser contínuo porque o cenário digital está evoluindo rapidamente; os invasores estão constantemente aproveitando tecnologia sofisticada para garantir que os bots possam imitar o comportamento humano. Você precisa recalibrar continuamente o que é comportamento aceitável e malicioso em relação à segurança da API.
Monitore continuamente as solicitações de API
Monitore granularmente todas as solicitações de API em relação ao modelo de linha de base. O processo de detecção de bot em APIs precisa ser inteligente (usando IA de autoaprendizagem, análise profunda e automação) e flexível para garantir agilidade, velocidade e precisão na detecção de atividade de bot em tempo real. Monitoramento e registro contínuos são igualmente importantes.
Implante técnicas instantâneas de mitigação de bots ruins
Para proteger as APIs contra bots, você não pode parar com a detecção em tempo real; você deve ser capaz de impedir que bots ruins obtenham acesso a APIs e ativos de missão crítica que as APIs frequentemente expõem. Para isso, as soluções inteligentes de gerenciamento de bots de API funcionam de forma instantânea e inteligente contra os bots ruins mais complexos e furtivos.
As ferramentas inteligentes de gerenciamento de bots de API determinam se devem permitir, bloquear, sinalizar ou desafiar solicitações de API recebidas com base em insights e sinais em tempo real. Combinado com um sólido sistema de gerenciamento de falsos, isso ajuda a minimizar falsos positivos e falsos negativos. Em outras palavras, eles ajudam a aumentar o atrito para que bots ruins e atores mal-intencionados acessem APIs, não tráfego legítimo e bons bots.
Implemente arquiteturas de confiança zero
Adote uma arquitetura de confiança zero em que cada usuário deve provar sua identidade e receber acesso com base em suas funções e apenas na medida necessária para executar as ações necessárias. Permissões e privilégios ilimitados e não verificados são prejudiciais à segurança da API, especialmente contra ataques cibernéticos de bot, como preenchimento de credenciais e ataques de força bruta. Implemente controles de acesso robustos e baseados em funções, políticas de senha forte e autenticação multifator.
Personalizar conjuntos de regras
Adapte seus conjuntos de regras com base em inteligência contextual para evitar a exploração de falhas de lógica de negócios e outras vulnerabilidades em APIs por bots. Além disso, conte com a ajuda de especialistas em segurança certificados para criar políticas de segurança personalizadas com precisão.
Conclusão
Para proteger efetivamente as APIs contra ataques de bots, aproveite o AppTrana’s API Protection , uma solução de segurança avançada, abrangente e baseada em risco específica de API. Ele garante a segurança antibot para suas APIs por meio de políticas de segurança positivas, bots específicos de API e políticas de mitigação de DDoS.
FONTE: HELPNET SECURITY